Ordinario N° 2202, de 27 de julio de 2020

: Car Co, 5 YT Departamento Jurídico y Fiscalía Unidad de Pronunciamientos, a 20 2202 ORDINARIO N': 222 ACTUACIÓN: Aplica doctrina. MATERIA: Sistema de registro y control de asistencia electrónico. RESUMEN: El sistema de registro y control de asistencia / consultado por la empresa PRGTEC S.p.A., | denominado “LaborClock”, presenta serias | deficiencias, por lo que no se autoriza su utilización en , ] el contexto de la relación laboral. N ANTECEDENTES: 1) Instrucciones de 28.06.2020 de Jefa Unidad de Pronunciamientos, Innovación y Estudios Laborales. 2) Presentación de 29.04.2020, de Sr. Arturo Mina M., en representación de empresa PGRTEC S.p.A. SANTIAGO, — 27 JULIA DE : JEFA (S) DEPARTAMENTO JURÍDICO Y FISCAL A : SR. ARTURO MINA M.

EMPRESA PRGTEC S.P.A.

EL MAÑÍO N*7437

PEÑALOLÉN;

Mediante presentación del antecedente 2), usted ha solicitado un pronunciamiento de este Servicio, a fin de determinar si el sistema de registro y control de asistencia que presenta, denominado “LaborClock" y su respectivo proceso de verificación, se ajustan a las exigencias que sobre la materia establecen los Dictámenes N%1140/027, de 24.02.2016 y N”5849/133, de 04.12.2017.

2

Ahora bien, a fin de validar el cumplimiento de las indicadas exigencias, la empresa señalada, acompañó informe de certificación de la empresa IT Cognitive S.p.A., Rut N*76.664.274-8, de fecha 19.07.2019, firmado por el Sr. Reinaldo Belmar.

En tal contexto, es del caso señalar que los antecedentes acompañados fueron sometidos al pertinente análisis técnico, a fin de verificar el cumplimiento de la normativa administrativa precitada.

Como resultado de dicho proceso, es dable informar a usted que se han realizado las siguientes observaciones:

1-. En cuanto a lo dispuesto en el Dictamen N*1140/027, cabe señalar: 1.1-. Respecto del N*1.1, acceso a la plataforma: De acuerdo con lo indicado en este número “Los trabajadores deben tener acceso a toda la información de los sistemas con un perfil de usuario. En efecto, dentro de las ideas matrices de la nueva normativa se encuentra la simetría en el acceso a los datos, vale decir, lograr que las partes de la relación laboral cuenten con la misma cantidad y calidad de información.”

Sin embargo, al revisar la plataforma dispuesta para los dependientes, es dable constatar que ellos no tienen acceso a la misma información que los empleadores, al carecer de la opción de extraer los reportes señalados en el N*1.7 del Dictamen N*5849/133, lo que no se ajusta al principio de simetría que inspira la normativa en examen.

1.2-. Respecto del N*5, disponibilidad del servicio: La plataforma tiene una arquitectura denominada “cliente-servidor” esto significa, en su caso, que solo comercializa la licencia del software. Al efecto el informe señala: "PRGTEC es dueño y comercializa exclusivamente la licencia del software LaborOffice, pero no el servicio, es decir, la aplicación se instala en los servidores del cliente y son ellos quienes se encargan de proveer el hardware, como también las licencias de sistema operativo, motor de base de datos y otros.... y por tanto es el cliente el que decide el modelo de implementación en base a sus necesidades”.

Al respecto, cabe señalar que el Dictamen N*5849/133, en lo pertinente, dispone: 2.2-. No existe inconveniente en proceder a la implementación de los sistemas en los servidores propios de los clientes -instalación local u On premise-, en la medida que se cumplan las siguientes condiciones copulativas:

2.2.1-. La instalación de los sistemas deberá ser realizada por personal de la empresa que desarrolle o comercialice la plataforma, de manera tal que garantice que su utilización respetará las medidas de seguridad con que ha sido diseñada y certificada la plataforma.

2.2.2-. La instalación deberá ser acompañada y verificada por personal de una entidad certificadora, a fin de garantizar que la implementación de la solución se

3

ha realizado respetando los parámetros y condiciones exigidas en el dictamen N*1140/027, de 24.02.2016.

A fin de acreditar el cumplimiento de las condiciones señaladas en este numeral, el proceso de instalación deberá ser respaldado por un informe debidamente firmado por todos los intervinientes, el cual señalará los pasos de la implementación y cualquier antecedente que resulte relevante, por ejemplo, restricciones impuestas por el respectivo empleador a algunas de las características técnicas del sistema.

De acuerdo con el texto transcrito, si bien no existe inconveniente para

proceder a una instalación local de las soluciones, ello supone que previamente ellas han sido certificadas y, posteriormente, validadas por esta Dirección, pues de lo contrario, como ocurre en la especie, no resulta posible verificar el cumplimiento de ciertas exigencias contempladas por la normativa administrativa que nos ocupa y, al mismo tiempo, se incurriría en una discriminación arbitraria frente a aquellas empresas que si hubieran realizado el proceso completo. 1.3-. Respecto del N*6.1, seguridad: La plataforma deberá asegurar el registro de cada actividad realizada, de forma tal que puedan determinarse los riesgos o incidentes de seguridad, medida adoptada con el fin de proteger la información de los trabajadores.

