Opinión elaborada por


Colaboración


APDCAT (Autoritat Catalana de
Protecció de Dades)


Actualizado


11 de septiembre de 2013


1. EL CORREO ELECTRÓNICO
1.1. SISTEMAS DE CORREO ELECTRÓNICO
1.2. LA DIRECCIÓN DE CORREO ELECTRÓNICO
1.3. EL CONTENIDO DEL CORREO ELECTRÓNICO
2. EL USO DEL CORREO ELECTRÓNICO
2.1. NORMAS DE USO DEL CORREO ELECTRÓNICO
2.2. LOS MECANISMOS DE IDENTIFICACIÓN Y AUTENTICACIÓN
2.3. SEGURIDAD DE LAS COMUNICACIONES
2.4. USO DEL CORREO CON FINALIDADES PRIVADAS
2.5. USO DEL CORREO CON FINALIDADES SINDICALES
3. EL ACCESO AL CORREO ELECTRÓNICO POR PARTE DE LA EMPRESA
3.1. ACCESO PARA REALIZAR TAREAS DE MANTENIMIENTO DEL CORREO ELECTRÓNICO
3.2. ACCESO PARA GARANTIZAR LA CONTINUIDAD DE LA ACTIVIDAD EN AUSENCIA DE LA PERSONA TRABAJADORA (VACACIONES, ENFERMEDAD, ETC.)
3.3. ACCESO CUANDO HAYA INDICIOS DE UN POSIBLE MAL USO
3.4. CESE DE LA RELACIÓN LABORAL DE LA PERSONA TRABAJADORA CON LA EMPRESA
4. DOCUMENTACIÓN REFERENCIADA
5. DERECHOS DE AUTOR
- Atribuir una cuenta de correo a los trabajadores que lo necesiten para ejercer sus funciones, ya sea mediante el sistema de cliente de correo electrónico o de correo web. En este último caso, conviene asegurar que la empresa que facilita el correo tenga establecidas políticas de privacidad y seguridad adecuadas, a través de las correspondientes cláusulas contractuales vinculantes para todas las partes implicadas.
- Establecer cuentas de correo vinculadas a trámites, servicios o áreas de actividad, en lugar de personas determinadas, siempre que sea posible. Esto puede ser especialmente recomendable cuando se facilitan cuentas de correo a trabajadores de empresas externas que prestan servicios de forma habitual dentro de la empresa.
- Limitar la difusión de la dirección electrónica de las personas trabajadoras a aquellos supuestos en que resulte necesario para las funciones atribuidas a cada una de ellas. En el resto de supuestos, publicar la dirección de correo electrónico sólo en la Intranet.
- Incorporar en el lugar donde se difundan las direcciones, un recordatorio de los usos admitidos de estas direcciones.
- Incorporar mecanismos para evitar la indexación de las direcciones de correo, cuando se publiquen en la web, para evitar que se puedan utilizar para envíos masivos de correos electrónicos. En este sentido, puede ser recomendable no incluir en la visualización de las páginas la dirección de correo, sino sólo un enlace que, al hacer clic en él, sí que permita acceder a una página que incorpora una instrucción de no indexación, que contiene la dirección. De esta manera se puede permitir indexar el contenido de la página inicial que contiene el enlace, sin indexar la dirección.
- No utilizar, ni ceder a terceras personas, las direcciones de correo que forman parte del directorio corporativo, para finalidades diferentes de aquéllas que resulten necesarias para desarrollar las funciones encomendadas a la empresa.
- Objeto y ﬁnalidad del documento.
- Especiﬁcaciones del sistema de correo electrónico (equipos y software).
- Instrucciones generales de uso del correo electrónico.
- Usos admitidos y usos no admitidos del correo electrónico profesional y, si procede, de la cuenta de correo personal facilitada por la empresa. En caso de admitirse un cierto uso privado, conviene determinar las condiciones de este uso (grado de utilización con ﬁnalidades privadas, identiﬁcación de los mensajes privados, almacenaje, eliminación del pie de ﬁrma en los mensajes privados, etc.).
- Usos admitidos de los soportes y dispositivos móviles o portátiles facilitados por la empresa que permitan acceder al correo electrónico.
- Posibilidad o no de utilizar sistemas de correo web en el puesto de trabajo, ya sea con ﬁnalidades profesionales o estrictamente personales, o de recibir en la cuenta cliente corporativa mensajes de otras cuentas.
- Aspectos relativos al contenido de los mensajes: encabezamientos, aspectos formales, lenguaje, avisos legales, pies de ﬁrma, medida máxima de los archivos, etc.
- Usos admitidos de las direcciones publicadas en el directorio de la empresa.
- Medidas de seguridad aplicables
- Medidas de identiﬁcación y autenticación de usuarios:
- Asignación de claves y política de contraseñas.
- Medidas que tienen que adoptar las personas trabajadoras para garantizar la conﬁdencialidad de la información y, si procede, el secreto profesional.
- Procedimiento para autorizar la transmisión de datos a través de la red.
- Utilización de la ﬁrma electrónica y mecanismos de cifrado.
- Protocolo a seguir por las personas trabajadoras, y por la misma empresa, en caso de que se produzca alguna incidencia en el uso del correo.
- Otras medidas de seguridad.
- Periodos de conservación de la información en las carpetas de entrada, de elementos enviados y en la papelera, en sistemas de cliente de correo.
