N° 448 de 2023

Trabajo Direcciôn del Goblerno de Chile

Departamento Jurídico

Unidad de Dictámenes e Informes en Derecho E26903 (262) 2023 448

ORDINARIO N°:

ACTUACIÓN:

Aplica doctrina.

MATERIA:

Sistema de registro y control de asistencia digital.

RESUMEN:

El sistema digital de registro y control de asistencia, denominado "Kronos Dimensions", presentado por la empresa Mercado Libre Chile S.A., no se ajusta a las exigencias que sobre la materia establece el Dictamen Nº2927/58 de 29.12.2021, por lo que no se autoriza su utilización en el ámbito de las relaciones laborales.

ANTECEDENTES:

1) Instrucciones de 13.03.2023 de Jefa Unidad de Dictámenes e Informes en Derecho.

2) Presentación de 02.02.2023 de Sr en representación de empresa Mercado

Libre Chile S.A.

SANTIAGO, DE : JEFA (S) DEPARTAMENTO JURÍDICO

DIRECCIÓN DEL TRABAJO 29 MAR 2023

A : SR.

MERCADO LIBRE CHILE S.A.

Mediante su presentación de antecedente 2), usted ha solicitado un pronunciamiento de este Servicio, a fin de determinar si el sistema digital de registro y control de asistencia que presenta, denominado "Kronos Dimensions", y su respectivo proceso de verificación, se ajustan a las exigencias que sobre la materia establece el Dictamen Nº2927/58 de 29.12.2021.

Ahora bien, a fin de validar el cumplimiento de las indicadas exigencias usted ha acompañado un informe de certificación emitido por la empresa PLUS

Tecnologías de Información Ltda., Rut N°76.320.686-7, suscrito por el Sr. Poble

En tal contexto, es del caso señalar que los antecedentes acompañados fueron sometidos al pertinente análisis técnico, a fin de verificar el cumplimiento de la normativa administrativa precitada, realizándose las siguientes observaciones: 1-. Respecto del N°2.2 Marcaciones: El sistema deberá registrar en forma automática -al momento de la respectiva marcación- el nombre completo del trabajador y el número de su cédula nacional de identidad, indicando fecha, hora, minuto y segundo en que se inicia o termina una actividad, y si corresponde, su ubicación. Además, el registro deberá incluir el nombre o razón social del empleador y su rol único tributario. La misma información contendrán los registros de las demás marcaciones que, opcionalmente, desee incorporar el empleador.

Observación: Le evidencia adjunta no contiene todos los campos requeridos. 2-. Respecto del N°2.3 Transmisión automática a la base de datos: Todas las marcaciones realizadas en el sistema -obligatorias u opcionales-, deberán ser transferidas en línea a una base de datos central, sin importar si se trata de equipos fijos o móviles. 3-. Respecto del N°2.3.1 Excepción: Considerando que en ciertas actividades productivas o áreas geográficas podría no haber conexión permanente de datos para su transmisión, se considerará ajustado a la norma aquel sistema que permita capturar y almacenar la correspondiente marca, sin perjuicio de que su envío posterior a la plataforma Web se realice automáticamente cuando la plataforma recupere la señal. Para cumplir el fin señalado en el párrafo anterior, el sistema deberá contar con una marca de tiempo, vale decir, asignación por medios electrónicos de la fecha y hora en que se efectúa una marcación. 4-. Respecto del N°2.4 Envío de los comprobantes de marcación: Los sistemas de control de asistencia deberán entregar automáticamente al trabajador un comprobante de cada operación realizada.

Observación: Se adjunta un comprobante de envío de marcación en que la hora marcación y la hora de recepción del correo no coinciden, lo que permite inferir que la salida del comprobante no es automática. 5-. Respecto del N°2.4.3, los comprobantes de marcación enviados por correo electrónico deben tener un formato imprimible. 6-. Respecto del N°2.4.5, los correos electrónicos deberán ser remitidos a los trabajadores de forma automática, utilizando para ello cuentas de correo de “sistema”, vale decir, no nominativas. 7-. Respecto del N°2.4.6, El sistema deberá velar porque no existan dos trabajadores con correos electrónicos idénticos para los efectos de remitir las marcaciones por esa vía. Dicha situación debe ser controlada al realizar el proceso de carga de los datos del trabajador en la plataforma. Las plataformas deberán impedir automáticamente la carga de un correo idéntico a otro ya existente. 8-. Respecto del N°2.5, comprobantes de marcación: Contenido de los comprobantes de marcación. Todos los comprobantes de marcación deberán indicar, a lo menos, la siguiente información:

