13 ago 2026
Por Kimberly Esquivel
La transformación digital ha convertido herramientas como WhatsApp, Teams, Outlook y las aplicaciones de autenticación en elementos esenciales para la operación de muchas organizaciones. Sin embargo, en muchos casos la tecnología ha avanzado más rápido que las políticas internas necesarias para regular su uso.
El reciente voto N.° 32917-2025 de la Sala Constitucional aporta criterios importantes para las organizaciones que buscan fortalecer sus medidas de ciberseguridad, especialmente en esquemas de teletrabajo. Al mismo tiempo, plantea una pregunta que muchas empresas aún no han resuelto:
¿Hasta dónde puede una empresa exigir la instalación de aplicaciones corporativas en dispositivos personales de sus colaboradores?
La respuesta tiene implicaciones laborales, tecnológicas, operativas y de protección de datos personales.
¿Qué resolvió la Sala Constitucional?
La Sala Constitucional conoció el recurso presentado por un funcionario de la Superintendencia de Telecomunicaciones (SUTEL), quien cuestionó la obligación de instalar una aplicación de doble factor de autenticación en su teléfono personal como requisito para realizar teletrabajo.
La Sala declaró sin lugar el recurso al considerar que, según la prueba técnica aportada, la aplicación únicamente cumplía funciones de autenticación y no accedía a información privada del colaborador, no rastreaba su ubicación ni intervenía su dispositivo. Además, concluyó que la medida respondía a una finalidad legítima: proteger los sistemas y la información institucional frente a riesgos de ciberseguridad.
Este criterio confirma que las medidas de seguridad informática pueden ser válidas cuando responden a una necesidad real, cuentan con respaldo técnico y respetan los derechos de las personas trabajadoras.
Lo que este voto no significa
Sería un error interpretar esta resolución como una autorización general para que las empresas exijan la instalación de cualquier aplicación en dispositivos personales de las personas colaboradoras.
La decisión de la Sala estuvo sustentada en circunstancias específicas:
Existía una necesidad legítima de seguridad informática.
La institución acreditó técnicamente el funcionamiento de la aplicación.
No se demostró acceso a información privada del funcionario.
La medida estaba directamente vinculada con la modalidad de teletrabajo.
Existían políticas y regulaciones internas que respaldaban el requisito tecnológico.
Por ello, las organizaciones no deberían asumir que basta con invocar este voto para imponer nuevas herramientas tecnológicas. Cada medida debe evaluarse según su finalidad, proporcionalidad, impacto sobre la privacidad y respaldo documental.
La principal enseñanza para las organizaciones
Más allá del debate jurídico, este voto deja una lección clara: la ciberseguridad no debe gestionarse mediante instrucciones improvisadas.
Las empresas deberían contar con políticas internas que regulen aspectos como:
• El uso de dispositivos corporativos.
• El uso de dispositivos personales para fines laborales.
• La instalación de aplicaciones corporativas.
• La protección de la información empresarial.
• El tratamiento de datos personales.
• La desconexión digital.
En ausencia de políticas claras, incluso una medida técnicamente justificada puede generar conflictos laborales, cuestionamientos sobre protección de datos o riesgos legales para la organización.
Cuando el dispositivo es propiedad de la empresa
Si el teléfono celular es suministrado por la organización, esta dispone de un mayor margen para definir los controles tecnológicos y de seguridad que considere necesarios. Entre ellos pueden incluirse:
Uso obligatorio de aplicaciones corporativas como Teams o Outlook.
Autenticación multifactor.
Políticas de contraseñas.
Actualizaciones de seguridad.
Administración remota del dispositivo.
Procedimientos para la devolución del equipo al finalizar la relación laboral.
Aun en estos casos, resulta recomendable documentar estas condiciones mediante políticas internas que definan claramente el alcance de los controles y las expectativas razonables de privacidad.
Uso de dispositivos personales: aspectos que la empresa debe documentar
El escenario cambia cuando la empresa permite o requiere que las personas colaboradoras utilicen su propio teléfono para acceder a recursos corporativos.
La Ley para Regular el Teletrabajo establece, como regla general, que corresponde al empleador proporcionar los equipos y programas necesarios para la ejecución de las labores. Por ello, cuando una organización implementa esquemas de uso de dispositivos personales, resulta recomendable documentar previamente:
La necesidad empresarial de la herramienta.
