Monitorear una computadora corporativa casi siempre significa tratar datos personales. Eso no lo hace prohibido — lo convierte en un tratamiento de datos que necesita base legal, finalidad y salvaguardas.
Este artículo es material informativo, no asesoría jurídica. Las decisiones sobre base legal y política interna deben validarse con el área legal o con el encargado de datos de la empresa.
Qué datos aparecen en una herramienta de monitoreo
Depende de lo que la empresa active, pero el conjunto típico incluye:
- Identificación del usuario y del dispositivo
- Aplicaciones utilizadas y tiempo de uso
- Sitios visitados
- Horarios de actividad e inactividad
- Localización del equipo
- Capturas de pantalla, cuando la función está activa
Algunos de esos datos son inequívocamente personales. Otros se vuelven personales al vincularse a una persona identificable — lo que, en contexto corporativo, casi siempre ocurre.
¿Puede la empresa monitorear computadoras corporativas?
Que el equipo sea de la empresa es un argumento relevante, pero no una autorización automática e ilimitada. Lo que la normativa exige es que exista base legal y que el tratamiento sea adecuado, necesario y proporcional a la finalidad declarada.
En la práctica, eso separa un monitoreo defendible de uno que no se sostiene.
Finalidad: ¿por qué se recoge este dato?
Cada función activada necesita una respuesta específica. "Para tener control" no lo es.
- Registro de aplicaciones → identificar software no autorizado
- Horario de actividad → verificar jornada y turnos
- Localización → gestión de activos y respuesta a pérdida o robo
- Captura de pantalla → investigación de un incidente específico
Si una función no tiene una finalidad que quepa en una frase, no debería estar activada.
Necesidad: ¿se puede lograr el objetivo recogiendo menos?
Esta es la prueba que más elimina recolección innecesaria.
Si el objetivo es saber si hay software no autorizado, el inventario de aplicaciones lo resuelve — la captura de pantalla continua no es necesaria. Si el objetivo es verificar la jornada, el registro de actividad basta.
Recoger de más "porque puede servir algún día" es exactamente lo que el análisis de necesidad existe para frenar.
Ponderación y salvaguardas
Cuando la base legal es el interés legítimo, la autoridad brasileña de protección de datos orienta evaluar finalidad, necesidad y la ponderación entre los intereses de la organización y los derechos y libertades del titular — adoptando salvaguardas cuando el tratamiento avanza sobre la expectativa razonable de la persona.
Salvaguardas concretas: restringir la recolección al horario laboral, agregar en lugar de detallar, limitar el acceso, definir retención corta y registrar quién consultó qué.
La transparencia no es opcional
El equipo necesita saber, de forma clara y accesible: qué se recoge, con qué finalidad, quién tiene acceso, cuánto tiempo se guarda y cómo ejercer sus derechos.
El monitoreo oculto es el escenario de mayor riesgo — jurídico y de confianza.
El acceso debe ser controlado
El dato recogido no puede estar disponible para toda la empresa. Reglas mínimas:
- Acceso por rol, no por persona
- Justificación registrada para consultas sensibles
- Registro de quién accedió a qué y cuándo
- Revisión periódica de quién todavía necesita ese acceso
Retención: cuánto tiempo guardar
Un dato guardado indefinidamente es riesgo acumulado sin contrapartida. Define un plazo por tipo de registro e implementa el descarte — la política solo vale si es automática.
Proporcionalidad en la práctica
Un ejemplo concreto:
Una empresa quiere reducir fugas de datos. La respuesta proporcional es bloquear el almacenamiento removible en el grupo que maneja datos sensibles y registrar los intentos. La respuesta desproporcionada es activar captura de pantalla continua para toda la empresa. Ambas "atacan" el problema; solo una sobrevive a un examen de necesidad.
Cómo estructurar la implantación
- 1Mapear lo que la herramienta puede recoger
- 2Elegir solo lo que tiene finalidad declarada
- 3Definir la base legal con el área legal
- 4Registrar la evaluación, incluida la ponderación
- 5Comunicar al equipo antes de activar
- 6Configurar acceso, retención y registro de consultas
- 7Revisar periódicamente
Cómo encaja Vigilioo en este contexto
Las funciones de Vigilioo son configurables por grupo, lo que permite activar solo lo que corresponde a la política definida, en lugar de todo a la vez. Los datos viajan y se almacenan cifrados y las acciones administrativas quedan registradas.
La herramienta hace viable la política — pero la política sigue siendo decisión de la empresa.
Conclusión
La pregunta relevante no es "¿podemos monitorear?". Es "¿qué necesitamos saber exactamente, para qué, quién lo verá y por cuánto tiempo?".
La empresa que responde esas cuatro preguntas antes de activar la recolección tiene un programa defendible. Las que responden después suelen responder ante otra persona.
