El RGPD no menciona ni una sola vez la palabra «MDM». Y sin embargo, si su organización reparte iPhones, tablets o portátiles entre sus empleados, buena parte de lo que la AEPD le pedirá en una inspección se decide en la consola de gestión. Si además su empresa presta servicios a una administración pública española, el Esquema Nacional de Seguridad convierte esas decisiones técnicas en una obligación contractual.
Esta guía separa las tres capas que suelen mezclarse en las reuniones de cumplimiento: lo que exige el RGPD, lo que añade la LOPDGDD en materia laboral y lo que impone el ENS.
Qué exige realmente el RGPD a un parque de dispositivos
El Reglamento (UE) 2016/679 razona por principios, no por catálogos de producto. En la práctica, cuatro artículos concentran casi todo lo que afecta a los móviles corporativos.
Artículo 5.1.f (integridad y confidencialidad). Un móvil perdido con el correo corporativo sincronizado y sin cifrado ni bloqueo de pantalla es, literalmente, un incumplimiento de este principio. No hace falta que nadie acceda a los datos: basta con que la protección no existiera.
Artículo 32 (seguridad del tratamiento). Es el que más se cita y el peor entendido. Pide medidas «apropiadas al riesgo» y cita expresamente el cifrado, la capacidad de restaurar la disponibilidad de los datos y un proceso de verificación periódica de la eficacia de esas medidas. Ese último punto es el que se olvida: no basta con haber configurado una política de seguridad hace dos años, hay que poder demostrar que sigue aplicándose hoy en cada dispositivo.
Artículo 25 (protección desde el diseño y por defecto). La configuración por defecto debe ser la más restrictiva. Aplicado a un terminal: se entrega bloqueado, cifrado y con las aplicaciones estrictamente necesarias, no abierto y luego endurecido cuando alguien se acuerda.
Artículo 33 (notificación de brechas). Setenta y dos horas para notificar a la AEPD. Si un comercial pierde su terminal en un AVE, el reloj empieza a correr y usted necesita responder a tres preguntas en horas, no en días: qué dispositivo era, qué datos personales contenía y si se ha podido bloquear o borrar en remoto. Sin inventario actualizado, esas respuestas no existen.
Conviene decirlo claro: el RGPD no le obliga a comprar una solución de gestión de dispositivos móviles. Le obliga a demostrar control y trazabilidad sobre los terminales que tratan datos personales. Con veinte dispositivos y una hoja de cálculo bien mantenida, quizá lo consiga. A partir de cincuenta o de dos sistemas operativos distintos, deja de ser realista.
La capa española: LOPDGDD y los derechos digitales del trabajador
Aquí es donde muchos despliegues internacionales tropiezan. La Ley Orgánica 3/2018 añade un bloque de derechos digitales laborales que no tiene equivalente directo en otros países europeos, y que condiciona lo que su equipo de IT puede o no puede activar en la consola.
Artículo 87. El trabajador tiene derecho a la protección de su intimidad en el uso de los dispositivos digitales que le facilita el empleador. La empresa puede acceder a los contenidos únicamente para controlar el cumplimiento de las obligaciones laborales y para garantizar la integridad del dispositivo. Y, sobre todo, está obligada a establecer criterios de utilización con participación de los representantes de los trabajadores. Sin esa política escrita y comunicada, cualquier control posterior es jurídicamente frágil.
Artículo 90. Si activa cualquier función de geolocalización, debe informar previamente a los trabajadores y a sus representantes «de forma expresa, clara e inequívoca» sobre la existencia y las características del sistema. Informar después no vale. Informar en un anexo de doce páginas que nadie firma, tampoco.
Artículo 88. El derecho a la desconexión digital exige una política interna propia. Si su solución permite restringir aplicaciones fuera del horario laboral, esa política debería mencionarlo.
El efecto práctico es simple. Antes de tocar la consola, escriba dos documentos: una política de uso de dispositivos digitales y una nota informativa sobre las funciones de supervisión que se activan. Después configure. En ese orden.
El ENS: qué es y a quién obliga de verdad
El Esquema Nacional de Seguridad se regula por el Real Decreto 311/2022, de 3 de mayo, que sustituyó al texto de 2010. Su objeto es establecer la política de seguridad en el uso de medios electrónicos del sector público, con un catálogo de medidas en el Anexo II y una escala de categorías (BÁSICA, MEDIA y ALTA) que se determina según el impacto de un incidente sobre las dimensiones de seguridad del sistema.
La parte que interesa a una empresa privada está en la disposición adicional sobre servicios prestados por terceros: el ENS se aplica a los sistemas de información de entidades del sector privado cuando, en virtud de una relación contractual, presten servicios a entidades del sector público. Dicho de otro modo, usted no elige si le aplica el ENS. Lo elige el pliego al que se presenta.
En cuanto a la acreditación:
- Categoría BÁSICA: es suficiente una declaración de conformidad basada en una autoevaluación.
- Categorías MEDIA y ALTA: se exige certificación de conformidad mediante auditoría formal realizada por una entidad acreditada por ENAC, con revisión ordinaria al menos cada dos años.
Hay una capa adicional que rara vez aparece en los resúmenes divulgativos: el CCN mantiene el catálogo CPSTIC de productos y servicios de seguridad TIC cualificados, con un apartado específico para herramientas de gestión de dispositivos móviles. En categoría ALTA, recurrir a productos incluidos en ese catálogo es la vía esperada. Si su objetivo real es vender a la Administración española a corto plazo, esto pesa más que cualquier argumento comercial, y suele resolverse a través de un integrador español ya certificado.
