Leyes de monitoreo en línea

El equipo de Spyrix recopila los principales actos y documentos legales que describen cómo los empleadores pueden monitorear legalmente las actividades en línea de sus empleados. También proporciona directrices sobre cómo se pueden usar las herramientas de monitoreo con fines personales.

Actos internacionales globales

RGPD (Reglamento General de Protección de Datos - Unión Europea)

El RGPD es el principal reglamento de protección de datos de la Unión Europea y se aplica a cualquier organización que procese datos personales de personas en la UE, independientemente de su ubicación. La monitorización de la actividad en línea, la monitorización de empleados y cualquier forma de seguimiento digital quedan dentro de su ámbito de aplicación siempre que involucren datos personales.

Según el RGPD, la monitorización suele ser lícita solo cuando existe una base jurídica válida, como el interés legítimo, el cumplimiento de un contrato o la obtención del consentimiento explícito. Antes de implementar herramientas de monitorización, las organizaciones deben asegurarse de que esta sea necesaria, proporcionada y no interfiera indebidamente con la privacidad de las personas.

El RGPD exige a las empresas realizar una Evaluación de Interés Legítimo (EIL) o, cuando la monitorización pueda suponer mayores riesgos, una Evaluación de Impacto sobre la Protección de Datos (EIPD). Estas evaluaciones ayudan a determinar la justificación de la monitorización e identificar maneras de reducir los riesgos de la recopilación de datos.

La transparencia es esencial. Las personas deben ser informadas con claridad y antelación sobre el tipo de monitoreo, la finalidad, los datos recopilados, la base legal, quién tendrá acceso y durante cuánto tiempo se conservarán los datos. El monitoreo no revelado o encubierto suele estar restringido y solo se permite en circunstancias muy específicas, definidas por las leyes nacionales.

El RGPD también hace hincapié en la minimización de datos, exigiendo a las organizaciones que recopilen únicamente lo necesario para un fin definido. La monitorización continua o excesivamente intrusiva sin una justificación clara puede infringir los principios del RGPD.

Para las herramientas de monitorización online, las obligaciones más relevantes del RGPD incluyen:

• Proporcionar un aviso claro sobre el seguimiento

• Recopilando únicamente los datos necesarios

• Utilizando medidas de seguridad técnicas y organizativas adecuadas

• Identificar y documentar la base legal para el procesamiento

• Permitir a las personas ejercer sus derechos (acceso, supresión, oposición, etc.)

Directrices de privacidad de la OCDE (Organización para la Cooperación y el Desarrollo Económicos)

Las Directrices de Privacidad de la OCDE establecen principios internacionalmente reconocidos para la protección de datos y la privacidad. Si bien no son jurídicamente vinculantes, influyen en las leyes nacionales de privacidad a nivel mundial y sirven de marco para el manejo responsable de datos.

Las directrices enfatizan la equidad, la transparencia, la limitación de la finalidad, la calidad de los datos, las garantías de seguridad, la apertura y la rendición de cuentas. Estos principios instan a las organizaciones a recopilar datos personales únicamente con fines claros y legítimos, y a garantizar que las personas comprendan cómo se utilizan sus datos.

Para la monitorización en línea y de empleados, las Directrices de la OCDE promueven prácticas transparentes, proporcionadas y respetuosas de la privacidad. Si bien no contienen normas detalladas específicas para la monitorización, promueven la gobernanza responsable de datos e inspiran la legislación nacional que sí la regula directamente.

En la práctica, las directrices alientan a las organizaciones a:

• Comunicar claramente las prácticas de monitoreo

• Limitar la recopilación de datos a lo necesario

• Proteja los datos monitoreados del acceso no autorizado

• Revise periódicamente las prácticas de monitoreo para garantizar su imparcialidad y necesidad.

Si bien no son exigibles como el RGPD, las Directrices de Privacidad de la OCDE ayudan a dar forma a los estándares globales y las mejores prácticas para el monitoreo legal y ético.

