Una política de uso aceptable (a menudo conocida como normativa interna de uso de los sistemas de la empresa) indica a todas las personas que utilizan sus sistemas qué pueden hacer, qué no pueden hacer y qué puede controlar la empresa. Acceptable Use Express es un asistente de autoservicio que ayuda a una pyme europea a redactarla en lenguaje claro, con referencias al RGPD y a la norma ISO/IEC 27001, e incluye el teletrabajo, los dispositivos personales y la IA generativa. Obtiene un borrador de trabajo a nombre de su empresa, que debe validar su propio asesor.
Un documento breve y legible que convierte sus intenciones de seguridad en normas cotidianas para las personas
La mayoría de las pequeñas y medianas empresas disponen de ordenadores, un buzón por persona, archivos compartidos en la nube, algunas aplicaciones de gestión y, cada vez más, teléfonos y portátiles que salen de la oficina. Lo que a menudo les falta es un único documento que indique, con palabras que cualquier empleado entienda, cómo pueden utilizarse esas herramientas. Ese documento es la política de uso aceptable. En Francia suele llamarse charte informatique; en otros lugares encontrará «política de uso informático», «política de uso de equipos» o «normativa de uso de los sistemas». El nombre importa menos que sus tres funciones.
Los usuarios no pueden respetar reglas que nadie les ha puesto por escrito. Una política de uso aceptable establece el comportamiento esperado en materia de contraseñas, correo electrónico, navegación por internet, intercambio de archivos, soportes extraíbles, instalación de software, uso personal de los equipos de la empresa, desplazamientos y teletrabajo. Es la parte de su seguridad que llega a los usuarios, la que alcanza a cada puesto de trabajo.
Registros, filtrado, acceso al buzón durante una ausencia, gestión de dispositivos, copias de seguridad de los puestos de trabajo: todo ello implica datos personales de los empleados. En virtud del Reglamento General de Protección de Datos, las personas afectadas deben ser informadas de las finalidades y de las condiciones del tratamiento (artículo 13). La política de uso aceptable es un lugar natural para facilitar esa información en un único texto coherente, en lugar de dispersarla en correos sueltos.
Cuando se incumple una norma, una organización debe poder demostrar que la norma existía, que la persona la conocía y que cualquier control que haya revelado la infracción era en sí mismo lícito y proporcionado. Una política que nunca se comunicó, o que oculta controles de los que el personal nunca oyó hablar, le ofrece muy poco sustento. Cómo se vuelve exigible una política depende del derecho laboral nacional, por eso mantenemos esta página en un plano general y le remitimos a su asesor para el último paso.
La norma internacional de seguridad reconoce expresamente esta función. ISO/IEC 27001:2022, en su Anexo A, incluye el control 5.10 «Uso aceptable de la información y de otros activos asociados», que prevé que las reglas de uso aceptable y los procedimientos de tratamiento de la información y de los activos se identifiquen, documenten e implanten. Una política de uso aceptable es la forma más común en que las pymes cumplen esa expectativa, tengan o no intención de obtener la certificación.
Fuentes: Reglamento (UE) 2016/679 (RGPD), EUR-Lex · ISO/IEC 27001, página pública en iso.org
Los mismos errores se repiten una y otra vez. Ninguno requiere un gran presupuesto para corregirse.
Una política descargada de internet describe las herramientas de otra organización, el país de otra organización y los riesgos de otra organización. Menciona sistemas que usted no utiliza y calla sobre los que sí utiliza. El personal lo nota y deja de leerla.
Un documento guardado en una carpeta compartida no se ha comunicado. Si no puede demostrar quién lo recibió, cuándo y en qué versión, será difícil apoyarse en él después. En varios países, los trámites de información o consulta a los empleados forman parte de lo que hace aplicables las normas.
El filtrado web, los registros (logs) de la pasarela de correo, la administración de puntos de conexión y las herramientas de prevención de pérdida de datos observan a las personas. El RGPD exige transparencia (artículo 5, apartado 1, letra a) e información a las personas afectadas (artículo 13). Un control mantenido en silencio constituye por sí mismo un riesgo de cumplimiento.