Las medidas del ENS que aterrizan en el móvil
El Anexo II del RD 311/2022 organiza las medidas en marco organizativo (org), marco operacional (op) y medidas de protección (mp). Estas son las que se traducen directamente en configuración de una consola de gestión.
| Medida del ENS | Qué significa en un parque de dispositivos | Control técnico habitual |
|---|---|---|
| op.exp.1 Inventario de activos | Saber en todo momento qué terminales existen, de quién son y qué versión ejecutan | Inventario automático por inscripción, no manual |
| op.exp Configuración y mantenimiento | Configuración de seguridad definida y actualizaciones aplicadas en plazo | Perfiles de configuración y políticas de actualización obligatoria |
| Familia op.acc Control de acceso | Identificación y autenticación antes de acceder a información corporativa | Código de acceso obligatorio, biometría, bloqueo automático de pantalla |
| mp.eq.3 Protección de dispositivos portátiles | Los portátiles y móviles deben estar inventariados, cifrados y ser borrables en remoto | Cifrado del almacenamiento y bloqueo o borrado remoto |
| Familia mp.info Protección de la información | Cifrado de la información según su calificación | Cifrado nativo del sistema operativo, gestión de claves de recuperación |
Fíjese en la coincidencia: cifrado, inventario, control de acceso y borrado remoto aparecen en las dos normativas. El ENS no le pide casi nada que el artículo 32 del RGPD no le pidiera ya. Lo que cambia es el nivel de prueba. El RGPD acepta que usted argumente la proporcionalidad de sus medidas. El ENS le pide un auditor.
BYOD: cumplir sin invadir el móvil personal
El escenario BYOD es donde el artículo 87 de la LOPDGDD y el artículo 25 del RGPD se cruzan de forma más incómoda. Usted necesita proteger los datos corporativos que hay en un terminal que no es suyo, sin tratar los datos personales de su empleado.
La respuesta técnica no es una política más blanda, es una separación estructural. En Android, el perfil de trabajo es un contenedor aislado que impone el propio Android: el departamento de IT no accede a las aplicaciones personales, ni a las fotos, ni a los mensajes. Cuando el empleado se marcha, el borrado selectivo elimina únicamente el contenedor de trabajo y los datos personales quedan intactos. En iOS, el mecanismo equivalente es un perfil de gestión. Puede ver cómo lo planteamos en nuestra página sobre dispositivos personales seguros.
Ese diseño es el argumento más sólido que puede llevar a una reunión con el comité de empresa: no pide confianza, enseña una frontera técnica. Para terminales propiedad de la empresa el planteamiento es distinto y admite un control mucho más amplio, como describimos en gestión de dispositivos corporativos.
Dónde están sus datos, y quién puede pedirlos
Una consola de gestión trata datos personales de sus empleados: identificadores de dispositivo, nombres de usuario, direcciones de correo, en ocasiones números de teléfono. Su proveedor es, por tanto, encargado del tratamiento en el sentido del artículo 28 del RGPD, y necesita un contrato que lo refleje.
De ahí que la pregunta sobre la ubicación del alojamiento no sea decorativa. Tras la sentencia Schrems II, cualquier transferencia a un proveedor sujeto a legislación extraterritorial estadounidense obliga a un análisis de impacto que la mayoría de los departamentos jurídicos prefiere evitar. Appaloosa está alojado en Francia, sobre infraestructura cualificada SecNumCloud por la ANSSI, la agencia nacional de ciberseguridad francesa. Sin transferencias fuera de la Unión Europea.
Por transparencia, y porque en este terreno abunda la ambigüedad comercial: Appaloosa no dispone hoy de certificación en el Esquema Nacional de Seguridad ni figura en el catálogo CPSTIC. La cualificación SecNumCloud se refiere a la infraestructura de alojamiento y no equivale al ENS ni lo sustituye. Si su proyecto exige conformidad ENS certificada, el camino pasa por un integrador español acreditado.
La documentación que le van a pedir
Un despliegue técnicamente impecable sin papeles suspende igual. Esto es lo mínimo que debería tener archivado y con fecha:
- Registro de actividades de tratamiento actualizado, con el tratamiento de gestión de dispositivos identificado (art. 30 RGPD).
- Política de uso de dispositivos digitales, comunicada y con participación de los representantes de los trabajadores (art. 87 LOPDGDD).
- Nota informativa previa sobre geolocalización, si esa función se activa (art. 90 LOPDGDD).
- Contrato de encargado del tratamiento con el proveedor de la solución, con la ubicación de los datos identificada (art. 28 RGPD).
- Evaluación de impacto, cuando el tratamiento lo requiera por su alcance o por las categorías de datos implicadas (art. 35 RGPD).
- Procedimiento de brecha con los pasos operativos de bloqueo y borrado remoto y el plazo de 72 horas explícito.
- Inventario exportable del parque de dispositivos, que es la prueba que se pide primero y la que casi nadie tiene a mano.
- Si aplica el ENS: categorización del sistema, análisis de riesgos y declaración o certificación de conformidad según categoría.
Por dónde empezar
Si tuviera que ordenar el trabajo, empezaría por el inventario y el cifrado, porque son los dos controles que aparecen simultáneamente en el artículo 32 del RGPD y en las medidas mp.eq del ENS, y porque son los que convierten una pérdida de terminal en un incidente menor en lugar de en una notificación a la AEPD. Después vienen la política de uso y la separación de perfiles.
Appaloosa cubre esa base para iOS, Android, Windows y macOS desde una sola consola. Puede revisar el detalle en la página de gestión de dispositivos móviles (MDM), o consultar las particularidades de MDM para iOS y MDM para Android. Si ya tiene claro el alcance, nuestras tarifas están publicadas.