Estados Unidos

Canadá

Ley de Protección de la Información Personal y de los Documentos Electrónicos (PIPEDA)

• Se aplica a las organizaciones del sector privado en todo Canadá (excepto donde las leyes provinciales lo reemplacen).

• Cubre cualquier recopilación, uso o divulgación de información personal, incluido el monitoreo en línea y de empleados.

• Requiere que las organizaciones identifiquen un propósito claro para el monitoreo y obtengan un consentimiento significativo cuando sea apropiado.

• El seguimiento debe ser razonable, limitado a lo necesario y realizado de manera transparente.

• Se debe informar a los empleados sobre qué se monitorea, por qué se monitorea y cómo se utilizará la información.

• La información personal debe protegerse con medidas de seguridad adecuadas.

Leyes Provinciales de Privacidad (PIPA de Alberta, PIPA de Columbia Británica, Ley 25 de Quebec)

• Aplicar a organizaciones del sector privado dentro de sus respectivas provincias.

• Generalmente reflejan los principios de PIPEDA, pero pueden tener reglas más estrictas en torno al consentimiento, la retención y la privacidad de los empleados.

• El seguimiento debe ser razonable para los fines comerciales y estar alineado con políticas claras y comunicadas.

• Los empleadores deben informar a los empleados antes de recopilar información personal a través de herramientas de monitoreo.

• Algunas provincias exigen políticas que expliquen el tipo de datos que se recopilan, cuánto tiempo se conservan y quién tiene acceso a ellos.

• Las organizaciones deben proporcionar a los empleados acceso a su información personal cuando lo soliciten.

Reino Unido

RGPD del Reino Unido

• Se aplica al procesamiento de datos personales en el Reino Unido, incluido el seguimiento de la actividad de los empleados y en línea.

• Requires a clear lawful basis for monitoring (often "legitimate interests" or contract).

• La vigilancia debe ser necesaria, proporcionada y no excesivamente intrusiva.

• Los empleadores deben realizar una evaluación de riesgos o DPIA para el monitoreo de mayor riesgo (por ejemplo, seguimiento continuo, registro de teclas).

• Fuerte enfoque en la transparencia: el personal debe saber qué se monitorea, por qué y cómo se usarán y almacenarán los datos.

Ley de Protección de Datos de 2018

• Complementa el RGPD del Reino Unido y proporciona reglas y exenciones adicionales.

• Establece disposiciones específicas sobre el contexto laboral y el acceso de las fuerzas del orden.

• Refuerza los principios de minimización de datos, limitación de propósito y seguridad para el monitoreo de datos.

• Otorga a las personas el derecho de acceder a sus datos personales y, en algunos casos, de oponerse a ciertos tipos de monitoreo.

RIPA (Ley de Regulación de los Poderes de Investigación)

• Regula la interceptación de comunicaciones y el uso de vigilancia y monitoreo encubierto.

• Generalmente restringe la interceptación de comunicaciones sin consentimiento o autorización adecuada.

• La vigilancia encubierta de empleados (sin su conocimiento) sólo está permitida en circunstancias muy limitadas, como en investigaciones de mala conducta grave y cuando sea proporcionado.

Código de Prácticas de Empleo de la ICO (y orientación relacionada)

• Orientación no vinculante de la Oficina del Comisionado de Información del Reino Unido sobre la vigilancia en el trabajo.

• Destaca que el seguimiento debe ser específico, no excesivo y justificado por una necesidad empresarial clara.

• Recomienda realizar evaluaciones de impacto antes de introducir nuevas herramientas de monitoreo.

• Aconseja a los empleadores crear políticas escritas claras que expliquen qué se monitorea, cómo y con qué fines.

• Hace hincapié en la consulta, la transparencia y el respeto de las expectativas razonables de privacidad de los trabajadores.