- Informaciones que se tienen que conservar durante un periodo más largo en forma centralizada o bien, por ejemplo, en copias de seguridad, para la gestión técnica de la red o archivos “log”.
- Soluciones para garantizar la continuidad de la actividad en caso de ausencia de la persona trabajadora, con especial referencia a los mensajes de respuesta automática.
- Tratamiento que hay que dar a los mensajes inadecuados que se reciban.
- Medidas de control del uso de correo que puede llevar a cabo la empresa:
- Mecanismos de ﬁltrado.
- Programas y dispositivos de control y monitorización, si están justiﬁcados.
- Supuestos y procedimiento de acceso a las cuentas de correo por parte de la empresa.
- Consecuencias para la persona trabajadora del uso indebido del correo electrónico.
- Tiene una longitud mínima de 8 caracteres.
- Se ha escogido al azar y no se puede encontrar en ningún diccionario.
- Sólo la puede deducir el mismo usuario.
- Requiere esfuerzos desproporcionados averiguarla.
- Incluye letras, números, mayúsculas y minúsculas y, si el sistema lo permite, símbolos.
- Contiene menos de 8 caracteres.
- Viene predeterminada por el sistema o por el administrador del sistema.
- Es fácilmente identiﬁcable utilizando diccionarios o bien consiste en nombres propios, fechas signiﬁcativas, números conocidos o variaciones simples de estas palabras.
- Establecer, para el acceso a la cuenta de correo, un mecanismo que garantice la identiﬁcación de forma inequívoca y personalizada de cualquier usuario y su autenticación mediante una contraseña fuerte.
- No crear usuarios que se identifiquen con la dirección de correo, dado que facilitaría la identidad del usuario y daría a un tercero la posibilidad de bloquear la cuenta.
- Almacenar los usuarios y las contraseñas, o cuando menos las contraseñas, de forma ininteligible, utilizando técnicas de cifrado.
- Mantener la conﬁdencialidad del usuario y la contraseña atribuidos cuando se comunican por primera vez al usuario.
- Evitar riesgos cuando se envían las contraseñas al servidor de correo, utilizando sistemas de transmisión segura, como el cifrado.
- Establecer la periodicidad con que se tiene que modificar la contraseña, que en ningún caso tiene que ser superior a un año.
- No permitir, en caso de cambio periódico de la contraseña, que se repitan las últimas contraseñas utilizadas.
- Prohibir expresamente el uso no autorizado del correo electrónico de otros usuarios mediante el intercambio de usuarios o usuarios compartidos.
- Instalar sistemas de bloqueo en el ordenador que se puedan activar fácilmente en caso de ausencia o que obliguen al usuario a volver a introducir su contraseña después de un determinado periodo de inactividad.
- Informar a los usuarios de lo siguiente:
- Sus obligaciones en relación con la conservación de las contraseñas y los periodos de modiﬁcación.
- El carácter personal y no transferible de los usuarios y contraseñas.
- Las responsabilidades en que se puede incurrir por la pérdida, alteración fraudulenta o suplantación en los sistemas de autenticación.
- Establecer un protocolo adecuado para retirar los permisos de acceso, cuan do un trabajador deja de prestar servicios a la entidad.
- Datos de ideología, aﬁliación sindical, religión, creencias, origen racial, salud o vida sexual.
- Datos obtenidos con fines policiales sin el consentimiento de las personas afectadas.
- Datos derivados de actos de violencia de género.
- Establecer por defecto una configuración de seguridad, en los equipos y programas de correo, adecuada a la naturaleza de los datos más sensibles que se prevea que se trataran.
- Proteger siempre el acceso al buzón de correo con un sistema que garantice la identiﬁcación y la autenticación, especialmente cuando se recibe en dispositivos móviles.
- Orientar las pantallas de los terminales de manera que se preserve el contenido de los mensajes respecto de terceras personas que se puedan encontrar en las dependencias donde se halle el puesto de trabajo.
- Configurar los dispositivos móviles para que se bloqueen automáticamente a fin de que, en caso de pérdida, ninguna otra persona pueda acceder a los mensajes de correo electrónico.
- Prohibir la instalación de software no autorizado por la empresa.
- Instalar software antivirus, filtros “anti-inundación o anti-spam” u otros mecanismos para reducir la recepción de mensajes no solicitados.
- Requerir al proveedor que la comunicación entre el dispositivo de acceso al correo y el servidor esté cifrada.
- Pedir que se eliminen, de forma inmediata, los mensajes que puedan contener virus o malware o software malicioso. El borrado completo requiere eliminarlos también de la papelera de reciclaje.
