Dictamen N° 22/022 .
VISTO: La consulta presentada por el Sr. Alfonso Vicente, relativa a si es legítimo que una empresa realice un “man in the middle”, en la navegación desde los dispositivos de la empresa sin avisar a los empleados.
RESULTANDO: Que el consultante describe la práctica indicada, en el marco de comunicaciones de empleados de la empresa con terceros con dispositivos del empleador, como “técnicas para ponerse literalmente “en el medio” de esa transmisión, para poder descifrarla, inspeccionarla, y volverla a cifrar para que desde el punto de vista del usuario esta técnica sea transparente”.
CONSIDERANDO: I. Que el consultante expresa eventuales conflictos de derechos derivados de la no provisión de información a empleados por parte de empleadores, y menciona resoluciones del Consejo Ejecutivo de esta Unidad que refieren a videovigilancia de cámaras, las que no resultan de aplicación al tema de la consulta.
II. Que, en general, es el empleador quien establece cuáles son las condiciones en las que va a trabajar un nuevo empleado o funcionario, en el marco de las normas constitucionales, legales y reglamentarias correspondientes. En cuanto a los dispositivos que va a utilizar el empleado o funcionario para cumplir con sus tareas, se debe distinguir si es o no proporcionado por el empleador. En el primer caso, éste determinará cómo se empleará, y el empleado no deberá utilizarlos para su uso personal, salvo autorización expresa.
III. Que, el artículo 9° literal D de la Ley N° 18.331, de 11 de agosto de 2008, establece como excepción al previo consentimiento informado para el tratamiento de datos personales, cuando éste derive de una relación contractual –entre otras- y que sea necesario para su desarrollo o cumplimiento.
IV. Que, adicionalmente, el artículo 10° de la ley citada impone a los responsables la obligación de adoptar medidas que resulten necesarias para la seguridad y la confidencialidad de los datos personales, además de las medidas de responsabilidad proactiva que correspondan en función del artículo 12°, este último en la redacción dada por el artículo 39 de la Ley N° 19.670, de 15 de octubre de 2018.
IV. Que, sin perjuicio de lo indicado, el empleador deberá proveer a sus empleados información en forma previa de conformidad con el artículo 13 de la Ley N° 18.331, en particular en referencia a las condiciones de uso de los dispositivos que éste provee.
ATENTO: a lo expuesto e informado,
El Consejo Ejecutivo de la Unidad de la Unidad Reguladora y de Control de Datos Personales
DICTAMINA:
1°. La práctica indicada en la consulta y definida como “man in the middle” podrá realizarse en dispositivos provistos por el empleador en el marco de lo dispuesto por el artículo 9° literal D) de la Ley N° 18.331, de 11 de agosto de 2008.
2° En todos los casos deberá informarse previamente a los empleados de los alcances de la técnica referida, en el marco de lo dispuesto en el artículo 13° de la Ley.
3°. El empleador deberá cumplir en todos los casos con los restantes principios de la protección de datos personales, en la recolección de los datos que realice.
4°. Notifíquese y publíquese.
Firmado por: Felipe Rotondo
Consejo Ejecutivo
URCDP