La gestión de dispositivos (MDM) observa el estado de un dispositivo, nunca lo que la persona que lo usa está haciendo. Usa esta guía para mostrar a los empleados, sus representantes y a tu equipo legal exactamente dónde se encuentra esa línea y qué reglas aplican en Francia, Alemania, España, el Reino Unido y los EE. UU.
Funcionalidad/Característica
Descripción general
Esta guía cubre cuatro cosas: lo que el agente informa por sí mismo, lo que el producto nunca recopila, lo que un administrador puede elegir activar y el marco legal que rodea a cada uno.
En varios países, debes involucrar a los representantes de los empleados antes de implementar un MDM en los dispositivos del personal: una consulta del comité de empresa en Francia, un acuerdo laboral en Alemania. Las tablas a continuación están escritas para que puedas copiarlas directamente en ese archivo.
Una vez que se complete ese paso, los recursos de Comunicación tienen el mensaje para enviar a los empleados, y la guía de inscripción de empleados cubre lo que ellos hacen de su lado.
Cómo usar
- Lee Qué cambia con la gestión de dispositivos para explicar los objetivos de seguridad detrás de la implementación.
- Usa Lo que informa el agente, Lo que Factorial IT nunca recopila y Lo que un administrador puede activar para describir la herramienta en tu archivo de consulta.
- Abre la sección para tu país bajo El marco legal para ver quién debe estar involucrado y en qué términos.
- Consulta La carta IT, país por país para saber qué documento necesitas y cómo se adopta.
- Envía el mensaje a los empleados desde Recursos de Comunicación y dirígelos a la guía de inscripción de empleados.
Qué cambia con la gestión de dispositivos
Cada objetivo de seguridad se muestra dos veces: cómo funciona hoy y cómo funciona con un MDM.
| Objetivo | Hoy | Con gestión de dispositivos |
|---|---|---|
| Cifrar cada dispositivo | FileVault se activa en un dispositivo a la vez, sin vista de los otros | La cifración es obligatoria y su estado se informa. La empresa tiene la clave de recuperación. Ver Cifrado de disco |
| Mantener los dispositivos actualizados | Cada empleado actualiza cuando lo recuerda, y los fallos conocidos permanecen abiertos durante meses | Se requiere una versión mínima del sistema operativo, y los dispositivos que están por debajo son visibles y pueden ser reparados. Ver Aplicar actualizaciones de sistema operativo |
| Cubrir cada dispositivo con antivirus | El agente se instala manualmente, sin vista de qué dispositivos lo están omitiendo | El MDM despliega el antivirus y la cobertura se muestra en una página. Ver Protección de endpoint |
| Capturar una vulnerabilidad antes de que sea explotada | No hay lista del software instalado en toda la empresa | Las aplicaciones instaladas y sus vulnerabilidades conocidas se informan |
| Controlar software sensible | Nada impide a nadie instalar software no aprobado | Bloqueo de aplicaciones en macOS, primero en modo Monitor, luego en Cierre. Ver Bloqueo de aplicaciones |
| Responder a una auditoría o a un cliente | La evidencia de seguridad se recopila manualmente antes de cada plazo | Los controles funcionan todo el tiempo y la evidencia proviene directamente de la plataforma. Ver Descripción general de cumplimiento |
Estos controles describen el dispositivo: si está cifrado, actualizado y protegido. No dicen nada sobre la actividad del empleado que lo utiliza.
Lo que informa el agente
El agente envía datos del dispositivo por su cuenta, todo el tiempo. No se necesita acción del administrador para nada de lo siguiente.
| Datos | Con qué frecuencia | Por qué |
|---|---|---|
| Modelo, número de serie, sistema operativo y versión | Continuamente | Saber qué dispositivos están gestionados y actualizados |
| Estado de cifrado del disco | Continuamente | Asegurarse de que un dispositivo robado no pueda ser leído |
| Clave de recuperación del disco | Continuamente | Almacenada automáticamente, para que la empresa pueda reabrir un dispositivo de la empresa |
| Configuraciones de seguridad del dispositivo | Continuamente | Tiempo de bloqueo de pantalla, firewall, política de contraseñas |
| Uso de disco, memoria y procesador | Continuamente | Determinar por qué un dispositivo es lento o su disco está lleno |
| Dirección IP | Continuamente | Identificar el dispositivo en la red de la empresa |
| Aplicaciones instaladas | Continuamente | Nombres y versiones solamente, nunca lo que hay dentro de ellas |
| Vulnerabilidades de software | Continuamente | Parchear un fallo antes de que alguien lo explote |
Lo que Factorial IT nunca recopila
Ninguno de estos existe en el producto. No están desactivados; simplemente no están allí.
