Cumplimiento del RGPD en entornos de trabajo híbridos: una guía práctica

El cumplimiento del RGPD en los entornos de trabajo híbridos no consiste en un conjunto de normas independiente. El reglamento se aplica de la misma manera tanto si tu equipo trabaja desde la oficina, desde casa o desde una cafetería en otro país, pero los entornos híbridos plantean riesgos que los entornos de oficina tradicionales nunca tuvieron que gestionar: dispositivos personales que procesan datos de la empresa, herramientas de «TI en la sombra» adoptadas sin la aprobación del departamento de TI y empleados que acceden a los sistemas desde redes que no controlas.

TL;DR

El cumplimiento del RGPD se aplica de la misma manera, independientemente de si los empleados trabajan desde casa, en la oficina o en cualquier otro lugar. La normativa no varía en función de la ubicación. Sin embargo, los modelos híbridos sí que plantean nuevos riesgos que es necesario gestionar.

• La «TI en la sombra» y los dispositivos personales procesan datos fuera de tu control, lo que genera puntos ciegos en tu estrategia de cumplimiento normativo
• El acceso transfronterizo de los empleados que trabajan en el extranjero da lugar a unas normas complejas en materia de transferencia de datos que puedes evitar utilizando herramientas alojadas en la UE.
• Aún dispones de 72 horas para notificar una violación de seguridad, pero detectar incidentes en las redes domésticas lleva más tiempo que en la oficina

Requisitos del RGPD para los entornos de trabajo híbridos

El Reglamento General de Protección de Datos es una norma de la Unión Europea que regula la forma en que las organizaciones tratan los datos personales de los residentes de la UE. Si tu empresa recopila, almacena o trata información sobre personas de la UE, debes cumplir estas normas. El reglamento se aplica independientemente del lugar físico en el que se encuentren tus empleados mientras realizan su trabajo.

El RGPD no trata el teletrabajo de forma diferente al trabajo en la oficina. Se necesitan las mismas medidas técnicas y organizativas para proteger los datos tanto en la mesa de la cocina de una persona como en la sede central de una empresa. La ley se centra en los resultados, no en las ubicaciones.

Para entender quién es responsable del cumplimiento normativo, hay que partir de dos funciones clave. El responsable del tratamiento decide por qué y cómo se tratan los datos personales. El encargado del tratamiento gestiona los datos en nombre del responsable. En la mayoría de los entornos de gestión laboral, tú actúas como responsable del tratamiento y el proveedor del software, como encargado del tratamiento. Ambas partes comparten las obligaciones de cumplimiento normativo.

En el contexto laboral, los datos personales abarcan más de lo que cabría esperar. Se incluyen los expedientes de los empleados, los registros de visitantes, los datos de reserva de puestos de trabajo y los registros de acceso. Debes proteger esta información de acuerdo con los principios fundamentales del RGPD, como la minimización de datos: recopilar solo lo que realmente necesitas para una finalidad concreta.

Las configuraciones híbridas complican el cumplimiento de los derechos de los interesados. Los empleados pueden solicitar el acceso a sus datos personales, pedir que se corrijan o exigir su supresión. Cuando la información se encuentra repartida entre varios dispositivos personales, redes domésticas y aplicaciones en la nube, recopilar o suprimir esos datos se convierte en un auténtico reto operativo. Los sistemas centralizados te ayudan a atender estas solicitudes dentro del plazo de un mes establecido por el RGPD.

Riesgos relacionados con el RGPD específicos de los modelos de trabajo híbridos

El hecho de que los empleados trabajen fuera del perímetro tradicional de la oficina conlleva una serie de vulnerabilidades que los equipos de TI y de cumplimiento normativo deben gestionar de forma activa. Cuando las personas trabajan desde casa o en espacios públicos, se pierde el control directo sobre el entorno físico y la infraestructura de red.

La «TI en la sombra» representa uno de los mayores riesgos de cumplimiento normativo en un entorno híbrido. Según JumpCloud, el 65 % de los trabajadores a distancia utiliza software sin la autorización del departamento de TI. Esto incluye aplicaciones para compartir archivos, plataformas de mensajería y herramientas de planificación que los equipos adoptan para colaborar con compañeros a distancia. Cuando el personal utiliza estas aplicaciones no autorizadas, procesa datos personales totalmente fuera del ámbito de visibilidad del departamento de TI. No se puede garantizar que estos proveedores externos cumplan con las normas del RGPD si ni siquiera se sabe que existen.

Los dispositivos personales suponen otro riesgo importante. Muchas empresas permiten a sus empleados utilizar sus propios ordenadores portátiles o teléfonos inteligentes para realizar tareas laborales. Sin un software adecuado de gestión de dispositivos, no es posible garantizar que estos utilicen métodos de cifrado o de borrado seguro. Si un empleado pierde un teléfono personal que contenga correos electrónicos de la empresa o datos de clientes, no hay forma de borrar de forma remota el contenido del dispositivo.

