Bring your own device (BYOD): tendencia digital con trampas

En la digitalizada sociedad actual, la vida profesional y la privada están cada vez más entrelazadas. En Europa esta interconexión entre ambos aspectos de la vida de las personas se refleja en una tendencia que se ha ido extendiendo durante los últimos años y que proviene de EE.UU.: BYOD o, lo que es lo mismo, Bring your own device. De hecho, son ya muchos los empleados que utilizan sus portátiles, tablets y smartphones personales para trabajar, ya que para muchos es más cómodo y esto, en consecuencia, puede traducirse en un aumento de la productividad. Al mismo tiempo BYOD representa una auténtica pesadilla para los protectores de datos y juristas, razón por la cual el principio aún no se ha establecido en todos los países europeos.

Bring your own device traducido al español significa “Trae tu propio dispositivo”. Dicho de forma sencilla, con este concepto se hace referencia a la utilización de los dispositivos móviles privados en la oficina por parte del empleado en lugar de trabajar con el ordenador de la empresa. La decisión de utilizar dispositivos privados, no obstante, es totalmente voluntaria, porque el empresario no puede obligar a sus empleados a trabajar con hardware privado. Sí tiene la obligación, en cambio, de poner a disposición del trabajador todos los recursos necesarios para desempeñar la actividad laboral.

El término BYOD no solo se utiliza en un contexto profesional, sino que también es aplicable en universidades, bibliotecas, escuelas y otras instituciones educativas. También en este caso se hace referencia al acto de desplazarse en la red interna de una institución determinada con dispositivos móviles propios. La implementación del principio BYOD requiere unas directrices claras (política BYOD) que definan cómo pueden los usuarios utilizar sus propios dispositivos electrónicos en la red, cuáles son los requisitos de seguridad y qué normas de conducta deben observarse.

Dentro de una empresa, estas directrices se suelen elaborar en colaboración con el empleado o el comité de empresa y se establecen en una cláusula adicional incluida dentro del contrato de trabajo. Esto es necesario porque los programas BYOD están asociados a numerosos temas cuya complejidad requiere aclaraciones precisas como, por ejemplo, los derechos de control y acceso, la privacidad de los empleados y la protección de datos en la empresa. Dado que Bring Your Own Device sigue representando un territorio legal inexplorado en muchos países europeos, es el propio empresario el que crea la base jurídica necesaria a la que todos los participantes deben orientarse.

La política “Trae tu propio dispositivo” tiene sentido siempre que se trate de ámbitos en los que las tareas se desarrollen con dispositivos electrónicos, de forma que estas también puedan desempeñarse desde dispositivos privados. Hasta ahora, BYOD se ha utilizado principalmente en el sector de la educación y en el corporativo.

En la mayoría de las universidades viene siendo natural desde hace años que los estudiantes lleven sus ordenadores portátiles al campus para preparar presentaciones y tareas en las horas libres entre clases. Pero el uso de ordenadores portátiles o teléfonos inteligentes de los alumnos también se está integrando cada vez más en los planes de estudio de los colegios. Sin embargo, ante la pregunta sobre los beneficios educativos reales que estos sistemas BYOD presentan, los pros y los contras están equilibrados.

El III Estudio sobre el uso de la Tecnología en el Aula, elaborado por BlinkLearning en colaboración con la Universidad Rey Juan Carlos, señala que el 83 % de los profesores españoles considera que la motivación en el aula aumenta cuando se emplean nuevas tecnologías. No obstante, existen críticas al respecto. En un estudio de la OCDE la organización proporciona un argumento en contra del uso de BYOD en las escuelas, afirmando que los estudiantes que mejores resultados obtienen en los exámenes no son los que más utilizan los medios digitales para estudiar.