Australia y Nueva Zelanda

Ley de Privacidad de 1988 (Australia)

La Ley de Privacidad de 1988 establece el marco general que rige el manejo de la información personal por parte de las organizaciones australianas, incluyendo los datos recopilados mediante la monitorización en línea y de empleados. Exige a las organizaciones que recopilen únicamente la información razonablemente necesaria, que sean transparentes sobre su uso y que la mantengan segura. Si bien la Ley no contiene normas detalladas sobre la vigilancia en el lugar de trabajo, cualquier monitorización que identifique a una persona generalmente estará sujeta a los Principios de Privacidad Australianos, especialmente en lo relativo a la notificación, la limitación de la finalidad y los derechos de acceso. En la práctica, esto significa que los empleadores y proveedores de servicios que utilicen herramientas de monitorización deben definir objetivos comerciales claros, evitar el seguimiento excesivo y explicar sus prácticas en las políticas de privacidad y la documentación interna.

Leyes de vigilancia del lugar de trabajo (a nivel estatal, Australia)

Varios estados y territorios australianos regulan la vigilancia de forma más directa mediante leyes de vigilancia en el lugar de trabajo, como la Ley de Vigilancia en el Lugar de Trabajo de 2005 (NSW) y la Ley de Privacidad en el Lugar de Trabajo de 2011 (ACT). Estas leyes suelen regular cuándo y cómo los empleadores pueden utilizar cámaras, ordenadores y sistemas de seguimiento, exigiendo a menudo un aviso previo por escrito, señalización visible y políticas claras antes de iniciar la vigilancia. La vigilancia oculta está estrictamente restringida y, por lo general, solo se permite con autorización específica y para investigaciones de faltas graves o actividades ilícitas, no para el seguimiento rutinario del rendimiento. En el caso de las herramientas de vigilancia en línea, esto significa que los empleadores de los estados afectados deben notificar a los empleados de forma clara y oportuna que su uso de ordenadores, internet o correo electrónico puede ser vigilado, y garantizar que dicha vigilancia se ajuste a las condiciones legales.

Ley de Privacidad de 2020 (Nueva Zelanda)

La Ley de Privacidad de Nueva Zelanda de 2020 moderniza el marco de privacidad del país y se aplica tanto a los datos de clientes como a los de empleados, incluyendo la información recopilada mediante la monitorización en el lugar de trabajo o en línea. La ley exige a las organizaciones recopilar información únicamente para fines legales y necesarios, ser transparentes sobre sus prácticas y permitir a las personas acceder a su información personal. Las directrices de los organismos reguladores enfatizan que la monitorización, grabación o filmación de empleados debe ser proporcionada y estar respaldada por políticas laborales claras, desarrolladas de acuerdo con la Ley de Privacidad y la legislación laboral. Se anima a los empleadores a consultar con el personal, explicar por qué es necesaria la monitorización y considerar el impacto en la confianza y la moral, especialmente al utilizar herramientas que permiten un seguimiento continuo o detallado.

Área de Asia y el Pacífico

PDPA (Ley de Protección de Datos Personales) – Singapur

• Cubre los datos personales manejados por las organizaciones, incluidos los datos de empleados y de seguimiento.

• Requiere un propósito claro y legal para el monitoreo.

• Generalmente se necesita el consentimiento u otra base válida.

• Fuerte enfoque en la transparencia, la notificación adecuada y las garantías de protección de datos.

• La retención debe limitarse a lo necesario.

PDPA – Malasia

• Se aplica a datos personales tratados en contextos comerciales y laborales.

• El consentimiento es un requisito principal para recopilar datos de seguimiento.

• Los datos deben procesarse de manera justa y para un propósito específico y establecido.

• Incluye reglas sobre límites de retención, seguridad de datos y procesadores de terceros.

APPI (Ley de Protección de la Información Personal) – Japón

• Rige el manejo de datos personales tanto de clientes como de empleados.