Las redes domésticas carecen de los cortafuegos de nivel empresarial y de los sistemas de supervisión del tráfico que sí cuentan las redes corporativas. Además, trabajar en espacios compartidos expone la información confidencial a las miradas indiscretas de quienes se asoman por encima del hombro. Un ordenador portátil sin bloquear en una cafetería o una pantalla a la vista en un piso compartido plantean riesgos de seguridad física que no existen en un edificio de oficinas con acceso controlado mediante tarjetas de identificación.

Medidas de seguridad de los datos que funcionan en todas las sedes

La protección de los datos personales en múltiples ubicaciones requiere una combinación de medidas de seguridad técnicas y políticas organizativas claras. Se necesitan controles que protejan los datos sin crear dificultades innecesarias para los empleados.

El control de acceso constituye la base de la seguridad híbrida. El inicio de sesión único (SSO) permite a los empleados utilizar un único conjunto de credenciales en todas las aplicaciones de trabajo, mientras que la autenticación multifactorial (MFA) añade un segundo paso de verificación más allá de las contraseñas. Los permisos basados en roles garantizan que los usuarios solo accedan a los datos que necesitan para su trabajo específico. Las integraciones nativas con Microsoft Entra y Okta, junto con el aprovisionamiento mediante el Sistema para la Gestión de Identidades entre Dominios (SCIM), reducen los errores manuales y garantizan que la retirada de privilegios se realice automáticamente cuando alguien abandona la empresa.

El cifrado protege los datos tanto en tránsito como en reposo. Exige a los empleados que utilicen una VPN cuando accedan de forma remota a sistemas internos confidenciales. Asegúrate de que el cifrado de los terminales esté activado en todos los dispositivos que procesen datos de la empresa, ya sean propiedad de la empresa o personales.

La gestión de dispositivos móviles proporciona al departamento de TI un control centralizado sobre los ordenadores portátiles y los teléfonos. Esto incluye funciones de borrado remoto, actualizaciones obligatorias del sistema operativo y restricciones de aplicaciones. Cuando un empleado abandona la empresa o pierde un dispositivo, se pueden proteger los datos de la empresa de forma inmediata.

La formación en concienciación sobre seguridad reduce las tasas de éxito del phishing y ayuda a los empleados a reconocer los comportamientos de riesgo. Haz que la formación sea práctica y relevante para las situaciones de teletrabajo, en lugar de centrarte en conceptos abstractos.

Los registros de auditoría recogen quién ha accedido a qué información, cuándo lo ha hecho y desde dónde. Estos registros cumplen tanto con los requisitos de rendición de cuentas del RGPD como con la investigación rápida de incidentes.

[Table1]

Normativa sobre el teletrabajo transfronterizo y la transferencia de datos

El trabajo híbrido suele implicar que los empleados viajen o se trasladen, lo que puede dar lugar a la aplicación de normas sobre transferencia internacional de datos sin que nadie se dé cuenta. Si un empleado accede a datos personales desde fuera del Espacio Económico Europeo (EEE), el RGPD considera que se trata de una exportación transfronteriza de datos. Se aplican las mismas normas si tus proveedores de software almacenan o tratan datos en servidores situados fuera del EEE.

Para cumplir con la normativa, debes asegurarte de que el país de destino ofrezca un nivel adecuado de protección de datos. La Comisión Europea mantiene una lista de países con decisiones de adecuación. Cuando no existe una decisión de adecuación para un país concreto, se requieren marcos jurídicos complejos para transferir los datos de forma legal.

Las cláusulas contractuales tipo (SCC) constituyen el marco jurídico más habitual. Se trata de condiciones legales preaprobadas que debes incluir en los contratos con los proveedores para garantizar que las normas de protección de datos se apliquen a los datos en su tránsito. A menudo, las SCC por sí solas no son suficientes. También es necesario realizar evaluaciones de impacto de la transferencia para determinar si la legislación local del país de destino socava las protecciones que ofrecen las SCC.

Elegir proveedores que alojen los datos exclusivamente en la UE es la forma más sencilla de cumplir con la normativa. El alojamiento en el EEE evita por completo la necesidad de recurrir a mecanismos de transferencia. También debes comprobar dónde se encuentran los subencargados del tratamiento de tus proveedores. Un proveedor con sede en Europa que utilice un proveedor de servicios en la nube que desvíe los datos a través de servidores situados en un tercer país sigue generando obligaciones de cumplimiento transfronterizas.

