Ordinario N° 164, de 26 de enero de 2022

E preccona EM Departamento Jurídico y Fiscalía Unidad de Pronunciamientos, Innovación y Estudios Laborales E203235 (1511) 2021 ars ¡04 / ORDINARIO N% Í 3 pu 1) ACTUACIÓN: Aplica doctrina. MATERIA: Sistema de registro y control de asistencia electrónico. RESUMEN: La documentación presentada para sustentar el proceso de certificación del sistema de registro y control de asistencia denominado “SCANEX”, consultado por la Compañía de Ingeniería Nexsis Ltda., no se ajusta a todas las exigencias contempladas en los Dictámenes N*%1140/027 de 24.02.2016 y N*5849/133 de 04.12.2017, por lo que no se autoriza su utilización en el contexto de la relación laboral. ANTECEDENTES: 1) Instrucciones de 10.01.2022 de Jefa Unidad de Pronunciamientos, Innovación y Estudios Laborales. 2) Presentación de 10.11.2021, de Sr. Alberto Schwartzmann Salas, en representación de Compañía de Ingeniería Nexsis Ltda. _aBña ma A A : SANTIAGO, 2 6 ENE 2072 DE : JEFE DEPARTAMENTO JURÍDICO Y FISCAL DIRECCIÓN DEL TRABAJO A : SR.ALBERTO SCHWARTZMANN SALAS COMPAÑÍA DE INGENIERÍA NEXSIS LTDA. AHUMADA N*236, OFICINA 901 SANTIAGO aschwartzmannOnexsis.cl

2

Mediante presentación del antecedente 2), usted ha solicitado un pronunciamiento de este Servicio, a fin de determinar si el sistema de registro y control de asistencia, denominado “SCANEX”, y su respectivo proceso de verificación, se ajustan a las exigencias que sobre la materia establecen los Dictámenes N%1140/027 de 24.02.2016 y N*5849/133 de 04.12.2017.

Ahora bien, a fin de validar el cumplimiento de las indicadas exigencias, la solicitante acompañó informe de certificación emitido por la empresa Pro Retail S.A., no se indica Rut, suscrito por el Sr. Luis Jofré Vallejos.

En tal contexto, los antecedentes acompañados fueron sometidos al pertinente análisis técnico a fin de verificar el cumplimiento de la normativa administrativa precitada.

Como resultado de dicho proceso, es dable informar a usted que se han realizado las siguientes observaciones:

1-. En cuanto a lo dispuesto en el Dictamen N*1 140/027, cabe señalar:

1.1-. Respecto del N”1, marcaciones: El sistema debe registrar en forma automática -al momento de la respectiva marcación- el nombre completo del trabajador y el número de su cédula nacional de identidad, indicando fecha, hora y minuto en que se inicia o termina la jornada de trabajo y, además, los datos del empleador. La misma información contendrán los registros de las demás marcaciones que, opcionalmente, desee incorporar el empleador, como salida o regreso de colación. Además, automáticamente luego de cada registro el sistema deberá registrar un "Checksum " o "Hash " de los datos de cada Operación.

Si existiere algún inconveniente al realizar la marcación, el sistema deberá generar una alerta señalando día, hora y lugar de la operación fallida, emitiendo, además, un código de la Operación y un mensaje de error, los que serán almacenados en el sistema y entregados al trabajador, sea en formato de papel o mediante su envío de manera electrónica.

Todas las marcaciones deberán ser transferidas, en línea, a una base de datos central -sin importar si se trata de equipos fijos o móviles.. Ello, sin perjuicio de los respaldos que puedan contemplarse opcionalmente.

Observaciones:

I-. No adjunta evidencia respecto del registro online en base de datos,

Il-. No adjunta evidencia del uso de códigos "Checksum" o "Hash" de los datos de cada operación.

ÍIl-. No adjunta evidencia respecto de las marcaciones fallida.

1.2-. Respecto del N*2, Identificación: Este Servicio ha verificado que existen personas que pueden presentar problemas frente a un registro biométrico y que también existen labores que afectan el debido reconocimiento, por lo que el sistema deberá contemplar una fórmula alternativa de registro tarjetas de aproximación o claves, por ejemplo-.

3 Observación: No adjunta evidencia respecto del uso de algún método alternativo de marcación. 1.3-. Respecto del N*5, Disponibilidad del servicio: El empleador será siempre responsable de la operación y mantención de los componentes que constituyen la plataforma de control de asistencia electrónica.

El servicio de aplicaciones (sistema o sítio web por ejemplo) que mantiene funcionando la solución tendrá que estar distribuido en más de un servidor (equipo) y/o datacenter, de manera que el trabajador no pierda la posibilidad de registrar los eventos asociados con la jornada. Igualmente, el servicio de base de datos que mantenga almacenada la información que se genere con la utilización de la plataforma, deberá encontrarse replicado y respaldado en dispositivos de almacenamiento externos, de tal forma que, en caso de algún incidente, se pueda recuperar la información histórica. Además, las bases de datos deberán tener sistemas de seguridad que impidan el acceso a personal no autorizado y que prevengan la adulteración de información post-registro.

