Qué revisar antes de permitir trabajo remoto desde otro país

Pide una solicitud que puedas evaluar

Recoge país, fechas, horario, tipo de alojamiento y necesidad de soporte. Identifica si viaja un empleado de tu entidad o interviene otra empresa, filial o profesional. Enumera las aplicaciones y categorías de datos necesarias. Solicita las validaciones laborales, fiscales y migratorias que procedan para ese caso; no existe un plazo universal que permita resolver todas esas materias desde una lista técnica.

Analiza el acceso a datos sin atajos

El CEPD distingue en sus directrices 05/2021 el acceso remoto de un empleado propio en viaje de la comunicación a otro responsable o encargado en un tercer país. El primero no es automáticamente una transferencia internacional por ese mero acceso. La intervención de otra entidad puede cambiar el análisis. Pide al responsable de privacidad que documente el escenario, destinatarios y garantías aplicables; estar conectado por VPN no resuelve esta valoración.

Ensaya desde las condiciones previstas

Revisa equipo gestionado, actualizaciones, cifrado, recuperación de cuenta y autenticación disponible. Comprueba restricciones geográficas del servicio y políticas de acceso de tu organización, sin desactivarlas globalmente. Define cómo contactar con soporte si se pierde el teléfono o el equipo. Las recomendaciones de movilidad de la AEPD son una referencia de protección de accesos y dispositivos, pero no sustituyen las autorizaciones empresariales ni los requisitos del país de destino.

Aprueba condiciones y un final

Documenta qué datos pueden tratarse, si se permite descarga local, dónde se conserva el trabajo y cómo se comunicarán incidentes. Acuerda una alternativa para cortes de red, diferencias horarias o bloqueo de acceso. Si autorizas una excepción de política, limita alcance y fecha y registra su retirada. Antes de la salida confirma la prueba del puesto; al volver, revisa accesos temporales y cualquier incidencia. Cambiar de país o alargar la estancia exige reevaluar el caso.

Define un caso de bloqueo antes del viaje

Plantea un ejemplo hipotético: la persona pierde su segundo factor fuera del horario habitual y necesita entregar un documento. Acuerda a quién llamará, cómo se verificará su identidad y qué procedimiento autorizado permitirá recuperar el acceso. No improvises una excepción que desactive controles para toda la organización. Si no existe cobertura para resolverlo, deja claro qué tareas pueden esperar y qué alternativa operativa tendrá el departamento.

Valora también privacidad del lugar de trabajo, custodia del equipo durante desplazamientos y posibilidad de mantener las comunicaciones necesarias. Documenta los límites sin convertirlos en garantías: un equipo cifrado reduce determinados riesgos, pero no evita todos los incidentes ni sustituye la decisión empresarial. Conserva las condiciones aprobadas junto a la solicitud. Si se incorpora un colaborador local o se cambia de entidad empleadora, revisa el análisis de destinatarios de datos; no reutilices automáticamente una autorización preparada para el viaje temporal de un empleado propio.

Fuentes y documentación

• CEPD: directrices 05/2021, versión 2.0 — El ejemplo 8 distingue el acceso de un empleado propio de comunicar datos a otra entidad en un tercer país.
• AEPD: movilidad y teletrabajo — Definir acceso, equipos autorizados, protección de datos y comunicación de incidentes.