El error que tumba la mitad de los despidos por uso indebido

La secuencia es casi siempre la misma, y casi siempre en el orden equivocado. Se detecta la conducta, se le pide a informática que «mire el ordenador», se guardan unas capturas de pantalla y se redacta la carta. Cuando el asunto llega a la vista, la prueba ya no se puede reparar.

Por qué encender el ordenador ya es un problema

Un sistema operativo moderno escribe constantemente, aunque el usuario no haga nada. Al arrancar actualiza registros de acceso, rota ficheros de sucesos, ejecuta tareas programadas, sincroniza servicios en segundo plano y modifica cientos de marcas temporales.

Eso significa que cada arranque del equipo destruye información. No de forma dramática ni visible, pero sí de la única forma que importa aquí: alterando precisamente los rastros que permitirían acreditar qué hizo el trabajador y cuándo.

El caso típico es doloroso. La empresa quiere imputar que el empleado copió la base de clientes el día 14. El artefacto que lo demuestra es el registro de conexión de dispositivos USB. Cuando informática arrancó el equipo tres veces para «echar un vistazo», ese registro se sobrescribió parcialmente. El hecho ocurrió, pero ya no puede acreditarse.

El segundo error: la captura de pantalla

Una captura no acredita nada por sí sola. No conserva metadatos, no permite verificar la integridad de lo capturado, no demuestra de dónde salió y se puede fabricar en dos minutos con cualquier editor.

Sirve para ilustrar en una reunión interna. No sirve para sostener un despido cuando la otra parte impugna la autenticidad, porque no hay forma de cotejarla con un original.

La secuencia correcta

El orden importa más que la diligencia. Esta es la secuencia que permite imputar hechos concretos, con fecha y hora, en lugar de imputaciones genéricas que el juzgado no puede dar por acreditadas.

1. Congelar antes de mirar

En cuanto haya sospecha fundada: retirar el equipo de servicio, guardarlo bajo llave y anotar quién lo retiró, cuándo y de dónde. No encenderlo. Si está encendido y hay indicios de actividad relevante en curso, conviene una adquisición de memoria volátil antes de apagarlo, porque su contenido desaparece al hacerlo.

2. Detener la rotación de registros

Los registros de cortafuegos, proxy, VPN y servidor de correo se sobrescriben por antigüedad, con frecuencia en días o pocas semanas. Suspender esa rotación es urgente y suele ser lo primero que se olvida. Lo mismo con las cuentas en nube: suspender el acceso, nunca cerrar la cuenta.

3. Adquisición forense

Copia bit a bit del soporte con bloqueador de escritura por hardware, huella criptográfica calculada antes y después, y acta de adquisición firmada. A partir de ese momento todo el análisis se hace sobre la copia, nunca sobre el original.

4. Análisis y, solo entonces, carta de despido

Cuando se sabe con precisión qué ocurrió, con qué fechas y con qué respaldo técnico, se redacta la carta imputando esos hechos concretos. Al revés, la empresa se compromete a unos hechos que después puede no poder demostrar, y esa distancia entre lo imputado y lo acreditado es exactamente por donde se pierde el asunto.

La cuestión de la licitud

Preservar bien la prueba no resuelve si acceder a ella era lícito. Son dos planos distintos y ambos hacen falta.

La valoración de licitud depende de la política de uso de medios que tuviera la empresa, de la información previa facilitada al trabajador, de la expectativa razonable de privacidad que la empresa hubiera generado y del juicio de idoneidad, necesidad y proporcionalidad de la medida concreta. Es una valoración jurídica, y corresponde a la dirección letrada.

Lo que aporta el peritaje es la otra mitad: documentar con exactitud a qué se accedió, cómo, cuándo y con qué alcance, de modo que esa valoración jurídica pueda hacerse sobre hechos ciertos y no sobre reconstrucciones aproximadas. Un dictamen que describe con precisión el alcance del acceso ayuda a defender su proporcionalidad; uno que no puede precisarlo la deja indefendible.

Qué se puede acreditar cuando el trabajo se hace bien

• Conexión de dispositivos de almacenamiento, con marca, modelo, número de serie y momento exacto
• Copia de ficheros a nube personal, correo web o mensajería, con volumen y momento
• Accesos a repositorios, CRM o unidades compartidas fuera de horario o fuera de su ámbito de función
• Ficheros borrados en los días previos a la baja, con frecuencia recuperables
• Uso de recursos de la empresa para actividad ajena o competidora
• Reconstrucción cronológica completa, que es lo que convierte una sospecha en un relato acreditado

Y si ya se ha encendido el equipo

No todo está perdido, pero conviene saberlo cuanto antes. Buena parte de los artefactos sobreviven a unos pocos arranques, y un análisis puede seguir aportando mucho. Lo que no se puede es fingir que no ocurrió: si el equipo se manipuló antes de la adquisición, el dictamen debe decirlo y explicar qué consecuencias tiene sobre cada conclusión.

Un informe que oculta esa manipulación previa no protege a la empresa: la expone. Porque el perito contrario lo va a detectar, y entonces el problema ya no será el alcance de la prueba, sino la credibilidad de quien la presentó.