El teletrabajo se normalizó en España con la pandemia y hoy forma parte del día a día de muchas empresas. Pero en la mayoría de ellas la política de protección de datos no se actualizó cuando los empleados empezaron a trabajar desde casa. El resultado: empleados accediendo al CRM desde redes WiFi domésticas, enviando documentos por WhatsApp personal o almacenando ficheros en su Google Drive particular. Todo eso son datos personales fuera del control de la empresa.
1. Por qué el teletrabajo introduce nuevos riesgos de protección de datos
En la oficina, el departamento de IT controla la red, los dispositivos y los accesos. En casa, nada de eso está garantizado. El RGPD no distingue entre trabajo presencial y remoto: el principio de integridad y confidencialidad exige que los datos estén protegidos independientemente de desde dónde se acceda a ellos.
El problema no es solo técnico. Es también organizativo: si los empleados no saben qué herramientas pueden usar y cuáles no, o qué hacer cuando algo sale mal, las brechas ocurren sin que nadie las detecte a tiempo.
2. Los 5 riesgos más comunes en el acceso remoto
- Dispositivos personales sin cifrado ni actualizaciones de seguridad. Si el portátil de casa se pierde o se roba, los datos de la empresa quedan expuestos.
- Redes WiFi domésticas o públicas no seguras. Una red mal protegida permite interceptar el tráfico de datos con herramientas básicas.
- Acceso de familiares a pantallas y documentos. Un menor que usa el ordenador de sus padres puede ver o modificar información confidencial de clientes.
- Uso de herramientas no autorizadas. WhatsApp personal para enviar documentos, Google Drive personal para compartir ficheros, Dropbox de uso doméstico para almacenar contratos. Todos son servicios fuera del control de la empresa.
- Almacenamiento local en el equipo del empleado. Los datos fuera del servidor de la empresa no están cubiertos por las políticas de backup ni de acceso controlado.
3. Medidas técnicas que debes implementar
No todas las empresas necesitan las mismas medidas, pero hay un conjunto mínimo que cualquier empresa con empleados en remoto debería tener:
- VPN corporativa obligatoria para acceder a sistemas internos. Toda conexión a servidores o aplicaciones de la empresa debe pasar por VPN.
- Dispositivos corporativos o, si se usan personales (BYOD), con gestión remota (MDM) que permita borrarlos en caso de pérdida o robo.
- Autenticación de doble factor en todos los accesos remotos.
- Control de acceso por roles: cada empleado solo accede a los datos que necesita para su trabajo.
- Cifrado de disco en equipos portátiles corporativos.
- Política de pantalla limpia y bloqueo de sesión automático.
4. Cláusulas de protección de datos en el acuerdo de teletrabajo
La Ley 10/2021, de trabajo a distancia, establece que el acuerdo de teletrabajo debe documentarse por escrito. Ese documento es el lugar natural para incluir las obligaciones de protección de datos del empleado en remoto.
Qué debe incluir:
- Herramientas autorizadas y prohibidas (incluyendo aplicaciones de mensajería y almacenamiento en la nube).
- Estándares mínimos del equipo (actualizaciones, antivirus, cifrado).
- Obligación de notificar incidentes de seguridad al responsable o al DPD.
- Prohibición de acceso de terceros al equipo de trabajo.
- Consecuencias del incumplimiento.
Sin esta documentación, la empresa no puede demostrar ante la AEPD que adoptó medidas razonables. Y demostrar que actuaste con diligencia es una de las claves del principio de responsabilidad activa del RGPD.
¿Tu empresa tiene empleados en remoto y no ha actualizado su política de PD? → Solicita una revisión con nuestros especialistas
5. Cómo formar al equipo
El eslabón más débil en la seguridad de datos siempre es el factor humano. Un empleado que no sabe que no puede usar su Dropbox personal para guardar contratos de clientes no lo hace con mala intención: simplemente no lo sabe.
La formación no tiene que ser compleja ni larga. Lo importante es que sea:
- Específica: no un curso genérico sobre RGPD, sino instrucciones concretas sobre qué pueden y qué no pueden hacer en su trabajo remoto.
- Periódica: un recordatorio anual es suficiente, pero tiene que existir.
- Documentada: cualquier formación impartida debe quedar registrada. Si la AEPD pregunta, esto es evidencia de que la empresa tomó medidas.
6. El papel del DPD en la gestión del teletrabajo
Si tu empresa tiene DPD —o está valorando contratarlo—, la gestión de la protección de datos en el teletrabajo es exactamente una de sus funciones. El DPD:
- Diseña o revisa la política de teletrabajo desde la perspectiva de protección de datos.
- Identifica los riesgos específicos del modelo remoto de la empresa.
- Asesora sobre qué herramientas y proveedores son conformes con el RGPD.
- Prepara la documentación necesaria en caso de inspección.
- Gestiona los incidentes de seguridad que puedan producirse.
Para empresas que no tienen DPD interno, un servicio de DPD externalizado cubre todas estas funciones sin necesidad de contratar a nadie a tiempo completo.
Más sobre ciberseguridad y protección de datos: Ciberseguridad para empresas: amenazas comunes y medidas de protección
Si tienes dudas sobre si tu empresa necesita DPD: ¿Cuándo es obligatorio tener un DPD?
Adapta tu política de PD al teletrabajo con ayuda de nuestros especialistas → Consúltanos sin compromiso