Un argumento empleado a menudo en contra de este punto de vista es que los dispositivos electrónicos en el aula no deben enfocarse en mejorar el rendimiento en los exámenes, ya que el objetivo de su uso es impartir conocimientos informáticos que ayuden a los estudiantes a enfrentar la digitalización imperante en la vida cotidiana y en el mundo laboral actual. Los partidarios de BYOD afirman que si los teléfonos inteligentes personales se utilizan con sensatez, pueden enriquecer la misión educativa contemporánea.

Por esta razón, el proyecto seguirá avanzando aunque hasta la fecha haya cosechado solo un éxito moderado. En la enseñanza pública española, no obstante, las clásicas aulas de ordenadores están desapareciendo, pues cada vez es más común que los alumnos lleven su dispositivo personal y llevarse a todas partes la información que en él almacenan durante las horas lectivas. Existen de hecho, comunidades autónomas como Extremadura donde se regulan las normas para la buena utilización y conservación de dispositivos electrónicos en las aulas.

Para los empleados, la introducción del principio BYOD significa, sobre todo, una cosa: mayor comodidad en el día a día laboral. En lugar de trabajar con hardware de la empresa, a veces lento y raramente actualizado, el empleado puede utilizar dispositivos propios que, a menudo, son de última generación. En los viajes de negocios también es un alivio no tener que llevar un segundo dispositivo contigo además de tu ordenador portátil privado. La iniciativa de aplicar la política BYOD en la empresa, por lo tanto, proviene principalmente de los empleados, en especial de los más jóvenes, puesto que crecieron con dispositivos móviles.

Por esta razón, los empleadores que están abiertos a Bring Your Own Device tienen a mano un valioso incentivo que será de gran ayuda para encontrar candidatos. Después de todo, la compañía demuestra con ello que se preocupa por la satisfacción de sus empleados. Los pioneros de BYOD como IBM también esperan una mayor productividad cuando los empleados trabajan con dispositivos que conocen mejor. Además, la integración de dispositivos móviles personales en la vida laboral proporciona una base ideal para el fomento del teletrabajo y el trabajo flexible. Las ventajas económicas y ecológicas también son dignas de mención: los empleadores ahorran costes en la adquisición de nuevos equipos de oficina y, como consecuencia de ello, también reducen su impacto negativo en el medio ambiente.

La otra cara de la moneda son los altos costes de implementación y mantenimiento que plantea. BYOD puede llevar, además, a una mayor complejidad en el funcionamiento de la empresa y, por lo tanto, se opone a la estrategia generalizada de estandarización de la infraestructura de IT dentro de una organización. Por lo tanto, la viabilidad depende de la intensa cooperación de los empleados. Esta es la única manera de dominar los diversos desafíos técnicos y organizativos que lo acompañan.

BYOD también puede presentar algunas desventajas para los empleados: después de configurar todos los servicios necesarios en el PC doméstico, a veces tienen que aceptar que la empresa tendrá cierto control sobre el dispositivo para garantizar la seguridad de los datos de la empresa y de la red interna. Además, el usuario a veces tiene que contribuir con los costes que esto genera. Otro problema es el posible deterioro de la conciliación laboral y familiar: si tienes acceso continuo desde casa a aplicaciones de la oficina, como buzones de correo electrónico, es más probable que te veas obligado a estar constantemente localizable, ya que las fronteras entre la vida profesional y laboral se diluyen. Y a la inversa, otra cuestión es si es más fácil distraerse cuando se trabaja en un portátil privado que en un ordenador de la empresa.

Aunque BYOD tiene beneficios obvios para los maestros y estudiantes, así como para los empleadores y empleados, está relacionado con algunos riesgos legales y de seguridad.