- Establecer un sistema adecuado de resolución de cualquier incidencia de seguridad que se detecte en el sistema.
- Incluir en las normas de uso del correo instrucciones sobre el uso de la ﬁrma electrónica y el cifrado de los mensajes.
- Formar al personal en la utilización de los instrumentos de ﬁrma electrónica y cifrado de los mensajes.
- Establecer, en las normas de uso del correo, si las personas trabajadoras pueden utilizar la cuenta de correo profesional con ﬁnalidades personales.
- Admitir el uso en el ámbito laboral de un sistema de correo vía web para ﬁnalidades privadas, concertado por la misma persona interesada y con los límites de las normas de uso del correo electrónico de la empresa.
- Establecer, en las normas de uso del correo electrónico, un periodo máximo de conservación de los mensajes privados. Si las personas trabajadoras no han borrado antes los mensajes que sean innecesarios, o los han reenviado a una cuenta de correo privado, al cumplirse este plazo las personas trabajadoras tienen que borrar los mensajes de esta naturaleza.
- Establecer las normas de uso de los dispositivos móviles con acceso al correo electrónico, como teléfonos inteligentes o smartphones u ordenadores portátiles, fuera del horario laboral.
- Crear carpetas para almacenar los correos identificados como “privados” o “personales”. Ello se puede hacer de manera automática, mediante filtros a partir de su origen o que incluyan estas expresiones u otras preestablecidas en el asunto del mensaje, o manualmente a partir de la decisión del titular de la cuenta de correo.
- No se puede excluir la utilización del correo electrónico con esta ﬁnalidad en términos absolutos.
- La comunicación no tiene que perturbar la actividad normal de la empresa.
- Su uso no puede comportar gravámenes o costes adicionales para la empresa.
- Autorizar el uso del correo electrónico como instrumento de comunicación e información entre sindicatos y trabajadores, con garantía de inviolabilidad de las comunicaciones de acuerdo con el marco legal vigente, siempre que la actividad y las características generales de la empresa lo permitan. No obstante, conviene valorar la posibilidad de difundir la información sindical entre las personas trabajadoras, mediante sistemas que permitan hacerlo sin necesidad de recoger el dato del correo de las personas trabajadoras, como por ejemplo:
- Utilizar listas de distribución que permitan que el sindicato remita la información sin acceso a los datos.
- Poner una ventanilla de información sindical a disposición de las personas trabajadoras, en la intranet corporativa.
- Establecer un procedimiento fácil para el ejercicio, delante del sindicato y/o el responsable del ﬁchero, del derecho de oposición a la utilización de la dirección electrónica con esta ﬁnalidad.
- Informar a los trabajadores de la posibilidad de ejercer este derecho, en el momento que se faciliten los datos a los representantes de los trabajadores, a menos que ya se les haya informado antes. Ello sin perjuicio que el representante sindical también informe debidamente a los trabajadores.
- Estas operaciones sólo las puede hacer el personal autorizado por el responsable de seguridad.
- Se tiene que informar a las personas trabajadoras afectadas sobre las tareas que se deberán llevar a cabo y las personas que las ejecutarán, como también de la posibilidad de estar presentes durante el acceso.
- Una vez finalizadas las tareas de mantenimiento o de soporte técnico, conviene elaborar un informe de las tareas hechas y, si se ha detectado alguna anomalía, anotarla en el registro de incidencias y comunicarla al órgano competente.
- El órgano superior de la persona trabajadora ausente tiene que valorar de forma motivada la necesidad de la intervención para la continuidad del servicio.
- El acceso a la cuenta de correo electrónico se tiene que comunicar a la persona trabajadora con suficiente antelación. Si no fuera posible esta comunicación previa, se tiene que hacer posteriormente, tan pronto como sea posible.
- Conviene acceder a ella bajo la supervisión del órgano superior de la persona trabajadora y, en el caso que se le haya podido comunicar, con su asistencia o de la persona que designe, si lo desea.
- No se puede acceder, por este motivo, a los mensajes que se puedan identificar claramente como privados o personales.
- El acceso lo tiene que llevar a cabo la persona designada por el responsable de seguridad, en presencia de la persona trabajadora o, si ello no es posible, del representante del personal y de la persona instructora o inspectora.
- Una vez se ha accedido, conviene elaborar un informe de las actuaciones realizadas y de los resultados obtenidos e incorporarlo, si procede, al expediente correspondiente.
Twittear