El compliance no desaparece cuando el equipo trabaja fuera de la oficina: la empresa sigue siendo responsable de proteger la información, controlar los accesos y prevenir incumplimientos, aunque nadie esté físicamente presente.
El teletrabajo, los modelos híbridos y la movilidad han cambiado la forma de trabajar. Hoy muchas decisiones se toman fuera de la oficina, desde casa, en viajes o a través de herramientas digitales. Pero surge una pregunta clave: si el equipo ya no está físicamente reunido, ¿cómo se asegura la empresa de que se cumplen las normas internas, la protección de datos y las obligaciones de compliance? La respuesta no está en vigilar más, sino en anticiparse mejor.
El compliance no desaparece con el teletrabajo
Trabajar fuera de la oficina no significa trabajar fuera de control. La empresa sigue teniendo la obligación de proteger la información, garantizar un uso adecuado de los recursos corporativos y prevenir incumplimientos, con independencia del lugar desde el que se trabaje. El deber legal no se traslada al domicilio del empleado: sigue recayendo en la organización.
Lo que cambia no es la obligación, sino el entorno en el que se cumple. Y ese entorno —redes domésticas, dispositivos dispersos, herramientas en la nube— exige adaptar las políticas, los controles y la formación al nuevo contexto.
Ahora bien, conviene aclarar algo importante: vigilar el compliance no significa espiar al trabajador. Significa establecer reglas claras, proporcionales y conocidas por todos. Por ejemplo, una empresa puede definir qué herramientas se pueden usar, desde qué dispositivos se puede acceder a la información o cómo comunicar un incidente de seguridad.
La AEPD recomienda que las organizaciones cuenten con una política específica para situaciones de movilidad y teletrabajo, donde se indiquen las formas de acceso remoto permitidas, los dispositivos autorizados, los niveles de acceso y las responsabilidades de las personas trabajadoras.
¿Cuáles son los principales riesgos de compliance al trabajar fuera de la oficina?
Estos son los 5 riesgos de compliance más frecuentes cuando el trabajo se realiza en remoto:
- Uso de dispositivos personales sin medidas de seguridad. Equipos propios sin cifrado, antivirus ni control corporativo que acceden a información sensible.
- Acceso desde redes no seguras: documentación corporativa consultada desde redes domésticas mal configuradas o wifi públicas abiertas.
- Uso de aplicaciones no autorizadas para compartir archivos (shadow IT). Uso de herramientas de mensajería o de intercambio de archivos ajenas a las validadas por la empresa..
- Pérdida de trazabilidad. Dificultad para saber quién accede a qué información, desde dónde y cuándo.
- Detección tardía de incidentes. Retraso en identificar y notificar brechas o incumplimientos, lo que agrava sus consecuencias.
INCIBE recuerda que el teletrabajo implica el uso de portátiles, móviles, aplicaciones en la nube y sistemas de acceso remoto, como VPN o escritorios remotos, lo que exige adoptar medidas específicas de ciberseguridad. El CCN-CERT, por su parte, ha publicado recomendaciones de seguridad concretas para situaciones de teletrabajo (informe RBP/18).
¿Qué medidas puede adoptar la empresa para proteger el compliance en remoto?
Una gestión adecuada del compliance en remoto debería apoyarse en tres pilares sencillos:
- Políticas claras y actualizadas.
No basta con tener una política genérica. Es recomendable disponer de normas sobre teletrabajo, uso de dispositivos, protección de datos, canales de comunicación, herramientas autorizadas y notificación de incidentes.
- Información y formación al personal.
Las personas trabajadoras deben saber qué pueden hacer y qué no. Por ejemplo, no reenviar documentación corporativa a correos personales, no guardar archivos sensibles en dispositivos propios y comunicar cualquier pérdida, acceso indebido o sospecha de incidente.
- Controles proporcionados.
La empresa puede establecer medidas de control, pero deben respetar la dignidad, la intimidad y los derechos digitales de las personas trabajadoras. La Ley 10/2021 reconoce la posibilidad de adoptar medidas de vigilancia y control en el trabajo a distancia, siempre dentro de esos límites.
¿Por qué el compliance en remoto también es una cuestión de cultura?
Porque el cumplimiento no puede depender de una sola persona ni de un documento archivado en una carpeta: tiene que integrarse en la forma de trabajar diaria. La Asociación Española de Profesionales de Cumplimiento Normativo (CUMPLEN) lo resume bien al recordar que el cumplimiento normativo es estratégico y transversal, y afecta a todos los profesionales y a todas las organizaciones.
«La mejor manera de resolver un problema es evitar que suceda.»
Cuando nadie está en la oficina, el compliance no puede quedarse sin supervisión. La clave está en anticiparse: definir reglas, formar al equipo, revisar los accesos, documentar decisiones y mantener evidencias. Si tu organización trabaja en remoto o en modelo híbrido, es un buen momento para revisar si tus políticas, procedimientos y controles siguen siendo adecuados. Desde Gesprodat podemos ayudarte a adaptar tu sistema de cumplimiento al nuevo contexto de trabajo, alineándolo con la Ley del trabajo a distancia, el RGPD y las recomendaciones de la AEPD. Contáctanos para una revisión personalizada.
.
Preguntas frecuentes sobre compliance y teletrabajo
¿Puede la empresa controlar a los empleados que teletrabajan?
Sí. El art. 22 de la Ley 10/2021 permite a la empresa adoptar medidas de vigilancia y control para verificar el cumplimiento de las obligaciones laborales, siempre respetando la dignidad de la persona y el principio de proporcionalidad.
¿Es obligatorio tener una política de teletrabajo?
El acuerdo de trabajo a distancia (art. 7 de la Ley 10/2021) debe recoger por escrito los medios de control y las instrucciones sobre protección de datos y seguridad. La AEPD, además, recomienda una política específica de movilidad que regule accesos, dispositivos y responsabilidades.
¿Qué pasa si hay una brecha de seguridad trabajando desde casa?
Se aplican las mismas obligaciones que en la oficina: la empresa debe notificar la brecha a la AEPD en un máximo de 72 horas (arts. 33 y 34 RGPD) y, si hay alto riesgo para los derechos de los afectados, comunicárselo a estos sin dilación indebida.
¿Puede un empleado usar su dispositivo personal para trabajar?
Solo si la política de la empresa lo permite y el dispositivo cumple unos requisitos mínimos de seguridad. La AEPD advierte de que los equipos personales suponen un riesgo mayor al no incorporar los controles de los equipos corporativos.
¿El RGPD se aplica igual en teletrabajo?
Sí. La empresa sigue siendo responsable del tratamiento con independencia del lugar de trabajo, por lo que todos los principios y obligaciones del RGPD se mantienen íntegros en remoto.