Sin importar si se lleva a cabo en la empresa o en cualquier otra organización, la política “Bring Your Own Device” siempre representa un riesgo de seguridad que no debe ser subestimado. Para entender cuán delicado es el tema de la protección de datos en este contexto, imagínate los siguientes escenarios:

• Escenario 1: los datos sensibles de clientes, empleados y empresas se almacenan y procesan en un dispositivo externo que no se puede controlar, completa o parcialmente. Dado que se trata de un hardware y un software que ha sido utilizado principalmente para uso personal, el propietario puede haber instalado mecanismos de seguridad más débiles de lo que sería común en un entorno de TI corporativo. También puede ser más laxo con los mensajes de spam y los enlaces siniestros, lo que aumenta el riesgo de éxito del phising. También es posible que el dispositivo sea robado o se pierda, lo que supondría un grave problema de seguridad.
• Escenario 2: por otro lado, un terminal privado también representa un riesgo de seguridad para la red interna de la empresa. Si se conecta a través de una conexión no cifrada o si ya está contaminado por malware, puede dañar la infraestructura de IT o incluso espiar bases de datos secretas.

Actualmente, la protección de datos, en especial la de datos personales de acuerdo a lo previsto en el RGPD, también puede salvaguardarse en dispositivos privados. La empresa, y no el empleado, es la única responsable de ello. Esto plantea importantes retos legislativos, técnicos y administrativos, especialmente cuando un gran número de dispositivos diferentes con diversos sistemas operativos y programas tienen que estar integrados en la misma red.

En estas circunstancias, es absolutamente legítimo que la dirección tenga cierto control sobre el equipo. Esto incluye el control de la aplicación de las medidas de protección de datos necesarias, la garantía de la estricta separación de los datos empresariales y privados y, en caso de duda, la eliminación o restauración remota de los datos. Al mismo tiempo, estos esfuerzos deben conciliarse con el derecho del usuario a la autodeterminación informativa en el marco del RGPD, una cuestión compleja y, al mismo tiempo, conflictiva, en la que debe tenerse en cuenta cada pequeño detalle.

Todas las preguntas al respecto deben tener una respuesta clara, por ejemplo: ¿puede la familia de un empleado utilizar el dispositivo?, y ¿qué sucede con los datos de la empresa si el empleado dimite? La eliminación de estas ambigüedades iniciales puede representar un esfuerzo adicional para la empresa que no debe subestimarse. La política final de BYOD debe comunicarse de forma abierta y transparente al personal para reducir el riesgo de fugas de datos e infracciones de las leyes de protección de datos. Sin embargo, siempre queda un cierto riesgo residual, ya que el empleador también renuncia a parte de su control al confiar en sus empleados.

En lo que respecta a la parte técnica, los departamentos de informática a los que se ha confiado la implementación de un concepto BYOD utilizan diferentes enfoques:

• Los obstáculos comunes: estos incluyen conexiones cifradas a través de redes privadas virtuales o VPN, ofertas de servicios restringidos y la autenticación de dos factores.

• Soluciones de contenedores: para garantizar la seguridad de los datos sensibles en los dispositivos privados, muchas empresas confían en los contenedores cifrados. Son particiones aisladas y restringidas en el espacio del disco duro local donde se almacenan los datos y desde donde se establece la conexión a la red de la empresa.

• Gestión de dispositivos móviles: el software MDM como AirWatch o MobileIron se utiliza para la integración y administración central de dispositivos privados en las empresas. Las interfaces de usuario profesionales se utilizan para gestionar datos, instalar actualizaciones y configurar bloqueos para conexiones WLAN inseguras y aplicaciones de proveedores externos desconocidos. Sin embargo, como los empleados tienen que cambiar entre las estaciones de trabajo separadas para uso privado y profesional, la gestión de los dispositivos móviles va en detrimento de la experiencia del usuario. El mayor control por parte del empleador también tiene implicaciones negativas para la privacidad.

• Soluciones Sandbox: una alternativa de uso frecuente a las soluciones mencionadas anteriormente son las infraestructuras de escritorio virtual así como las aplicaciones web, que permiten el acceso remoto desde el dispositivo privado al ordenador de la empresa y, por lo tanto, no almacenan datos confidenciales en dispositivos externos. Estos incluyen servicios en la nube y plataformas de colaboración en línea como Microsoft Exchange.