| Datos | Estado | Detalle |
|---|---|---|
| Teclas presionadas | Nunca | No hay keylogger en el producto |
| Historial de navegación | Nunca | El agente no lo informa. Ver la fila del script en la siguiente tabla |
| Contenido de correos electrónicos y chats | Nunca | El MDM no tiene conexión con herramientas de mensajería |
| Cámara web y micrófono | Nunca | No se capturan imágenes ni sonido |
| Contraseñas personales | Nunca | No hay acceso a gestores de contraseñas |
| Contenido de archivos | Nunca | Se puede ver el nombre y la presencia de un archivo, nunca lo que hay dentro |
Factorial IT publica el mismo límite en una página de transparencia pública: lo que nunca se recopila, lo que se recopila y por qué, y su posición sobre el GDPR y SOC 2 Tipo 2. Cualquiera puede abrirlo, así que puedes compartirlo con los representantes de los empleados.
Lo que un administrador puede activar
Cada uno de estos es una acción deliberada en un solo dispositivo. El registro de auditoría lo registra, con quién lo hizo, qué hizo y el resultado.
| Acción | Detalle |
|---|---|
| Control remoto y compartir pantalla | Utilizado para solucionar problemas. En macOS, el empleado aprueba el compartir pantalla la primera vez, y el MDM no puede dar esa aprobación por ellos. Ver Acceso remoto |
| Ejecutar un script en el dispositivo | Disponible en macOS, Windows y Linux. Como cualquier herramienta de administración, un script puede técnicamente leer el disco. Cada ejecución se registra: quién la ejecutó, qué fue y el resultado. Ver Biblioteca de scripts |
| Localizar un iPhone o iPad | Solo en Modo Perdido, después de que se informe que el dispositivo está perdido o robado. No hay seguimiento constante, y nada similar en Mac. Ver Bloquear dispositivos |
| Bloqueo o borrado remoto | Para un dispositivo perdido o robado, o cuando alguien se va. Ver Borrar dispositivos |
Un borrado remoto no se puede deshacer. Nada en el dispositivo se puede recuperar después.
El marco legal
Poder hacer algo técnicamente no significa que esté permitido. Tres reglas aplican en cada país a continuación: un propósito declarado respaldado por una base legal, empleados informados antes de que comience la implementación, y un control proporcional a su objetivo. Lo que cambia de país a país es quién debe estar involucrado primero, y cómo.
Francia
| Lo que dice la ley | Lo que significa aquí |
|---|---|
| Consulta del comité de empresa: Código Laboral francés, art. L2312-38 | El CSE debe ser informado y consultado antes de que se implemente cualquier medio de monitoreo de la actividad de los empleados |
| Informar a los empleados primero: Código Laboral francés, art. L1222-4 | No se puede recopilar información personal sobre un empleado mediante una herramienta que no se les informó previamente. Por eso el mensaje a los empleados se envía antes de la implementación |
| Proporcionalidad: Código Laboral francés, art. L1121-1 | Cualquier restricción debe estar justificada por el trabajo y ser proporcional a su objetivo. Comprobar el estado de seguridad de un dispositivo está bien. Monitorear lo que la persona hace no lo está |
| Minimización de datos y transparencia: GDPR art. 5 y 13 | Recoger solo lo que el propósito declarado necesita, mantenerlo por un período establecido y registrarlo en el registro de actividades de procesamiento |
| Archivos marcados como personales: Jurisprudencia del Tribunal Supremo francés | Los archivos en un dispositivo de la empresa se presumen archivos de trabajo. Los archivos que el empleado ha marcado como personales, por ejemplo, en una carpeta llamada "Personal", solo pueden abrirse con la presencia del empleado o debidamente convocado |
Alemania
| Lo que dice la ley | Lo que significa aquí |
|---|---|
| Co-determinación: Ley de Constitución de Empresas (BetrVG), § 87(1) no. 6 | Si hay un comité de empresa, decide conjuntamente sobre la introducción y uso de herramientas técnicas capaces de monitorear el comportamiento o rendimiento de los empleados. Esto es co-determinación, no consulta: sin su acuerdo, generalmente un acuerdo laboral (Betriebsvereinbarung), la herramienta no puede implementarse |
| Informar al comité de empresa: BetrVG, § 80(2) | El comité de empresa recibe los documentos que necesita para juzgar qué recopila la herramienta y qué puede activar |
| Procesamiento de datos de empleados: Ley Federal de Protección de Datos (BDSG), § 26, y GDPR art. 88 | El procesamiento debe ser necesario para la relación laboral. Un acuerdo laboral puede ser la base legal, dentro de los límites del GDPR |