La norma de notificación de violaciones de seguridad en un plazo de 72 horas

Se produce una violación de la seguridad de los datos personales cuando el acceso no autorizado, la divulgación accidental o la pérdida de datos ponen en peligro la información que proteges. Según el RGPD, debes notificarlo a tu autoridad de control en un plazo de 72 horas desde que tengas conocimiento de la violación. La única excepción es si es improbable que la violación suponga un riesgo para los derechos y libertades de las personas.

El trabajo híbrido complica la respuesta ante incidentes. Las brechas de seguridad en dispositivos personales o redes domésticas suelen tardar más en detectarse. Es posible que un empleado no se dé cuenta de que su router doméstico ha sido comprometido. También puede que dude a la hora de informar de la pérdida de su teléfono personal. Unas vías de escalación claras garantizan que los empleados sepan exactamente a quién deben dirigirse de inmediato si sospechan que se ha producido un problema relacionado con los datos.

Debes llevar un registro detallado de todas las violaciones de seguridad para demostrar tu responsabilidad. Este requisito de documentación se aplica incluso a los incidentes menores que decidas no notificar a la autoridad supervisora. Tus registros deben incluir los hechos relacionados con la violación, sus efectos y las medidas correctivas específicas que tu equipo de TI haya adoptado para proteger los datos.

[Table2]

Cómo deskbird a implantar un modelo de trabajo híbrido que cumpla con el RGPD

La gestión de un espacio de trabajo híbrido requiere el tratamiento de la asistencia de los empleados, las reservas de puestos de trabajo y los registros de visitantes. Esta información se considera datos personales según el RGPD. deskbird una plataforma de gestión del espacio de trabajo diseñada específicamente para gestionar estos datos de forma segura, al tiempo que proporciona a los responsables la información necesaria para ajustar el espacio físico a las necesidades reales.

deskbird y aloja su plataforma en Europa, por lo que desde el primer día dispones de controles de seguridad y privacidad de nivel empresarial. deskbird la certificación ISO 27001 y utiliza una infraestructura con certificación SOC 2 Tipo II.

Tus datos están alojados en Fráncfort (Alemania) y cumplen plenamente con el RGPD. El alojamiento exclusivo en la UE suele eliminar la necesidad de recurrir a mecanismos de transferencia transfronteriza relacionados con los proveedores, como las cláusulas contractuales tipo, y las evaluaciones de impacto de la transferencia que pueden derivarse de ello. Además, ofrece a tu equipo de TI una explicación más clara y sólida sobre la residencia de los datos.

Para los profesionales de TI que deben gestionar la proliferación de herramientas, deskbird el trabajo de mantenimiento gracias a sus integraciones nativas con Microsoft 365, Microsoft Entra (antes Azure AD) y las principales plataformas de sistemas de información de recursos humanos (HRIS), como Personio BambooHR. El aprovisionamiento automático mediante SCIM y la compatibilidad con el inicio de sesión único (SSO) garantizan un control de acceso estricto. La retirada de privilegios se realiza al instante, sin necesidad de solicitar tickets manualmente.

Esta seguridad de nivel empresarial se combina con una experiencia de usuario que ha logrado una tasa de adopción superior al 90 % en más de 500 empresas, sin necesidad de formación previa. Esta elevada tasa de adopción garantiza la precisión de tus datos de utilización. Con deskbird Workplace Analytics, obtienes una visibilidad precisa de los días de mayor afluencia y de la demanda de espacio, lo que te permite diseñar tu estrategia de espacio de trabajo con conocimiento de causa. Los módulos de gestión de personal y de gestión de visitantes deskbird admiten políticas híbridas personalizadas y el seguimiento de visitantes. Ambos proporcionan registros exportables y listos para auditoría que respaldan tu programa de cumplimiento del RGPD.

Incorporar el cumplimiento normativo en tu entorno de trabajo híbrido

Unos controles de seguridad rigurosos y una buena experiencia para los empleados no tienen por qué estar reñidos. Las políticas de trabajo híbrido más seguras son aquellas que los empleados realmente cumplen. Al combinar controles de acceso sólidos con herramientas intuitivas, se reduce la tentación de recurrir a la «TI en la sombra» y se mantienen los datos personales a salvo dentro de tu perímetro de seguridad.

Un espacio de trabajo híbrido eficaz se basa en datos precisos para aprovechar el espacio de forma eficiente y gestionar costos. Solo se obtienen esos datos cuando tu equipo utiliza de forma activa la plataforma de gestión del espacio de trabajo. Al dar prioridad tanto a la seguridad de nivel empresarial como a la facilidad de uso, proteges a tu organización al tiempo que creas un espacio de trabajo en el que la gente quiera participar. Descubre la configuración de cumplimiento normativo deskbird, alojada en la UE, en una demostración.