La gestión de dispositivos (MDM) se centra en el estado de un dispositivo, nunca en lo que la persona que lo utiliza está haciendo. Utiliza esta guía para mostrar a los empleados, sus representantes y tu equipo legal exactamente dónde se encuentra esa línea y qué reglas se aplican en Francia, Alemania, España, el Reino Unido y los EE. UU.
Funcionalidad
Descripción general
Esta guía cubre cuatro aspectos: lo que el agente informa por sí mismo, lo que el producto nunca recoge, lo que un/a administrador/a puede elegir activar y el marco legal que rodea a cada uno.
En varios países, debes involucrar a los representantes de los empleados antes de implementar un MDM en los dispositivos del personal: una consulta del comité de empresa en Francia, un acuerdo laboral en Alemania. Las tablas a continuación están redactadas para que puedas copiarlas directamente en ese archivo.
Una vez que se complete ese paso, los recursos de Comunicación tienen el mensaje que enviar a los empleados, y la guía de inscripción de empleados cubre lo que ellos hacen de su lado.
Cómo usar
- Lee Qué cambia con la gestión de dispositivos para explicar los objetivos de seguridad detrás de la implementación.
- Utiliza Lo que informa el agente, Lo que Factorial IT nunca recoge y Lo que un/a administrador/a puede activar para describir la herramienta en tu archivo de consulta.
- Abre la sección para tu país bajo El marco legal para ver quién debe estar involucrado y en qué términos.
- Consulta La carta de IT, país por país para saber qué documento necesitas y cómo se adopta.
- Envía el mensaje a los empleados desde Recursos de Comunicación y dirige al personal a la guía de inscripción de empleados.
Qué cambia con la gestión de dispositivos
Cada objetivo de seguridad se muestra dos veces: cómo funciona hoy y cómo funciona con un MDM.
| Objetivo | Hoy | Con la gestión de dispositivos |
|---|---|---|
| Cifrar cada dispositivo | FileVault se activa en un dispositivo a la vez, sin ver los demás | La cifrado es obligatorio y su estado se informa. La empresa posee la clave de recuperación. Ver Cifrado de disco |
| Mantener los dispositivos actualizados | Cada empleado/a actualiza cuando lo recuerda, y las fallas conocidas permanecen abiertas durante meses | Se requiere una versión mínima del sistema operativo, y los dispositivos que están por detrás son visibles y pueden ser reparados. Ver Aplicar actualizaciones del sistema operativo |
| Cubrir cada dispositivo con antivirus | El agente se instala manualmente, sin ver qué dispositivos lo tienen faltante | El MDM despliega el antivirus y la cobertura se muestra en una página. Ver Protección de punto final |
| Detectar una vulnerabilidad antes de que sea explotada | No hay una lista del software instalado en la empresa | Las aplicaciones instaladas y sus vulnerabilidades conocidas se informan |
| Controlar software sensible | No hay nada que impida a nadie instalar software no aprobado | Bloqueo de aplicaciones en macOS, primero en modo Monitor, luego en Cuarentena. Ver Bloqueo de aplicaciones |
| Responder a una auditoría o a un cliente | La evidencia de seguridad se recopila manualmente antes de cada plazo | Los controles funcionan todo el tiempo y la evidencia proviene directamente de la plataforma. Ver Descripción general de cumplimiento |
Estos controles describen el dispositivo: si está cifrado, actualizado y protegido. No dicen nada sobre la actividad del empleado/a que lo utiliza.
Lo que informa el agente
El agente envía datos del dispositivo por sí mismo, todo el tiempo. No se necesita acción del/la administrador/a para nada de lo siguiente.
| Datos | Con qué frecuencia | Por qué |
|---|---|---|
| Modelo, número de serie, sistema operativo y versión | Continuamente | Saber qué dispositivos están gestionados y actualizados |
| Estado de cifrado de disco | Continuamente | Asegurarse de que un dispositivo robado no pueda ser leído |
| Clave de recuperación de disco | Continuamente | Almacenada automáticamente, para que la empresa pueda reabrir un dispositivo de la empresa |
| Ajustes de seguridad del dispositivo | Continuamente | Retraso de bloqueo de pantalla, firewall, política de contraseñas |
| Uso de disco, memoria y procesador | Continuamente | Determinar por qué un dispositivo es lento o su disco está lleno |
| Dirección IP | Continuamente | Identificar el dispositivo en la red de la empresa |
| Aplicaciones instaladas | Continuamente | Solo nombres y versiones, nunca lo que hay dentro |
| Vulnerabilidades de software | Continuamente | Parchear una falla antes de que alguien la explote |
Lo que Factorial IT nunca recoge
Ninguno de estos existe en el producto. No están desactivados; simplemente no están allí.
