Bajar la puerta: los empleadores deben tomar medidas para restringir el acceso a la información confidencial.
Con la proliferación de la tecnología y la computación basada en la nube, los empleadores a menudo tienen dificultades para proporcionar a los empleados las herramientas que les permitan acceder a la información que necesitan para realizar su trabajo de manera eficaz y eficiente, al tiempo que se preserva la privacidad de la información confidencial y privada. La Ley de Fraude y Abuso Informático (CFAA) ha sido durante mucho tiempo una herramienta que los empleadores podían utilizar para impedir que los empleados actuales o antiguos, así como los competidores comerciales externos, accedieran y utilizaran la información informática sin la autorización adecuada. Históricamente, la CFAA prohibía a los empleados «piratear» bases de datos informáticas protegidas y obtener información protegida en dichas bases de datos para su uso personal.
Algunos tribunales también ampliaron el alcance de la CFAA para aplicarla a un empleado que estaba autorizado de manera general a acceder a la información de una base de datos informática protegida, pero que utilizó dicho acceso para obtener información con fines no autorizados o indebidos. Sin embargo, el verano pasado, el Tribunal Supremo de los Estados Unidos, en el caso Van Buren contra Estados Unidos, aclaró que la CFAA no se aplica en tales situaciones.
En ese caso del Tribunal Supremo, el demandante Nathan Van Buren era un sargento de policía que, como parte de sus responsabilidades diarias, tenía acceso a una base de datos policial estatal que contenía información sobre permisos de conducir. Van Buren solo tenía permiso para utilizar la base de datos con fines policiales. Sin embargo, un ciudadano particular pagó a Van Buren para que utilizara sus credenciales de inicio de sesión para obtener información sobre permisos de conducir.
Van Buren fue detenido y acusado de un delito grave por infringir la CFAA, lo que le llevó a ser finalmente condenado a 18 meses de prisión. Van Buren apeló, argumentando que la cláusula de «exceso de acceso autorizado» de la CFAA no se aplica a los empleados que hacen un uso indebido del acceso que les han concedido sus empleadores o que utilizan ese acceso con fines indebidos. El Tribunal Supremo de los Estados Unidos estuvo de acuerdo. El Tribunal determinó que el propósito del empleado no es la cuestión relevante, incluso cuando ese propósito está prohibido por la política del lugar de trabajo o los materiales de formación. Más bien, el Tribunal sostuvo que solo se viola la CFAA cuando los empleadores toman medidas para prohibir a los empleados el acceso a la información de los ordenadores que están autorizados a utilizar y los empleados eluden esas restricciones con fines indebidos.
En una decisión de 6 a 3, el Tribunal sostuvo que «si una persona tiene acceso a información almacenada en un ordenador —por ejemplo, en la «Carpeta Y», de la que la persona podría extraer información de forma permisible—, entonces no infringe la CFAA al obtener dicha información, independientemente de si la extrajo con un fin prohibido. Pero si la información se encuentra en la «Carpeta X» prohibida, a la que la persona no tiene acceso, infringe la CFAA al obtener dicha información». Por lo tanto, «la responsabilidad se deriva de una investigación de tipo «puertas abiertas o cerradas»: se puede o no se puede acceder a un sistema informático, y se puede o no se puede acceder a determinadas áreas dentro del sistema».
Si bien el fallo de la Corte Suprema limita el alcance de la CFAA, proporciona a los empleadores una valiosa orientación sobre qué conductas prohíbe realmente la CFAA. Los empleadores «rebajan el listón» tomando medidas para restringir el acceso a la información que desean evitar que los empleados utilicen de forma indebida. Sin embargo, qué medidas deben tomarse exactamente es una cuestión abierta. El Tribunal declaró expresamente que «a los efectos que nos ocupan, no es necesario abordar si esta investigación se centra únicamente en las limitaciones tecnológicas (o «basadas en códigos») del acceso, o si también tiene en cuenta las limitaciones contenidas en los contratos o las políticas». Por lo tanto, no está claro si los empleadores deben proteger los archivos con contraseñas para restringir su acceso, o si basta con prohibir a los empleados el acceso a la información informática en los manuales de los empleados. Sin duda, estas cuestiones serán el centro de atención de futuros litigios relacionados con la CFAA.
Para garantizar que la CFAA proteja la información almacenada en los ordenadores del uso indebido por parte de los empleados, los empleadores deben recurrir a las mejores prácticas en materia de seguridad de los datos. Dichas mejores prácticas incluyen, entre otras: (1) proteger con contraseña toda la información confidencial y privada; dichas contraseñas deben actualizarse con frecuencia y solo deben facilitarse a los empleados que realmente necesiten conocer dicha información; (2) habilitar un cortafuegos para impedir el acceso no autorizado a la red informática; (3) cifrar los datos que sean altamente confidenciales; (4) utilizar una red privada virtual (o VPN) para restringir aún más el acceso no autorizado a su red; y (5) instruir específicamente a los empleados sobre qué bases de datos o información no están autorizadas y supervisar regularmente dichas bases de datos para garantizar que no se acceda a ellas sin la debida autorización.