Los permisos que requiere la aplicación.
Los datos a los que tendrá acceso.
Las condiciones de uso del dispositivo personal.
Las medidas de seguridad aplicables.
Las alternativas disponibles.
Mientras más claro y documentado sea el proceso, menor será la exposición a contingencias laborales o cuestionamientos relacionados con la protección de datos.
El riesgo empresarial de utilizar WhatsApp personal
Uno de los escenarios más frecuentes en las organizaciones es el uso de teléfonos personales para atender clientes, proveedores o procesos internos mediante aplicaciones como WhatsApp. Aunque suele parecer una solución práctica, también genera riesgos importantes para la empresa, como, por ejemplo:
La información comercial queda vinculada a un número que pertenece al colaborador.
Se mezclan conversaciones personales y laborales.
Puede perderse la trazabilidad de decisiones importantes.
Los clientes continúan contactando al colaborador después de finalizar la relación laboral.
La organización puede perder acceso al historial de conversaciones.
Por esta razón, cuando WhatsApp forma parte de un proceso de negocio, la práctica más segura suele ser utilizar cuentas y números administrados por la organización. Asimismo, las decisiones relevantes no deberían quedar únicamente documentadas en un chat, sino registrarse también en los sistemas oficiales de la empresa.
Teams y Outlook: ventajas y límites
En el caso de herramientas como Teams y Outlook, al operar mediante cuentas corporativas administradas por la organización, ofrecen mayores posibilidades de control. Sin embargo, cuando se utilizan en dispositivos personales, las políticas internas deberían establecer claramente:
Qué información corporativa puede almacenarse localmente.
Qué controles tecnológicos se aplican.
Qué permisos requieren las aplicaciones.
Cómo se eliminan los accesos corporativos al finalizar la relación laboral.
El objetivo debe ser proteger la información empresarial sin afectar innecesariamente la esfera privada de la persona colaboradora.
Protección de datos: una obligación empresarial que no puede ignorarse
Las organizaciones también deben considerar las obligaciones derivadas de la Ley N.° 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales.
No todas las aplicaciones presentan el mismo nivel de riesgo. Existe una diferencia importante entre una herramienta que únicamente genera códigos de autenticación y otra que solicita acceso a contactos, ubicación, cámara, micrófono o archivos almacenados en el dispositivo.
Por esta razón, antes de implementar cualquier solución tecnológica, resulta recomendable evaluar la necesidad, proporcionalidad y los permisos que realmente requiere, limitando el acceso únicamente a lo indispensable para cumplir la finalidad corporativa.
La reflexión para las organizaciones
El verdadero debate no consiste únicamente en determinar si una empresa puede solicitar la instalación de una aplicación corporativa en un dispositivo personal. La pregunta de fondo es si la organización puede demostrar que esa medida responde a una necesidad legítima, es proporcional, cuenta con respaldo técnico y ha sido debidamente documentada.
Ese análisis será el que permita implementar controles tecnológicos con mayor seguridad jurídica, fortalecer la protección de la información y reducir riesgos laborales y de cumplimiento.
El voto N.° 32917-2025 constituye un criterio relevante para las organizaciones que buscan fortalecer sus programas de ciberseguridad. Sin embargo, no debe interpretarse como una autorización para exigir cualquier aplicación en dispositivos personales.
La principal enseñanza es que las medidas tecnológicas deben responder a una necesidad legítima, ser proporcionales, contar con respaldo técnico y encontrarse debidamente documentadas.
Más que ampliar las facultades del empleador, esta resolución recuerda que la gestión de la tecnología, la protección de datos y las relaciones laborales deben avanzar de forma coordinada. Las organizaciones que desarrollen políticas claras sobre el uso de dispositivos, aplicaciones corporativas y ciberseguridad estarán mejor preparadas para proteger su información, reducir contingencias legales y fortalecer una cultura de cumplimiento.
Referencias bibliográficas
Sala Constitucional de Costa Rica. Voto N.° 32917-2025.
Procuraduría General de la República. Ley N.° 9738, Ley para Regular el Teletrabajo.
Procuraduría General de la República. Ley N.° 8968, Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales.
Nota editorial: Las políticas internas sobre dispositivos personales deben coordinarse con criterios laborales, técnicos y de protección de datos.