| Datos | Estado | Detalle |
|---|---|---|
| Teclas presionadas | Nunca | No hay un keylogger en el producto |
| Historial de navegación | Nunca | El agente no lo informa. Ver la fila del script en la siguiente tabla |
| Contenido de correos electrónicos y chats | Nunca | El MDM no tiene conexión con herramientas de mensajería |
| Cámara web y micrófono | Nunca | No se capturan imágenes ni sonido |
| Contraseñas personales | Nunca | No hay acceso a gestores de contraseñas |
| Contenido de archivos | Nunca | Se puede ver el nombre y la presencia de un archivo, nunca lo que hay dentro |
Factorial IT publica el mismo límite en una página de transparencia pública: lo que nunca se recoge, lo que se recoge y por qué, y su posición respecto al GDPR y SOC 2 Tipo 2. Cualquiera puede abrirlo, así que puedes compartirlo con los representantes de los empleados.
Lo que un/a administrador/a puede activar
Cada uno de estos es una acción deliberada en un solo dispositivo. El registro de auditoría lo registra, con quién lo hizo, qué hizo y el resultado.
| Acción | Detalle |
|---|---|
| Control remoto y compartir pantalla | Utilizado para solucionar problemas. En macOS, el empleado/a aprueba el compartir pantalla la primera vez, y el MDM no puede dar esa aprobación por ellos. Ver Acceso remoto |
| Ejecutar un script en el dispositivo | Disponible en macOS, Windows y Linux. Como cualquier herramienta de administrador/a, un script puede técnicamente leer el disco. Cada ejecución se registra: quién la ejecutó, qué fue y el resultado. Ver Biblioteca de scripts |
| Localizar un iPhone o iPad | Solo en Modo Perdido, después de que se informe que el dispositivo está perdido o robado. No hay seguimiento constante, y nada similar en Mac. Ver Bloquear dispositivos |
| Bloqueo o borrado remoto | Para un dispositivo perdido o robado, o cuando alguien se va. Ver Borrar dispositivos |
Un borrado remoto no se puede deshacer. Nada en el dispositivo puede recuperarse después.
El marco legal
Poder hacer algo técnicamente no significa que esté permitido. Tres reglas se aplican en cada país a continuación: un propósito declarado respaldado por una base legal, empleados/as informados/as antes de que comience la implementación, y un control proporcional a su objetivo. Lo que cambia de país a país es quién debe estar involucrado primero y cómo.
Francia
| Lo que dice la ley | Lo que significa aquí |
|---|---|
| Consulta del comité de empresa: Código Laboral francés, art. L2312-38 | El CSE debe ser informado y consultado antes de que se implemente cualquier medio de monitoreo de la actividad de los empleados |
| Informar a los empleados primero: Código Laboral francés, art. L1222-4 | No se puede recoger información personal sobre un empleado/a mediante una herramienta de la que no se le haya informado previamente. Por eso el mensaje a los empleados se envía antes de la implementación |
| Proporcionalidad: Código Laboral francés, art. L1121-1 | Cualquier restricción debe estar justificada por el trabajo y ser proporcional a su objetivo. Comprobar el estado de seguridad de un dispositivo está bien. Monitorear lo que la persona hace no lo está |
| Minimización de datos y transparencia: GDPR art. 5 y 13 | Recoger solo lo que necesita el propósito declarado, mantenerlo por un período determinado y registrarlo en el registro de actividades de procesamiento |
| Archivos marcados como personales: Jurisprudencia del Tribunal Supremo francés | Los archivos en un dispositivo de la empresa se presumen archivos de trabajo. Los archivos que el empleado/a ha marcado como personales, por ejemplo, en una carpeta llamada "Personal", solo pueden abrirse con la presencia del empleado/a o debidamente convocados |
Alemania
| Lo que dice la ley | Lo que significa aquí |
|---|---|
| Co-determinación: Ley de Constitución de Empresas (BetrVG), § 87(1) no. 6 | Si hay un comité de empresa, decide conjuntamente sobre la introducción y uso de herramientas técnicas que puedan monitorear el comportamiento o rendimiento de los empleados/as. Esto es co-determinación, no consulta: sin su acuerdo, generalmente un acuerdo laboral (Betriebsvereinbarung), la herramienta no puede implementarse |
| Informar al comité de empresa: BetrVG, § 80(2) | El comité de empresa recibe los documentos que necesita para juzgar lo que la herramienta recoge y lo que puede activar |
| Procesamiento de datos de empleados/as: Ley Federal de Protección de Datos (BDSG), § 26, y GDPR art. 88 | El procesamiento debe ser necesario para la relación laboral. Un acuerdo laboral puede ser la base legal, dentro de los límites del GDPR |