| Proporcionalidad: Jurisprudencia del Tribunal Federal Laboral | El monitoreo constante o encubierto rara vez es proporcional, y la evidencia recopilada más allá de estos límites puede ser desechada en la corte |
| Uso privado del dispositivo | Si el personal puede utilizar un dispositivo de la empresa de forma privada, acceder a su contenido enfrenta límites adicionales. Establecer claramente la regla de uso privado en el acuerdo laboral |
| Evaluación de impacto: GDPR art. 35 | Se espera una DPIA cuando la implementación probablemente cree un alto riesgo para los empleados |
España
| Lo que dice la ley | Lo que significa aquí |
|---|---|
| Derecho del empleador a supervisar: Estatuto de los Trabajadores, art. 20.3 | El empleador puede tomar las medidas que considere necesarias para verificar que se cumplen las obligaciones laborales, respetando la dignidad del empleado |
| Reglas para el uso de dispositivos digitales: LOPDGDD, art. 87 | Los empleados tienen derecho a la privacidad al usar dispositivos que el empleador proporciona. El empleador establece las reglas de uso, y los representantes de los trabajadores ayudan a redactarlas |
| Geolocalización: LOPDGDD, art. 90 | Los empleados y sus representantes deben ser informados clara y explícitamente de que existe una herramienta de geolocalización y cómo funciona |
| Informe previo del comité de empresa: Estatuto de los Trabajadores, art. 64.5 | El comité de empresa da un informe antes de que se introduzcan o cambien sistemas de organización y control laboral |
| Minimización de datos y transparencia: GDPR art. 5 y 13 | Recoger solo lo que el propósito declarado necesita, mantenerlo por un período establecido y registrarlo en el registro de actividades de procesamiento |
Reino Unido
| Lo que dice la ley | Lo que significa aquí |
|---|---|
| Base legal y transparencia: GDPR del Reino Unido art. 6 y 13, Ley de Protección de Datos de 2018 | Un propósito declarado y una base legal, con empleados informados sobre lo que se recopila y por qué antes de la implementación |
| Evaluación de impacto: GDPR del Reino Unido art. 35 | Una DPIA cuando el monitoreo probablemente cree un alto riesgo. El art. 35(9) alienta a solicitar la opinión de los trabajadores o sus representantes |
| Monitoreo de trabajadores: Guía de prácticas laborales de la ICO | El monitoreo debe ser necesario, proporcional a su propósito y la opción menos intrusiva disponible |
| Intercepción de comunicaciones: Ley de Poderes de Investigación de 2016 y las regulaciones de prácticas comerciales de 2018 | Regula cualquier intercepción del contenido de los mensajes. Los controles en esta guía no recopilan contenido de mensajes |
| Expectativa de privacidad: Ley de Derechos Humanos de 1998, art. 8 CEDH | Los empleados mantienen una expectativa razonable de privacidad en el trabajo, incluidos los dispositivos de la empresa |
| Representantes de empleados | No hay obligación legal de consultar a un comité de empresa. Donde se reconoce un sindicato, un acuerdo colectivo aún puede requerir consulta |
Estados Unidos
| Lo que dice la ley | Lo que significa aquí |
|---|---|
| Dispositivos de propiedad de la empresa | Monitorear dispositivos que posee la empresa es generalmente legal, y dar aviso es lo que lo hace defensible |
| Intercepción de comunicaciones: Ley de Privacidad de Comunicaciones Electrónicas, 18 U.S.C. § 2510 et seq. | Regula la intercepción de comunicaciones en tránsito, con excepciones para el consentimiento y proveedores. Los controles en esta guía no recopilan contenido de mensajes |
| Aviso de monitoreo por escrito según el estado: p. ej. Ley de Derechos Civiles de Nueva York § 52-c, Estatuto General de Connecticut § 31-48d, Código de Delaware tit. 19 § 705 | Los empleados reciben aviso por escrito de monitoreo electrónico al ser contratados o antes de que comience el monitoreo, dependiendo del estado |
| Datos de empleados de California: CCPA enmendada por el CPRA | Un aviso al momento de la recopilación que enumera lo que se recopila, por qué y por cuánto tiempo, además de un proceso para solicitudes de derechos de empleados |
| Fuerzas laborales sindicalizadas: NLRA, § 8(a)(5) | Introducir un nuevo monitoreo puede tener que negociarse con el sindicato |
| Consejo federal de trabajadores | No hay ninguno. Los representantes de los empleados solo están involucrados cuando un contrato sindical lo requiere |
La herramienta en sí no decide nada. Cada MDM en el mercado tiene las capacidades enumeradas aquí. Lo que una empresa elige hacer con ellas está regulado por el marco anterior y por su propia carta IT.