• Requiere que las organizaciones definan y comuniquen el propósito del monitoreo.

• Enfatiza la seguridad de los datos y la supervisión adecuada del personal que maneja información personal.

• El seguimiento debe ser proporcionado y estar alineado con las políticas internas.

• Los empleados pueden tener derechos de acceso y corrección según el contexto.

PIPL (Ley de Protección de Información Personal) – China

• Ley integral de protección de datos que cubre datos del lugar de trabajo y del consumidor.

• Requiere un propósito claro, minimización de datos y transparencia para el seguimiento.

• Puede ser necesario el consentimiento, especialmente cuando el monitoreo involucra datos sensibles o detallados.

• Establece requisitos estrictos sobre retención, seguridad y documentación del procesamiento.

• Otorga a las personas derechos para acceder, corregir y solicitar la eliminación de datos monitoreados.

América Latina

LGPD (Lei Geral de Proteção de Dados) – Brasil

La LGPD de Brasil regula cualquier uso de datos personales, incluida la información recopilada mediante monitoreo en línea o en el lugar de trabajo. Las organizaciones necesitan una base legal clara para el monitoreo y deben explicar su propósito. El monitoreo debe limitarse a lo necesario, realizarse con transparencia y estar respaldado por las medidas de seguridad adecuadas. Las personas tienen derecho a acceder, corregir y solicitar la eliminación de sus datos personales.

Leyes nacionales de privacidad en Argentina, México y Chile

Estos países cuentan con leyes nacionales de protección de datos que se aplican a los datos personales recopilados mediante herramientas de monitoreo. Los requisitos comunes incluyen tener una finalidad legítima, informar a las personas sobre el monitoreo y mantener la seguridad de los datos. El monitoreo debe ser razonable y proporcionado, y las personas generalmente tienen derecho a acceder o actualizar su información. Si bien las normas específicas difieren, la transparencia y la necesidad son expectativas constantes en toda la región.

Área de Oriente Medio

Ley de Protección de Datos de los EAU (DPL/PDPL)

La ley federal de protección de datos de los EAU se aplica a las organizaciones que procesan datos personales de personas en el país, incluidos sus empleados. Para la monitorización, se requiere una finalidad clara y legal, se limita la recopilación de datos a lo estrictamente necesario y se prioriza la transparencia y la seguridad. Las organizaciones deben informar al personal sobre cualquier monitorización, documentar los motivos de la misma e implementar políticas y salvaguardas internas para el manejo de los datos monitorizados.

Ley de Protección de Datos de Qatar

La ley de protección de datos personales de Qatar abarca los datos personales procesados ​​electrónicamente o destinados a ser procesados ​​electrónicamente. Reconoce el derecho de las personas a la privacidad de sus datos y, por lo general, exige el consentimiento u otra justificación legítima antes de procesar datos personales, incluidos los recopilados mediante sistemas de monitoreo. Las organizaciones deben implementar medidas de seguridad adecuadas, ser transparentes sobre el uso de los datos personales y respetar el derecho de las personas a acceder y corregir su información.

Ley de Protección de Datos Personales de Arabia Saudita (PDPL)

La Ley de Protección de Datos Personales (PDPL) de Arabia Saudita se aplica al procesamiento de datos personales de personas en el Reino, por parte de organizaciones dentro y fuera del país. Para su supervisión, exige que las organizaciones definan propósitos claros, adopten políticas de privacidad por escrito e informen a las personas sobre cómo se recopilarán y utilizarán sus datos. El consentimiento es una base importante para el procesamiento en muchos casos, aunque la ley también permite el procesamiento por ciertas razones comerciales, legales y de interés público. Se espera que los empleadores que utilicen herramientas de monitoreo protejan los datos monitoreados, limiten el acceso y gestionen la información de los empleados de acuerdo con las normas de transparencia, seguridad y retención de la PDPL.