| Proporcionalidad: Jurisprudencia del Tribunal Federal Laboral | El monitoreo constante o encubierto rara vez es proporcional, y la evidencia recopilada más allá de estos límites puede ser desechada en un tribunal |
| Uso privado del dispositivo | Si el personal puede usar un dispositivo de la empresa de forma privada, acceder a su contenido enfrenta límites adicionales. Establece claramente la regla de uso privado en el acuerdo laboral |
| Evaluación de impacto: GDPR art. 35 | Se espera una DPIA cuando la implementación probablemente cree un alto riesgo para los empleados/as |
España
| Lo que dice la ley | Lo que significa aquí |
|---|---|
| Derecho del empleador/a a supervisar: Estatuto de los Trabajadores, art. 20.3 | El empleador/a puede tomar las medidas que considere adecuadas para verificar que se cumplen las obligaciones laborales, respetando la dignidad del empleado/a |
| Reglas para el uso de dispositivos digitales: LOPDGDD, art. 87 | Los empleados/as tienen derecho a la privacidad al usar dispositivos que el empleador/a proporciona. El empleador/a establece las reglas de uso, y los representantes de los trabajadores/as ayudan a redactarlas |
| Geolocalización: LOPDGDD, art. 90 | Los empleados/as y sus representantes deben ser informados de manera clara y explícita sobre la existencia de una herramienta de geolocalización y cómo funciona |
| Informe previo del comité de empresa: Estatuto de los Trabajadores, art. 64.5 | El comité de empresa da un informe antes de que se introduzcan o cambien sistemas de organización y control laboral |
| Minimización de datos y transparencia: GDPR art. 5 y 13 | Recoger solo lo que necesita el propósito declarado, mantenerlo por un período determinado y registrarlo en el registro de actividades de procesamiento |
Reino Unido
| Lo que dice la ley | Lo que significa aquí |
|---|---|
| Base legal y transparencia: GDPR del Reino Unido art. 6 y 13, Ley de Protección de Datos de 2018 | Un propósito declarado y una base legal, con los empleados/as informados/as sobre lo que se recoge y por qué antes de la implementación |
| Evaluación de impacto: GDPR del Reino Unido art. 35 | Una DPIA cuando el monitoreo probablemente cree un alto riesgo. El art. 35(9) alienta a pedir la opinión de los trabajadores/as o sus representantes |
| Monitoreo de trabajadores/as: Guía de prácticas laborales de la ICO | El monitoreo debe ser necesario, proporcional a su propósito y la opción menos intrusiva disponible |
| Intercepción de comunicaciones: Ley de Poderes de Investigación de 2016 y las regulaciones de prácticas comerciales de 2018 | Regula cualquier intercepción del contenido de mensajes. Los controles en esta guía no recogen contenido de mensajes |
| Expectativa de privacidad: Ley de Derechos Humanos de 1998, art. 8 ECHR | Los empleados/as mantienen una expectativa razonable de privacidad en el trabajo, incluidos los dispositivos de la empresa |
| Representantes de empleados/as | No hay obligación legal de consultar a un comité de empresa. Donde se reconoce un sindicato, un acuerdo colectivo puede requerir consulta |
Estados Unidos
| Lo que dice la ley | Lo que significa aquí |
|---|---|
| Dispositivos de propiedad de la empresa | Monitorear dispositivos que son propiedad de la empresa es generalmente legal, y dar aviso es lo que lo hace defensible |
| Intercepción de comunicaciones: Ley de Privacidad de Comunicaciones Electrónicas, 18 U.S.C. § 2510 y ss. | Regula la intercepción de comunicaciones en tránsito, con excepciones para el consentimiento y proveedores. Los controles en esta guía no recogen contenido de mensajes |
| Aviso de monitoreo por escrito por estado: p. ej., Ley de Derechos Civiles de Nueva York § 52-c, Estatuto General de Connecticut § 31-48d, Código de Delaware tit. 19 § 705 | Los empleados/as reciben aviso por escrito de monitoreo electrónico al ser contratados/as o antes de que comience el monitoreo, dependiendo del estado |
| Datos de empleados/as de California: CCPA enmendada por el CPRA | Un aviso en la recolección que enumera lo que se recoge, por qué y durante cuánto tiempo, más un proceso para solicitudes de derechos de empleados/as |
| Fuerzas laborales sindicalizadas: NLRA, § 8(a)(5) | Introducir un nuevo monitoreo puede tener que negociarse con el sindicato |
| Consejo federal de trabajadores/as | No hay ninguno. Los representantes de los empleados/as solo están involucrados cuando un contrato sindical lo requiere |
La herramienta en sí no decide nada. Cada MDM en el mercado tiene las capacidades aquí enumeradas. Lo que una empresa elige hacer con ellas está regido por el marco anterior y por su propia carta de IT.