Muchas cartas se redactaron cuando todos trabajaban frente a un escritorio en la oficina. No dicen nada sobre la wifi de casa, los teléfonos personales que reciben el correo de la empresa o los empleados que pegan datos de clientes en un chatbot público. La laguna es donde ocurren los incidentes.
Los capítulos siguientes son la columna vertebral del borrador que genera el asistente. Cada uno se adapta a sus respuestas y puede abreviarse o suprimirse.
Empleados, becarios, personal temporal, contratistas y cualquier persona con una cuenta. Qué sistemas están cubiertos: puestos de trabajo, dispositivos móviles, correo, suites colaborativas, aplicaciones de gestión, redes, impresoras, almacenamiento en la nube. Un ámbito claro evita el clásico argumento «esto no me afectaba».
Cuentas personales e intransferibles; calidad y almacenamiento de las contraseñas; autenticación multifactor cuando la empresa la haya desplegado; bloqueo de la sesión al abandonar el puesto; qué hacer si una contraseña puede haber quedado expuesta.
Relacionado: NIS2, art. 21, apartado 2, letra j) incluye la autenticación multifactor entre las medidas para las entidades incluidas en su ámbito.
Uso profesional como regla, uso personal razonable si la empresa lo permite, y cómo deben identificarse los mensajes personales. Cómo reaccionar ante el phishing, archivos adjuntos y enlaces, reglas de reenvío, reenvío automático a direcciones personales, sitios y contenidos prohibidos.
Qué información es confidencial, cómo puede compartirse dentro y fuera de la empresa, herramientas aprobadas para compartir archivos, impresión, mesa limpia y el deber de tratar los datos personales únicamente siguiendo las instrucciones de la empresa.
RGPD arts. 29 y 32, apartado 4: las personas que actúan bajo la autoridad del responsable solo tratan datos personales siguiendo sus instrucciones.
Quién puede instalar software, uso de memorias USB y discos externos personales, cuidado de portátiles y teléfonos, notificación de pérdida o robo, y devolución de equipos y accesos cuando alguien se marcha (el Anexo A de ISO/IEC 27001:2022 también tiene un control sobre la devolución de activos, 5.11).
Trabajar desde casa, desde las instalaciones de un cliente o en movimiento: redes de confianza, VPN cuando sea necesaria, privacidad de la pantalla, protección física de los equipos, videollamadas en lugares públicos. El Anexo A de ISO/IEC 27001:2022 tiene un control específico, el 6.7 «Teletrabajo».
Si los teléfonos, tabletas u ordenadores personales pueden acceder a datos de la empresa, en qué condiciones (bloqueo del dispositivo, actualizaciones, perfil de trabajo separado, borrado remoto solo de los datos de la empresa) y qué puede y qué no puede ver la empresa en un dispositivo personal.
Qué herramientas de IA están aprobadas, qué datos nunca deben introducirse en ellas (datos personales, secretos de clientes, código fuente, credenciales), revisión humana de los resultados y cómo solicitar una nueva herramienta. Una política que simplemente lo prohíbe todo tiende a empujar el uso fuera de la vista.
AI Act, Reglamento (UE) 2024/1689, art. 4 sobre la alfabetización en IA del personal.
Qué se registra, filtra o verifica, con qué finalidad, por quién, durante cuánto tiempo se conservan los registros y los derechos de las personas afectadas. Este capítulo es donde se cumplen las obligaciones de transparencia e información del RGPD.
RGPD arts. 5 y 13.
Cómo y a quién notificar un correo sospechoso, un dispositivo perdido o un error, sin temor a reproches por una notificación rápida. Referencia al régimen disciplinario aplicable en su organización (ISO/IEC 27001:2022, Anexo A, control 6.4 «Proceso disciplinario»), y la fecha y la versión de la política.
La vía jurídica difiere entre los Estados miembros. Lo que no difiere es la lógica: lícita, proporcionada, conocida de antemano.
Una política de uso aceptable casi siempre describe el tratamiento de datos personales de los empleados: registros de cuentas, registros de conexión, filtrado, inventarios de dispositivos, a veces acceso a buzones. Tres artículos del RGPD enmarcan ese tratamiento en toda la Unión Europea.
