Anonimizar registros de uso de dispositivos digitales para auditorías de cumplimiento – Anonimización conforme al RGPD según ET art. 20.bis (Real Decreto Legislativo 2/2015); LOPDGDD art. 87; RGPD art. 5
El art. 20.bis ET y el LOPDGDD art. 87 reconocen el derecho a la intimidad del trabajador frente al uso de dispositivos digitales corporativos. Los registros de actividad generados por la monitorización de estos dispositivos son datos personales sujetos al RGPD art. 5. anonym.legal seudonimiza estos registros para su análisis por el equipo de seguridad TI sin comprometer la privacidad individual.
Cuándo se aplica
Aplica cuando los equipos de seguridad TI o cumplimiento normativo necesitan analizar registros de uso de dispositivos corporativos (accesos web, aplicaciones usadas, transferencias de archivos) para detectar incidentes de seguridad, y deben hacerlo sin tratar innecesariamente datos personales.
Cómo lo gestiona anonym.legal
- Exporta los registros de actividad del sistema de monitorización en CSV, XLSX o logs estructurados.
- Sube los registros a anonym.legal.
- El motor detecta nombres de usuario, correos electrónicos, identificadores de dispositivo y cualquier campo que vincule la actividad a un empleado concreto.
- Cada empleado recibe un identificador anónimo coherente en todo el periodo analizado.
- Los eventos, URLs, aplicaciones, timestamps y volúmenes de datos transferidos se conservan como datos estructurales.
- El registro seudonimizado se exporta para análisis por el equipo de seguridad.
- Si el análisis detecta un incidente que requiere identificar al empleado, el mapa de reversión permite la reidentificación bajo protocolo autorizado.
Qué proporciona usted
- Logs de actividad de dispositivos en CSV, XLSX o formato estructurado
- Indicación del periodo de análisis
- Identificación de los campos de usuario o dispositivo a seudonimizar
Limitaciones y precauciones
- La monitorización de dispositivos corporativos debe cumplir con los requisitos de información al trabajador del art. 87 LOPDGDD y los criterios técnicos de la AEPD en el ámbito laboral antes de que anonym.legal procese los registros.
- anonym.legal no evalúa la legalidad del sistema de monitorización empleado por la empresa.
- La seudonimización no convierte los logs en datos completamente anónimos si el contexto permite la reidentificación por correlación.
- El acceso al mapa de reversión debe estar sujeto a un protocolo interno de autorización documentado.
Preguntas frecuentes
¿Necesita la empresa informar a los trabajadores antes de utilizar este flujo de seudonimización?
Sí. El art. 87 LOPDGDD exige que la empresa informe a los trabajadores y a sus representantes de los criterios de uso de dispositivos corporativos y de la existencia de sistemas de monitorización. La seudonimización de los registros es una medida técnica adicional, no un sustituto de esa obligación de información.
¿Puede el registro seudonimizado utilizarse como prueba en un procedimiento disciplinario?
En procedimientos formales se requieren los logs originales con la cadena de custodia intacta. El registro seudonimizado es útil para análisis preliminares; la reidentificación mediante el mapa de reversión debe documentarse bajo protocolo interno antes de usarlo como prueba.
¿Cómo se trata la dirección IP del dispositivo?
Las direcciones IP son datos personales en el sentido del RGPD cuando permiten identificar a un individuo. El motor las detecta y seudonimiza de forma coherente con el identificador de dispositivo y de empleado.