La carta de IT, país por país
Cada país aquí espera un documento escrito que enumere los usos permitidos de un dispositivo de la empresa, los controles aplicados a él, cuándo interviene IT y cuánto tiempo se conservan los datos. Solo el nombre, su peso legal y cómo se adopta difieren.
| País | Documento | Cómo se adopta |
|---|---|---|
| Francia | Carta de IT (charte informatique), adjunta a las normas internas (règlement intérieur) | Consulta del CSE, archivada en el registro del tribunal laboral, enviada a la inspección laboral |
| Alemania | Acuerdo laboral (Betriebsvereinbarung), o una política de uso de IT donde no hay comité de empresa | Negociado y firmado con el comité de empresa, vinculante para ambas partes |
| España | Reglas para el uso de dispositivos digitales (LOPDGDD, art. 87) | Redactadas con representantes de los trabajadores/as, luego compartidas con los empleados/as |
| Reino Unido | Política de uso aceptable en el manual del personal | Emitida por el empleador/a, respaldada por una DPIA y un aviso de privacidad. Consulta solo si un acuerdo colectivo lo requiere |
| Estados Unidos | Política de uso aceptable y monitoreo electrónico | Firmada por el empleado/a al ser contratado/a, con avisos estatales donde sea necesario y negociaciones donde el personal esté sindicalizado |
Esta guía resume información y no es asesoría legal. Las reglas varían según el país, y en EE. UU. según el estado. Solo tu equipo legal o asesor/a local puede decidir cómo se clasifica tu procesamiento y cómo debe redactarse tu carta de IT.
Consejos y Mejores Prácticas
- Involucra a los representantes antes de implementar, no después. En Francia y Alemania, la consulta o el acuerdo vienen primero. En Alemania, sin el acuerdo del comité de empresa, la herramienta no puede activarse.
- Reutiliza las tablas. Están redactadas para ser copiadas en un archivo de consulta o en una carta de IT.
- Informa a los empleados/as antes de que comience la implementación. Cada país listado espera que las personas sepan qué se recoge antes de que comience la recolección.
- Escribe la regla de uso privado. Si el personal puede usar dispositivos de la empresa de forma privada, cambia lo que puedes acceder, especialmente en Alemania.
- Mantén scripts y acciones remotas para necesidades reales. Se registran, y la proporcionalidad se aplica a cada uno de ellos.
- Haz que tu equipo legal lo apruebe. Esta guía es un resumen, no asesoría legal.
Resolución de problemas y FAQ
Resolución de problemas
- Los representantes de empleados/as preguntan si se monitorean la navegación o los mensajes. Muéstrales la tabla de lo que Factorial IT nunca recoge. El historial de navegación, el contenido de los mensajes, las teclas presionadas, la cámara web, el micrófono, las contraseñas personales y el contenido de archivos no están en el producto.
- Alguien señala que un script podría leer el disco. Eso es cierto para cualquier herramienta de administrador/a. Cada ejecución de script se registra con quién la ejecutó, qué fue y el resultado, y es una acción deliberada en un dispositivo.
- El compartir pantalla no funciona en un Mac. En macOS, el empleado/a debe aprobar el compartir pantalla la primera vez. El MDM no puede aprobarlo por ellos.
FAQ
-
¿Puede un/a administrador/a rastrear dónde está un/a empleado/a?
Solo para un iPhone o iPad en Modo Perdido, después de que se informe que está perdido o robado. No hay seguimiento constante y nada similar en Mac.
-
¿El agente lee el contenido de los archivos?
No. Puede ver que un archivo existe y su nombre, nunca lo que hay dentro.
-
¿Se puede revertir un borrado remoto?
No. Los datos en el dispositivo se pierden para siempre.
-
¿Necesitamos la aprobación del comité de empresa en Alemania?
Donde existe un comité de empresa, sí. Co-decide sobre herramientas capaces de monitorear el comportamiento o rendimiento, generalmente a través de un acuerdo laboral.
-
¿Es esta guía asesoría legal?
No. Es un resumen. Tu equipo legal o asesor/a local tiene la última palabra.