Los respaldos de la información indicados en el párrafo anterior deberán tener mecanismos de seguridad, por ejemplo códigos de “Hash” o firmas electrónicas, que aseguren la integridad del contenido de dichos respaldos, es decir, que la información que se consulte no haya sufrido alteraciones o, si las hubo, que ellas sean indicadas en los reportes y/o marcaciones.

Observación: No adjunta evidencias técnicas sobre las exigencias indicadas. 1.4-. Respecto del N*6.1, seguridad: La plataforma deberá asegurar el registro de cada actividad realizada, de forma tal que puedan determinarse los riesgos o incidentes de seguridad. Observación: No adjunta evidencia técnica que acredite tener implementado algún log de registro de actividad. . 1.5-. Respecto del N*6.2, confidencialidad: La definición de cada perfil de usuario, así como la respectiva asignación de personas a los mismos, deberá quedar registrada en un sistema de auditoría de la plataforma. Este registro deberá ser automático y sólo deberá ser accesible mediante perfiles de administración, Observación: No adjunta evidencia técnica respecto de tener implementada una auditoria de la plataforma. 1.6-. Respecto del N*6.3, Disponibilidad: La plataforma deberá considerar Componentes y desarrollos tecnológicos que aseguren la permanente disponibilidad de la información que se mantenga almacenada, para su consulta vía Web. Observación: No se puede validar el cumplimiento dado que no se acompañan credenciales de acceso a la plataforma.

4 1.7-. Respecto del N*6.5, Requisitos funcionales: La entidad que realice la verificación del sistema deberá extender un informe final, señalando las pruebas a que ha sido sometido.

Dicho informe final se estructurará en el mismo orden contenido en el presente oficio, e indicará expresamente el cumplimiento de todos los requisitos exigidos para la validación de los sistemas de que se trata. El referido informe señalará, asimismo, las razones técnicas por las que se considera que el sistema cumple cada condición.

Observación: Se adjunta informe de certificación incompleto y sin evidencia técnica que respalde todas las exigencias vigentes.

2-. En cuanto a lo dispuesto en el Dictamen N*5849/1 33, cabe señalar: 2.1-. Respecto del N*1.1, Acceso a la plataforma: Los trabajadores deben tener acceso a toda la información de los sistemas con un perfil de usuario.

Para lograr el objetivo señalado, las plataformas deben permitir la entrega de un mecanismo de identificación único para cada trabajador (Claves por ejemplo), de manera tal que los dependientes puedan consultar sus registros desde cualquier lugar, a cualquier hora y por un periodo histórico mínimo de 5 años, en caso que la antigúedad del dependiente exceda dicho término.

Además, los funcionarios de este Servicio deben tener siempre acceso a la información, por lo que cualquier situación que entorpezca el proceso fiscalizador, tales como entrega de claves de corta duración temporal, establecimiento de procesos engorrosos para otorgar el acceso, etc., se considerarán impedimentos para el cumplimiento de la función inspectiva que corresponde a esta Dirección.

Observación: No se puede validar el cumplimiento dado que no se acompañan credenciales de acceso a la plataforma. 2.2-. Respecto del N*1.3, Marcaciones automáticas: Si bien todas las marcaciones deben ser registradas y transferidas en línea de manera automática y centralizada, se debe tener en consideración que en ciertas actividades productivas o áreas geográficas, puede no haber conexión permanente de datos para su transmisión, por lo que se considerará ajustado a la norma aquél sistema que permita capturar y almacenar la correspondiente marca, sin perjuicio de que su envío a la plataforma Web se realice de manera posterior, pero automáticamente al recuperar la señal. Observación: No adjunta evidencia respecto de la exigencia. 2.3-. Respecto del N*1.7, reportes: A efectos de permitir el adecuado desarrollo de los procesos de fiscalización de este Servicio, las plataformas deben permitir a los respectivos funcionarios obtener, como mínimo, los cinco informes que indica el Dictamen N*5849/133.

5

Observación: No se puede validar el cumplimiento dado que no se acompañan credenciales de acceso a la plataforma.

2.4-. Respecto del N*2.1, Dado que el dictamen N%1140/027 de 24.02.2016, exige la generación de un “HASH” o “Checksum” para validar la integridad del registro de marcaje, estos deberán ser recalculados y establecidos como nuevo código de validación en la base de datos, en caso de que la marca ya almacenada en dicha base sea modificada.

Lo señalado, busca no afectar la revisión de las marcaciones en situaciones de auditoría o fiscalizaciones. Asimismo, el informe de certificación deberá indicar el algoritmo y mecanismo de cálculo de este código de verificación, entregando ejemplos para su comprobación.