Artículo 5, principios. Los datos personales deben tratarse de forma lícita, leal y transparente; recogerse con fines determinados, explícitos y legítimos; ser adecuados, pertinentes y limitados a lo necesario; conservarse no más tiempo del necesario; y tratarse con las garantías de seguridad adecuadas. Conforme al artículo 5, apartado 2, el responsable debe poder demostrar el cumplimiento de estos principios (responsabilidad proactiva). En una política de uso aceptable, esto significa que cada control que describa debe tener una finalidad declarada y un plazo de conservación razonable, y que usted debe poder demostrar por qué es proporcionado.
Artículo 13, información que debe facilitarse. Cuando los datos se recogen de la persona interesada, el responsable debe facilitar, entre otras cosas, su identidad y datos de contacto, los datos de contacto del delegado de protección de datos cuando exista, las finalidades y la base jurídica del tratamiento, los intereses legítimos perseguidos cuando sea esa la base, los destinatarios, el plazo de conservación y los derechos de la persona. La política de uso aceptable, o una nota informativa anexa, es un vehículo práctico para esta información.
Artículo 88, tratamiento en el contexto laboral. El RGPD permite a los Estados miembros establecer, por ley o mediante convenios colectivos, normas más específicas para el tratamiento de datos personales de los empleados en el ámbito laboral. El artículo 88, apartado 2, exige que esas normas incluyan medidas adecuadas y específicas para salvaguardar la dignidad, los intereses legítimos y los derechos fundamentales de las personas afectadas, prestando especial atención a la transparencia del tratamiento, a las transferencias dentro de un grupo de empresas y a los sistemas de supervisión en el lugar de trabajo. En la práctica, la respuesta a «¿qué podemos controlar y cómo?» depende en parte del país en el que opere.
En toda la UE, la Directiva 2002/14/CE establece un marco general para informar y consultar a los trabajadores en empresas por encima de umbrales que cada Estado miembro fija dentro de los límites de la directiva. El derecho nacional y los convenios colectivos definen después si un comité de empresa, un órgano de representación del personal o un sindicato deben ser informados o consultados antes de introducir normas sobre el uso informático o la supervisión en el trabajo, y en qué forma. En algunos países, la política de uso aceptable se anexa al reglamento interno y sigue el mismo procedimiento; en otros forma parte del contrato de trabajo, de un convenio colectivo o de una política independiente que cada usuario reconoce.
Tomemos Francia como un ejemplo entre muchos: el Código del Trabajo prevé que el comité social y económico (CSE) sea informado y consultado, antes de su introducción en la empresa, sobre los medios o técnicas que permitan controlar la actividad de los empleados, y que ningún dato personal sobre un empleado pueda recogerse mediante un dispositivo que previamente no se haya puesto en conocimiento del empleado. La autoridad francesa de protección de datos, la CNIL, recomienda en su guía de seguridad de los datos personales que la empresa redacte una carta informática y le dé fuerza vinculante, por ejemplo anexándola al reglamento interno. Otros países tienen equivalentes propios; por eso el asistente le pregunta dónde trabajan sus empleados y señala los puntos que debe verificar con su asesor.
Cualquiera que sea la vía nacional, conserve las pruebas: la versión y la fecha de la política, la fecha en que se comunicó, cómo (correo electrónico, intranet, paquete de acogida, firma) y quién lo reconoció. Vuelva a comunicarla cuando cambie la política. El Anexo A de ISO/IEC 27001:2022 trata esto como parte de los controles relativos a las personas, junto con los términos y condiciones de contratación (6.2) y la concienciación, la educación y la formación en seguridad de la información (6.3).
Importante. Esta sección es información general sobre textos europeos y nacionales. No constituye asesoramiento jurídico y no sustituye al análisis de un abogado laboralista, de un delegado de protección de datos o de su asesor de recursos humanos para su situación concreta, su país y sus convenios colectivos.
Fuentes: RGPD, arts. 5, 13 y 88 (EUR-Lex) · Directiva 2002/14/CE (EUR-Lex) · Código del Trabajo francés (Légifrance) · CNIL, guía de seguridad de los datos personales · ISO/IEC 27001 (iso.org)
La política de uso aceptable no es por sí sola una política de seguridad. Es la parte de esta dirigida a los usuarios.