La carta IT, país por país
Cada país aquí espera un documento escrito que enumere los usos permitidos de un dispositivo de la empresa, los controles aplicados a él, cuándo interviene IT y cuánto tiempo se conserva la información. Solo el nombre, su peso legal y cómo se adopta difieren.
| País | Documento | Cómo se adopta |
|---|---|---|
| Francia | Carta IT (charte informatique), adjunta a las reglas internas (règlement intérieur) | Consulta del CSE, archivada en el registro del tribunal laboral, enviada a la inspección laboral |
| Alemania | Acuerdo laboral (Betriebsvereinbarung), o una política de uso de IT donde no hay comité de empresa | Negociado y firmado con el comité de empresa, vinculante para ambas partes |
| España | Reglas para el uso de dispositivos digitales (LOPDGDD, art. 87) | Redactadas con representantes de los trabajadores, luego compartidas con los empleados |
| Reino Unido | Política de uso aceptable en el manual del personal | Emitida por el empleador, respaldada por una DPIA y un aviso de privacidad. Consulta solo si un acuerdo colectivo lo requiere |
| Estados Unidos | Política de uso aceptable y monitoreo electrónico | Firmada por el empleado al ser contratado, con avisos estatales donde se requiera y negociación donde el personal esté sindicalizado |
Esta guía resume información y no es asesoramiento legal. Las reglas varían según el país, y en los EE. UU. según el estado. Solo tu equipo legal o abogado local puede decidir cómo se clasifica tu procesamiento y cómo debe redactarse tu carta IT.
Consejos y Mejores Prácticas
- Involucra a los representantes antes de implementar, no después. En Francia y Alemania, la consulta o el acuerdo viene primero. En Alemania, sin el acuerdo del comité de empresa, la herramienta no puede entrar en funcionamiento.
- Reutiliza las tablas. Están escritas para ser copiadas en un archivo de consulta o en una carta IT.
- Informa a los empleados antes de que comience la implementación. Cada país enumerado espera que las personas sepan qué se recopila antes de que comience la recopilación.
- Escribe la regla de uso privado. Si el personal puede usar dispositivos de la empresa de forma privada, esto cambia lo que puedes acceder, especialmente en Alemania.
- Mantén scripts y acciones remotas para necesidades reales. Se registran, y la proporcionalidad se aplica a cada uno de ellos.
- Haz que tu equipo legal lo apruebe. Esta guía es un resumen, no asesoramiento legal.
Resolución de problemas y FAQ
Resolución de problemas
- Los representantes de los empleados preguntan si se monitorean la navegación o los mensajes. Muéstrales la tabla de lo que Factorial IT nunca recopila. El historial de navegación, el contenido de los mensajes, las teclas presionadas, la cámara web, el micrófono, las contraseñas personales y el contenido de los archivos no están en el producto.
- Alguien señala que un script podría leer el disco. Eso es cierto para cualquier herramienta de administración. Cada ejecución de script se registra con quién la ejecutó, qué fue y el resultado, y es una acción deliberada en un dispositivo.
- El compartir pantalla no funciona en un Mac. En macOS, el empleado tiene que aprobar el compartir pantalla la primera vez. El MDM no puede aprobarlo por ellos.
FAQ
-
¿Puede un administrador rastrear dónde está un empleado?
Solo para un iPhone o iPad en Modo Perdido, después de que se informe como perdido o robado. No hay seguimiento constante y nada similar en Mac.
-
¿El agente lee el contenido de los archivos?
No. Puede ver que un archivo existe y su nombre, nunca lo que hay dentro.
-
¿Se puede revertir un borrado remoto?
No. Los datos en el dispositivo se pierden para siempre.
-
¿Necesitamos la aprobación del comité de empresa en Alemania?
Donde existe un comité de empresa, sí. Co-decide sobre herramientas capaces de monitorear el comportamiento o rendimiento, generalmente a través de un acuerdo laboral.
-
¿Es esta guía asesoramiento legal?
No. Es un resumen. Tu equipo legal o abogado local tiene la última palabra.