Observación: No adjunta evidencia técnica el respecto. 2.5-. Respecto del N*2.3, La información contenida en los comprobantes de marcaje, impresos y/o los enviados por correo electrónico, deberá ser consistente con los datos que contengan las respectivas bases de datos. Observación: No adjunta evidencia técnica el respecto. 2.6-. Respecto del N*2.5, Las soluciones deberán encontrarse alojadas en servidores con sistemas operativos en versiones vigentes (con soporte), y considerar una plataforma tecnológica que permita dar cuenta de un alto volumen de transacciones (marcajes) tanto para su procesamiento como para su almacenamiento, Observación: No adjunta evidencia técnica el respecto. 2.7-. Respecto del N*2.6, El sistema de base de datos deberá estar protegido con mecanismos que aseguren la disponibilidad del servicio de almacenamiento de información y de sus respaldos. En tal sentido, se podrán implementar, por ejemplo, procesos de replicación en línea de los registros entre dos servidores de base datos, en la medida que ellos se encuentren distantes unos de otros en, al menos, 5 kilómetros, pudiendo utilizar tecnologías basadas en nube pública privada. Por otro lado, los respaldos no podrán ser almacenamos en el mismo servidor en el que se registran los eventos del sistema. Observación: No adjunta evidencia técnica el respecto. 2.8-. Respecto del N*2.7, El acceso para fiscalización remota deberá estar implementado sobre un sistema web con acceso HTTPS (TLS 1.2 0 superior), el cuál ¡ debe disponer de credenciales de conexión para los funcionarios fiscalizadores. El acceso deberá ser dispuesto a través de un nombre de sitio web (en la forma httos:/www.nombredelsitio.cl). Observación: No adjunta credenciales de acceso.

6 2.9-. Respecto del N*2.8, Las versiones de los productos que conforman la aplicación (software de base de datos, sistemas operativos, dispositivos de marcaje, etc.), no deberán tener una antigiiedad superior a 3 años, con una vigencia no inferior a 5 años. Observación: No adjunta evidencia técnica el respecto. 2.10-. Respecto del N*2.10, Los empleadores serán responsables de velar porque no existan dos trabajadores con correos electrónicos idénticos para los efectos de remitir las marcaciones por esa vía. Observación: No adjunta evidencia técnica el respecto. 2.11-. Respecto del N*3.2, Tiempo a descontar: Con el objeto de precisar los eventuales descuentos por tiempo no laborado O, por el contrario, los lapsos - trabajados en exceso de la jornada ordinaria, los sistemas deberán calcular los lapsos con precisión de hora, minuto y segundo, restando las cantidades exactas sin aproximación. Observación: La falta de credenciales impide validar el cumplimiento de la exigencia en la plataforma. 2.12-. Respecto del N*3.3, Descuentos por falta de marcación: Al respecto, es dable señalar que los sistemas deben emitir automáticamente un correo electrónico de alerta al dependiente, con copia al empleador, luego de transcurrido un lapso de 30 minutos de atraso del trabajador, contados desde la hora de inicio pactada, lo que permite que ambas partes tomen conocimiento de la situación a fin de ser regularizada en la plataforma, mediante una acción del trabajador. Observaciones: |-. Se adjunta evidencia que no cumple con los parámetros solicitados. Il-. La plataforma no envía copia del correo al empleador. lll-. La alerta no se activa automáticamente a los 30 minutos de contabilizado el atraso. 2.13-. Respecto del N*3.4.2, La modificación, eliminación o reemplazo de una marca de ingreso o salida, de Una ausencia o un atraso, siempre debe quedar visible en pantalla, mediante un signo, símbolo o color que permita fácilmente al trabajador o a un fiscalizador identificar una anomalía y averiguar qué ocurrió. Observación: La falta de credenciales impide validar el cumplimiento de la exigencia en la plataforma. 2.14, Respecto del N*4.2-. Los informes de certificación deberán indicar al principio y de manera destacada, como mínimo, la siguiente información: .

7 4.2.2-. Respecto de la entidad certificadora: Nombre y firma del responsable del proceso, razón social, domicilio, RUT, fecha del informe y correo electrónico de contacto. Observación: No se indica el RUT de la empresa certificadora. 2.15-. Respecto del N”4.6, Para obtener la autorización de este Servicio, se deberá acompañar al respectivo informe de certificación un diagrama de arquitectura, el cual deberá dar cuenta de los componentes que permiten el funcionamiento del sistema y, asimismo, permita determinar la confiabilidad de éste en términos de hardware y software, así como el esquema de respaldo o replicación. Observación: No adjunta diagrama de arquitectura en los términos exigidos.

En conclusión, analizada la información acompañada a la luz de la jurisprudencia administrativa invocada y consideraciones formuladas, cumplo con informar a usted que la documentación presentada para sustentar el proceso de certificación del sistema de registro y control de asistencia denominado “SCANEX”, consultado por la Compañía de Ingeniería Nexsis Ltda., no se ajusta a todas las exigencias contempladas en los Dictámenes N*%1140/027 de 24.02.2016 y N*5849/133 de 04.12.2017, por lo que no se autoriza su utilización en el contexto de la relación laboral. Lo señalado, no obsta a que, una vez corregidas las observaciones indicadas en el cuerpo del presente informe, la solicitud sea reingresada para su revisión y eventual autorización,

Saluda a Ud., Á A 0.

JUAN DAVID/(ERRAZAS PONCE. 00

OGADO ELLE

JEFE DEPARTA TO JURÍDICO KISCAL (o

DIRECCION-DEL TRABAJO HR" stribución:

- Jurídico - Partes