La política de seguridad de la información está escrita para la dirección y para informática: fija objetivos, funciones, tratamiento de riesgos y los controles a los que se compromete la empresa. La política de uso aceptable traduce sus partes destinadas a los usuarios en comportamientos concretos. ISO/IEC 27001:2022, Anexo A, separa ambos documentos: el control 5.1 «Políticas de seguridad de la información» y el control 5.10 «Uso aceptable de la información y de otros activos asociados». Ambos documentos deben usar el mismo vocabulario, la misma clasificación de la información y los mismos contactos, para que un empleado nunca reciba instrucciones contradictorias.
Si está redactando la propia política de seguridad, consulte nuestra página hermana pssi-express.eu.
El teletrabajo traslada datos de la empresa a redes domésticas, mesas de cocina y asientos de tren. La política de uso aceptable es el lugar donde se fijan las expectativas mínimas: usar los equipos de la empresa cuando se faciliten, mantenerlos actualizados, conectarse a través del acceso seguro de la empresa cuando sea necesario, evitar la impresión en lugares públicos, proteger pantallas y conversaciones, y notificar de inmediato cualquier pérdida. Si también dispone de un acuerdo o una política de teletrabajo aparte, la política de uso aceptable debe remitir a ellos en lugar de repetirlos. El control 6.7 «Teletrabajo» del Anexo A de ISO/IEC 27001:2022 cubre el aspecto de seguridad.
Permitir que los teléfonos personales reciban el correo de la empresa es cómodo y habitual. También plantea dos cuestiones que la política debe resolver. ¿Qué exige la empresa al dispositivo (bloqueo de pantalla, sistema operativo soportado, perfil o contenedor de trabajo separado)? ¿Y qué puede ver o borrar la empresa? Las herramientas de administración de dispositivos pueden configurarse para gestionar solo los datos de la empresa; la política debe decirlo y debe indicar qué ocurre con los datos de la empresa cuando la persona se marcha. El control 8.1 «Dispositivos finales de usuario» del Anexo A de ISO/IEC 27001:2022 enmarca el aspecto técnico.
Los asistentes de IA públicos pueden ser útiles, y el personal ya los utiliza a menudo. El riesgo está en los datos introducidos y en los resultados usados sin revisión. Un capítulo breve sobre IA suele enumerar las herramientas aprobadas, prohibir introducir datos personales, información confidencial o credenciales en servicios no aprobados, exigir revisión humana antes de reutilizar un resultado y explicar cómo solicitar una nueva herramienta. Cuando un servicio externo de IA trate datos personales por cuenta suya, son de aplicación las normas del RGPD sobre encargados del tratamiento (artículo 28) y sobre transferencias fuera de la UE (capítulo V). El artículo 4 del AI Act, aplicable desde el 2 de febrero de 2025, pide a los proveedores y responsables del despliegue de sistemas de IA que adopten medidas para garantizar, en la mayor medida posible, un nivel suficiente de alfabetización en IA de su personal (verifique la versión consolidada vigente, ya que se han propuesto modificaciones de este artículo); un capítulo sobre IA en la política de uso aceptable, junto con una breve sesión de sensibilización, constituye una base de partida razonable.
Reglamento (UE) 2024/1689 (AI Act) · RGPD, art. 28 y capítulo V
Para las entidades esenciales e importantes en virtud de la Directiva NIS2, las medidas de gestión de riesgos de ciberseguridad del artículo 21 incluyen prácticas básicas de ciberhigiene y formación en ciberseguridad (21, apartado 2, letra g), así como seguridad de los recursos humanos, políticas de control de acceso y gestión de activos (21, apartado 2, letra i). Una política de uso aceptable no le hace cumplir NIS2, pero es uno de los documentos que sostienen esas medidas.
Una política firmada y olvidada no cambia nada. La política y el programa de concienciación deben trabajar juntos: la política fija la norma, las sesiones breves explican por qué. Cuando existe un delegado de protección de datos, el RGPD incluye entre sus funciones la sensibilización y la formación del personal (artículo 39, apartado 1, letra b). Las agencias nacionales publican material gratuito que puede reutilizar, por ejemplo ENISA a escala europea y, en Francia, ANSSI y cybermalveillance.gouv.fr.
Usted mantiene el control de principio a fin. Un consultor humano es una opción, nunca un requisito.