Mientras en regiones económicas de rápido crecimiento como Asia es completamente normal trabajar con un portátil personal, hay muchos países europeos que han demostrado ser relativamente reacios a esta tendencia. Como ya se ha descrito, esto se debe, por una parte, a las preocupaciones en materia de política de seguridad, pero también a aspectos jurídicos controvertidos. El problema es que el principio “Trae tu propio dispositivo” no está aún regulado en la legislación nacional y no existen precedentes judiciales.

Por ejemplo, todavía no se han aclarado de forma centralizada importantes cuestiones de responsabilidad en relación con BYOD. ¿Qué sucede si el propio servidor de una empresa sufre daños por malware introducido desde el exterior?, ¿quién es responsable de un ordenador portátil privado si se destruye o se pierde?, y ¿quién paga por el volumen de datos que se consume en el trabajo?

Otro ejemplo de complejidad legal se puede encontrar en la ley de licencias: tal vez no todo el mundo es consciente de que una licencia privada de Microsoft Office no puede ser utilizada así como así. Una simple presentación en PowerPoint para una reunión de empresa puede plantear un problema al considerarse una infracción de los derechos de autor. La obtención de licencias comerciales para cada empleado puede representar un coste adicional si se aplica el principio “Bring Your Own Device”.

Otro motivo de debate son las cuestiones de derecho fiscal, en particular en lo que se refiere al Impuesto sobre la Renta y al Impuesto sobre el Valor Añadido. Estos incluyen aspectos tales como la deducibilidad de los costes de los equipos por gastos de explotación o gastos relacionados con los ingresos, que requieren la distinción verificable entre el uso privado y profesional de un dispositivo. Para aclarar estas cuestiones, a veces es necesario consultar al comité de empresa y a un abogado.

Sobre la base de los aspectos educativos, laborales, de seguridad y jurídicos de BYOD, queda claro que las ventajas de este principio parecen ser compensadas por el mismo número de desventajas. A continuación, resumimos los argumentos a favor y en contra de BYOD derivados de esto una vez más:

Obviamente, las políticas BYOD ofrecen muchas ventajas tanto para los empleados como para los empleadores. Sin embargo, todavía no ha sido ampliamente aceptado en España, lo que se debe principalmente a que con esta política la empresa no puede garantizar por completo que se cumpla con la normativa relativa a la protección de datos personales. Además, según un estudio de Bitkom de 2013, casi la mitad de las empresas rechazan la tendencia BYOD porque los ahorros de costes previstos se verían compensados en gran medida por los costes de mantenimiento y seguridad. Otros estudios indican valores aún más altos.

De hecho, en EE.UU., país de donde proviene el concepto originalmente, ya hay signos inequívocos de un cambio de tendencia: el uso de sistemas BYOD ha disminuido significativamente en los últimos años. La era de los dispositivos privados en el lugar de trabajo ha terminado y en su lugar se han establecido dos conceptos contrarios que dan a los empleadores más control sobre sus datos de nuevo:

• Elije tu propio dispositivo (CYOD): los empleados pueden elegir entre una amplia gama de dispositivos financiados por la empresa y, por lo tanto, son propiedad de la empresa. Sin embargo, el uso con fines privados debe estar explícitamente garantizado en una política.
• Dispositivos propiedad de la empresa habilitados para uso personal (COPE): los empleados tienen permiso explícito para usar el dispositivo propio de una compañía de forma privada. Sin embargo, dado que son responsables de la configuración básica y del soporte básico del dispositivo, este principio requiere un cierto nivel de conocimientos técnicos.

Queda por ver si la tendencia empresarial BYOD disminuirá de nuevo antes de que se haya afianzado realmente.

Favor de tener en cuenta el aviso legal relativo a este artículo.