La respuesta corta
Si un trabajador accedió a sistemas de la empresa sin autorización, o excediendo la que tenía, superando contraseñas u otras medidas de seguridad, puede haber acceso ilícito del artículo 2 de la Ley 21.459. Si lo hizo para apoderarse o usar la información, la pena es mayor.
La ley alcanza además a quien recibe y usa esos datos sabiendo su origen, a través de la receptación de datos informáticos del artículo 6. Antes de cualquier acción, la prioridad es preservar los registros que permiten probarlo.
Exceder la autorización también cuenta
El caso típico no es el de un intruso. Es el de alguien que tenía usuario y clave legítimos. Por eso la frase clave del artículo 2 es excediendo la autorización que posea: tener acceso para atender clientes no es lo mismo que descargar la base completa la semana antes de renunciar.
La pregunta concreta es qué podía hacer esa persona según su cargo, sus permisos técnicos y las políticas internas, y qué hizo en realidad. Si sus políticas no definen el uso permitido de la información, esa discusión se vuelve más difícil.
Y si el acceso ocurrió después de la desvinculación, porque nadie dio de baja la cuenta, la pregunta sobre la autorización cambia por completo. Desde que termina la relación laboral, el permiso para entrar a los sistemas debiera terminar también.
La agravante de la posición de confianza
El artículo 10 de la ley considera agravante cometer el delito abusando de una posición de confianza en la administración del sistema informático o en la custodia de los datos, en razón de un cargo o función.
Esto apunta directamente a administradores de sistemas, jefes de áreas comerciales con acceso amplio o proveedores que gestionan la infraestructura. Cuanto más alto el nivel de acceso, más importante es poder demostrar qué estaba permitido y qué no.
El que recibe la información también se expone
El artículo 6 sanciona a quien, conociendo su origen o no pudiendo menos que conocerlo, comercialice, transfiera o almacene datos informáticos provenientes de un acceso ilícito, de una interceptación o de una falsificación informática. La pena es la del delito de origen, rebajada en un grado.
Esto importa en dos direcciones. Si su empresa es la afectada, la competencia que recibe y usa la base puede quedar alcanzada. Si su empresa contrata a alguien que llega con una planilla de clientes de su empleador anterior, el riesgo es suyo.
Qué preservar antes de actuar
La reacción habitual es formatear el equipo que devolvió el trabajador y reasignarlo. Es justo lo que destruye la prueba. Antes de mover nada, aísle y conserve:
- Los registros de acceso de los sistemas involucrados: usuario, fecha, hora, dirección y volumen de información descargada.
- El equipo y los dispositivos que usaba, sin encenderlos ni revisarlos por cuenta propia.
- Los registros del correo corporativo y de los servicios en la nube, incluidos reenvíos a cuentas personales.
- Su contrato, anexos, políticas internas de seguridad y uso de la información firmadas, y los perfiles de permisos que tenía asignados.
- La fecha y forma exactas de su desvinculación y del cierre de sus cuentas.
Después: denuncia, querella y datos personales
Con la evidencia preservada, la empresa puede denunciar o presentar una querella. La querella le permite intervenir activamente en la investigación, y la diferencia está en Denuncia o querella por un delito informático. Para la preservación técnica, revise Las primeras horas de un incidente.
Hay una segunda dimensión que se olvida: si la base contiene datos personales de clientes, su salida no autorizada también es un problema de protección de datos para su empresa. Lo explicamos desde ese ángulo en el blog de HM Legal: Las primeras horas de una vulneración de datos.
Cuando un exempleado se lleva información, la ventaja es de quien preservó primero la evidencia. Aísle los equipos, conserve los registros y revise qué estaba autorizado antes de acusar a nadie. Si necesita evaluar el caso con reserva, la Evaluación Estratégica del Caso es confidencial y parte por esos antecedentes.
Preguntas frecuentes
¿Es delito que un trabajador se lleve contactos de clientes que él mismo consiguió?+
Depende de cómo los obtuvo. La Ley 21.459 no castiga recordar a un cliente ni tener su teléfono en la agenda personal: castiga acceder a un sistema sin autorización o excediéndola, superando barreras técnicas. Si la persona descargó la base desde el sistema de la empresa fuera de lo que su función permitía, la situación cambia. Las políticas internas sobre propiedad y uso de la información, firmadas por el trabajador, son decisivas para esa discusión, además de los registros técnicos de lo que efectivamente hizo.
¿Podemos revisar nosotros el computador que devolvió?+
Es mejor no hacerlo sin un protocolo. Encender el equipo, abrir carpetas o copiar archivos altera fechas y metadatos que después pueden ser cuestionados, y puede comprometer la cadena de custodia de la evidencia. Lo recomendable es aislarlo, documentar quién lo tuvo y desde cuándo, y que la extracción la haga un perito con un procedimiento verificable. Revisar además debe respetar la privacidad del trabajador sobre lo que no sea información de la empresa, lo que conviene evaluar con asesoría antes de actuar.
¿Qué riesgo corre la empresa que contrata a ese trabajador?+
Si recibe, almacena o usa datos que provienen de un acceso ilícito, conociendo su origen o no pudiendo menos que conocerlo, puede quedar expuesta a la receptación de datos informáticos del artículo 6 de la Ley 21.459. Por eso, al contratar a alguien que viene de un competidor, conviene dejar por escrito que no debe traer ni usar información de su empleador anterior, y actuar de inmediato si aparece una planilla de origen dudoso en sus sistemas.
Donde comprobarlo
Este articulo se apoya unicamente en fuentes oficiales. Si quiere ir al texto original:
Este articulo fue preparado por HM Legal a partir de fuentes oficiales, pero es informacion general y no constituye asesoria legal para un caso concreto. HM Legal es un estudio juridico privado y no tiene relacion con la Policia de Investigaciones, el Ministerio Publico ni la Agencia Nacional de Ciberseguridad.