Un cuestionario breve sobre su organización: dónde están empleados sus trabajadores, qué herramientas utilizan, si se permiten los dispositivos personales y el teletrabajo, si utiliza asistentes de IA, si tiene representantes del personal y si ya dispone de una política de seguridad. Le indica qué capítulos necesita y qué puntos requerirán una validación jurídica local.
Usted responde a preguntas guiadas con sus propias palabras, capítulo por capítulo: qué está permitido, qué no, qué controla la empresa y por qué, cuánto tiempo se conservan los registros, a quién contactar. Cada pregunta incluye una breve explicación y, cuando procede, un enlace a la fuente oficial. Puede guardar su avance, retomarlo más tarde e involucrar a un compañero.
La política se genera automáticamente a partir de sus respuestas, a nombre de su empresa, con una nota informativa separada sobre la supervisión y un formulario de acuse de recibo. Es una base de trabajo: haga que la revise su propio asesor (abogado laboralista, delegado de protección de datos, recursos humanos) antes de comunicarla, consulte a los representantes cuando sea preceptivo y adóptela.
Si desea que alguien revise sus respuestas con usted, adapte el borrador a un contexto específico o prepare la presentación al personal o a sus representantes, puede solicitar el apoyo de un consultor asociado. Es opcional y está separado de la herramienta de autoservicio.
Base de trabajo, no asesoramiento jurídico. El documento generado es un borrador construido a partir de sus propias respuestas y de fuentes públicas. No constituye asesoramiento jurídico. Su validez en su país y el procedimiento para hacerlo aplicable a su personal deben ser verificados por un asesor cualificado.
Documentos que puede editar, comunicar y conservar como prueba
El documento principal, en lenguaje claro, elaborado a partir de sus respuestas.
Una nota separada estructurada en torno al artículo 13 del RGPD.
Lo que necesita para comunicar la política y conservar una constancia.
Con qué textos públicos se corresponde cada capítulo.
Un anexo breve e independiente que puede actualizar con más frecuencia que la política.
Su documento sigue siendo suyo, en formatos que puede modificar.
Citamos solo textos a los que podemos enlazar. Cuando algo depende del derecho nacional, el borrador lo indica en lugar de adivinarlo.
Artículo 5 (principios y responsabilidad proactiva), artículo 13 (información a las personas afectadas), artículo 88 (tratamiento en el contexto laboral) y, cuando proceda, artículo 28 (encargados del tratamiento), artículo 32 (seguridad del tratamiento) y artículo 39 (funciones del delegado de protección de datos).
Control 5.10 «Uso aceptable de la información y de otros activos asociados», con los controles relacionados 5.1 (políticas de seguridad de la información), 5.11 (devolución de activos), 6.2 (términos y condiciones de contratación), 6.3 (concienciación, educación y formación), 6.4 (proceso disciplinario), 6.7 (teletrabajo) y 8.1 (dispositivos finales de usuario). La norma la vende ISO; citamos únicamente los títulos de los controles.
Solo para las entidades incluidas en el ámbito: artículo 21, apartado 2, letra g) prácticas básicas de ciberhigiene y formación en ciberseguridad, letra i) seguridad de los recursos humanos, políticas de control de acceso y gestión de activos, letra j) autenticación multifactor. Son de aplicación las leyes nacionales de transposición.
Artículo 4 sobre alfabetización en IA, aplicable desde el 2 de febrero de 2025 a proveedores y responsables del despliegue de sistemas de IA (verifique la versión consolidada vigente antes de basarse en él). Es pertinente en cuanto su personal utilice sistemas de IA en su trabajo.
Lo que contiene cada opción. La disponibilidad se anunciará en esta página.
Para saber qué necesita antes de empezar
Para redactar su propio borrador de política
Para añadir una revisión humana al borrador de autoservicio
En cualquiera de las opciones, el documento es una base de trabajo que debe validar su propio asesor. No constituye asesoramiento jurídico.
Respuestas breves. Cuando se cita un texto, el enlace lleva a la fuente oficial.
Cada afirmación normativa o reglamentaria de arriba enlaza a una de estas.
Esta página ofrece información general. No constituye asesoramiento jurídico.
El asistente de autoservicio está en preparación. Se abrirá en esta página.
Preguntas mientras tanto: contact@syaga.eu