Analizada la documentación acompañada, es dable indicar que no se adjunta evidencia respecto de contar con el registro de que se trata.

2-. En cuanto a lo dispuesto en el Dictamen N*5849/133, cabe señalar: 2.1-. Respecto del N*1.7, reportes: Si bien se adjuntan credenciales de acceso y están mencionados todos los reportes exigidos, es necesario indicar que luego de reiterados intentos no fue posible obtener ningún informe lo que, a su vez, implica que tampoco pudieron validarse los reportes acompañados como evidencia. Además, la plataforma exhibe errores, tales como: Mensaje: “Proceso Finalizado” sin generar el reporte o “Debe configurar los festivos del empleado seleccionado” al tratar de obtener un reporte de asistencia o jornada.

Asimismo, cabe precisar que no se visualizan los filtros de búsqueda requeridos por la norma en examen.

Finalmente, sobre este punto, debe hacerse presente que la plataforma tampoco contiene todos los formatos de exportación requeridos, ofreciendo solamente Excel.

2.2-. Respecto del N*2.5, las soluciones deberán encontrarse alojadas en servidores con sistemas operativos en versiones vigentes (con soporte), y considerar una plataforma tecnológica que permita dar cuenta de un alto volumen de transacciones (marcajes) tanto para su procesamiento como para su almacenamiento.

4

Atendido lo señalado en el N”1.2 precedente, no es posible acreditar el cumplimiento de esta exigencia. 2.3-. Respecto del N*2.6, El sistema de base de datos deberá estar protegido con mecanismos que aseguren la disponibilidad del servicio de almacenamiento de información y de sus respaldos. En tal sentido, se podrán implementar, por ejemplo, procesos de replicación en línea de los registros entre dos servidores de base datos, en la medida que ellos se encuentren distantes unos de otros en, al menos, 5 kilómetros, pudiendo utilizar tecnologías basadas en nube pública privada. Por otro lado, los respaldos no podrán ser almacenamos en el mismo servidor en el que se registran los eventos del sistema.

Atendido lo señalado en el N*1.2 precedente, no es posible acreditar el cumplimiento de esta exigencia. 2.4-.-. Respecto del N*2.8, Las versiones de los productos que conforman la aplicación (software de base de datos, sistemas operativos, dispositivos de marcaje, etc.), no deberán tener una antigúedad superior a 3 años, con una vigencia no inferior a 5 años.

Atendido lo señalado en el N%1.2 precedente, no es posible acreditar el

cumplimiento de esta exigencia, 2.5-. Respecto del N*3.3, Descuentos por falta de marcación: Los sistemas deben emitir automáticamente un correo electrónico de alerta al dependiente, con copia al empleador, luego de transcurrido un lapso de 30 minutos de atraso del trabajador, contados desde la hora de inicio pactada, lo que permite que ambas partes tomen conocimiento de la situación a fin de ser regularizada en la plataforma, mediante una acción del trabajador.

No se acompaña evidencia respecto de la exigencia.

2.6-. Respecto del N*4.5, El proceso de certificación deberá considerar el análisis de vulnerabilidades de las plataformas, utilizando para ello herramientas de terceros que permitan obtener un informe detallado de los aspectos de seguridad de la plataforma, por ejemplo: puertos TCP abiertos y vulnerabilidades a las que se encuentran sujetos, marcas de los productos instalados, resultados de pruebas de penetración, entre otros. El reporte de salida deberá ser incorporado a los antecedentes que se remitan a este Servicio en el contexto del proceso de autorización de los sistemas.

Se acompaña una imagen de la página web https: /iwww.ssllabs.com/, servicio gratuito en línea que realiza una revisión de la configuración de cualquier servidor web SSL en Internet, el cual no corresponde a un análisis en los términos exigidos por la norma.

5

Finalmente, es dable indicar que, atendido que la documentación remitida emana del comercializador de la plataforma, sumado a la data del informe de certificación, es posible inferir que ni la empresa IT Cognitive S.p.A. ni ninguna otra ha certificado los cambios realizados al sistema de registro y control de asistencia en examen.

En conclusión, analizada la información acompañada a la luz de la jurisprudencia administrativa invocada y consideraciones formuladas, cumplo con informar a usted que el sistema de registro y control de asistencia consultado por la empresa PRGTEC S.p.A., denominado “LaborClock”, presenta serias deficiencias, por lo que no se autoriza su utilización en el contexto de la relación laboral. Lo señalado, no obsta a que, una vez corregidas las observaciones indicadas en el cuerpo del presente informe, la solicitud sea reingresada para su revisión y eventual autorización.

Saluda a Ud.,

AO IDEN LV NA SONIA MENA-SOTO gh ES) ABOGADA SEAS JEFA (S) DEPARTAMENTO JURÍDICO Y FISCAL DIRECCION DEL TRABAJO Lórimco Distribución: - Jurídico - Partes