¿Les permite usted a los empleados acceso a los datos de la compañía mediante el uso de los dispositivos electrónico portátiles personales de los empleados en lugar de dispositivos expedidos por la empresa? Por ejemplo: ¿los empleados usan sus teléfonos inteligentes para comunicarse con los clientes y guardan la información de contacto, preferencias, etc., de los clientes en sus teléfonos? Cuando los empleados renuncian a sus puestos o son despedidos… ¿ha implementado usted medidas para asegurar que su lista de clientes no salga por la puerta con ellos?
Desafortunamente, muchos empleadores todavía no han promulgado políticas para proteger la información confidencial que los empleados en sus dispositivos portátiles personales de comunicación. Pero no se ponga nervioso si usted es uno de esos empleadores, ya que he creado mis “Diez mejores sugerencias” para que las tome en cuenta en su propia Política de “Traiga su propio dispositivo”. (Sí, he estado viendo demasiados programas de David Letterman.)
LAS DIEZ MEJORES SUGERENCIAS PARA REDACTAR UNA POLÍTICA DE “TRAGIA SU PROPIO DISPOSITIVO”:
- Exija a los empleados que obtengan permiso por escrito para usar sus dispositivos personales para fines del negocio. Establezca un mínimo de requisitos sobre a cuáles dispositivos se les permite acceso en su red. Exija que su Departamento de Informática instale software antes de usar el dispositivo para fines de trabajo (p.ej., gestión de dispositivos móviles, seguridad, antivirus, borradura remota, servicios de ubicación, etc.), que permita que la información se pueda borrar remotamente si el dispositivo se pierde o se lo roban, o al final del empleo del empleado. Si el dispositivo está sincronizado para guardar datos en la Nube, exíjales a los empleados que firmen un consentimiento por escrito que le conceda acceso a la compañía para asegurar que no se haya quedado con ningún dato de la empresa.
- Exija que se entregue el dispositivo al Departamento de Informática al comienzo del empleo, en cualquier momento que se le pida y antes del último día de trabajo del empleado para monitorizar, borrar y retirar información de la empresa. Adviértales a los empleados que el Departamento de Informática borrará y retirará toda la información del dispositivo, y que aunque usted tratará de buena fe guardar los datos personales de otra forma (p.ej., en un “pincho” de memoria) tanto cuanto sea posible, van a perder todo o parte de sus datos personales que estén en el dispositivo.
- Exija protección mediante contraseña y cambio de contraseña cada seis meses (p.ej., ingresar una clave de seguridad que tranque el dispositivo después de cierto período de inactividad y después de cierto número de intentos infructuosos de ingresar contraseñas). Exija que se cifren ( “encripten”) todos los datos que se envíen fuera de la “muralla cibernética” de la empresa (“the corporate firewall”).
- Exija a los empleados que notifiquen a la compañía si pierden, les roban o les piratean sus dispositivos.
- Defina el uso aceptable (que incluye el cumplimiento con otras políticas de la empresa, como las de antiacoso, confidencialidad, etc.). Prohíba que se copie, retenga, dé a conocer o transfiera información o secretos comerciales de la compañía a dispositivos de comunicación personales a no ser exclusivamente para propósitos del negocio de la empresa, y ordenar que se retire la información después de que el uso comercial haya cesado.
- Prohíba a los empleados usar sus dispositivos para fines comerciales mientras manejen un vehículo motorizado, sin que importe que utilicen o no un dispositivo “manos libres”.
- Para evitar una demanda por invasión de la privacidad, exprese claramente: “Los empleados no tienen expectativas razonables de privacidad respecto a cualquier tipo de mensaje, ya sea escrito o verbal, que se envíe o reciba usando un dispositivo de comunicación personal para fines comerciales, lo que incluye mensajes de texto, y para asegurar el cumplimiento de las políticas de la empresa, la compañía monitorizará el dispositivo al extremo que lo permitan las leyes aplicables”.
- Prohíba a los empleados no exentos que usen sus dispositivos de comunicación personales par fines de trabajo fuera de horas laborales regulares sin haber obtenido previa autorización por escrito de la gerencia. Exíjales que rindan cuenta de todas las horas trabajadas, ya sea en el local de la empresa o fuera de este, de acuerdo con las políticas de la compañía y las leyes aplicables.
- Recuerde a los empleados que todos los materiales, comunicaciones e información de la compañía que se creen, transmitan, reciban, guarden o graben en un dispositivo de comunicación personal que se use para fines comerciales de la empresa o se imprima desde el mismo constituyen propiedad exclusiva de la compañía.
- Exija a los empleados que firmen un formulario de Acuse de Recibo que haga constar que han leído, entendido y que se ha comprometido a cumplir con la política de “Traiga su propio dispositivo” y que serán personalmente responsables ante la empresa por sus infracciones. El Acuse de Recibo debe otorgarle a la empresa el acceso para revisar y recopilar datos del dispositivo de comunicación personal para cubrir todas las necesidades del negocio (p.ej., cumplir con una orden judicial, proveer apoyo técnico, ayudar con una investigación interna) y debe incluir el derecho de la compañía a instalar software y a borrar remotamente todo el dispositivo, lo cual incluye el contenido personal.
Si se ponen en práctica debidamente, las políticas de “Traiga su propio dispositivo” pueden permitirles a los empleados la flexibilidad de usar sus propios dispositivos para acceder a los recursos de la compañía y al mismo tiempo garantizar que los empleadores mantengan control de los datos confidenciales de la empresa. Sin esa política, quizás les tenga que decir adiós a sus clientes.