Observación: La evidencia acompañada no cuenta con toda la información solicitada. 9-. Respecto del N°2.6.1, Las bases de datos deberán tener sistemas de seguridad que: a) impidan el acceso a personal no autorizado, y; b) prevengan la adulteración de la información post - registro. 10-. Respecto del N°2.6.2, Los respaldos de la información deberán contemplar mecanismos de seguridad, por ejemplo, códigos de “Hash” o firmas electrónicas, que aseguren la integridad de su contenido, es decir, que la información que se consulte no haya sufrido alteraciones. En caso de que sí se hayan producido alteraciones estas deberán ser indicadas de manera destacada en pantalla y en los reportes y/o marcaciones. 11-. Respecto del N°2.6.3, La plataforma tecnológica completa deberá incorporar las medidas necesarias para impedir la alteración de la información o intrusiones no autorizadas, tales como controles de acceso restringido, cifrado de información confidencial, etc. 12-. Respecto del N°2.6.5, La plataforma deberá asegurar el registro de cada actividad realizada, de forma tal que puedan determinarse los riesgos o incidentes de seguridad. 13-. Respecto del N°2.9.5, El sitio web debe ser accesible desde sistemas operativos Windows, Android o IOS, ya sea desde dispositivos de escritorio o móviles (despliegue responsivo) con diferentes navegadores, debiendo al menos uno de ellos, por cada sistema operativo, ser de distribución y uso gratuito. Observación: Se adjunta evidencia de un solo sistema operativo.

Respecto del N°2.9.6, Acceso a la plataforma web: El acceso a la información del sistema debe estructurarse de acuerdo con los siguientes criterios:

a) Acceso de funcionarios de la Dirección del Trabajo a.2.1) Acceso desde equipos fijos ubicados dentro de la red de la Dirección del Trabajo: El sistema deberá validar que el acceso al portal se está realizando desde alguna de las direcciones IP en el rango 200.72.242.0/27, pertenecientes a la Dirección del Trabajo. De este modo, cuando los funcionarios de esta Dirección se conecten desde equipos ubicados dentro de su red no requerirán solicitar acceso a las plataformas. a.2.2) Acceso desde equipos ubicados fuera de la red de la Dirección del Trabajo: Para aquellos casos en que el acceso remoto se realice desde dispositivos que no estén en la red de la Dirección del Trabajo -por ejemplo, dispositivos móviles-, el portal de fiscalización contará, en el banner de fiscalización, con la opción “solicitar clave". Al seleccionar dicha opción, el portal requerirá solamente del nombre y correo electrónico institucional del respectivo funcionario. Una vez completados los datos mencionados se solicitará el password, debiendo el sistema generarlo y enviarlo automáticamente al respectivo correo electrónico institucional del funcionario requirente, cuyo dominio siempre [correo reservado]. Las claves mencionadas no podrán tener una duración inferior a 10 días corridos. Transcurrido el término asignado, caducarán automáticamente. Los funcionarios de la Dirección del Trabajo podrán solicitar claves de acceso a un sistema todas las veces que sea necesario. a.2.3) Acceso remoto a sistemas con instalación local u On premise. Cuando la solución se haya instalado en servidores propios del empleador, se aplicará el mismo procedimiento señalado en la letra a.2.2) precedente, por lo que la empresa deberá mantener permanentemente habilitado un sitio web que permita a los funcionarios de este Servicio solicitar las credenciales de acceso pertinentes. 13.1-. Se adjunta evidencia que no corresponde al numeral. 13.2-. No adjunta enlace de acceso a la plataforma. 13.3-. No adjunta credenciales de acceso. 13.4-. El acceso por rangos IP no se encuentra habilitado. 14-. Respecto del N°2.9.6.1, Una vez que el sistema haya validado que la conexión la realiza un funcionario de la Dirección del Trabajo, se presentará un vínculo claramente destacado, que permita ingresar o reingresar a la sección de fiscalización. Este vínculo se deberá denominar "Fiscalización D.T.", y deberá quedar ubicado en el extremo superior derecho de la pantalla. Al ingresar al vínculo, se presentará como primer menú el que contiene las opciones que utilizará la Dirección del Trabajo. 14.1-. Se adjunta evidencia que no corresponde al numeral. 14.2-. No adjunta enlace de acceso a la plataforma. 14.3-. No adjunta credenciales de acceso. 14.4-. El acceso por rangos IP no se encuentra habilitado. 15-. Respecto del N°2.9.6.3, El acceso señalado debe considerar una comunicación segura (HTTPS), utilizando puertos estándares del protocolo habilitado y mecanismos de seguridad, al menos, del tipo TLS 1.2 o superior, o el que se encuentre vigente tecnológicamente y no presente vulnerabilidades de seguridad, deshabilitando, en consecuencia, cualquier estándar inferior al señalado. 15.1-. Se adjunta evidencia que no corresponde al numeral. 15.2-. No adjunta enlace de acceso a la plataforma. 15.3-. No adjunta credenciales de acceso. 15.4-. El acceso por rangos IP no se encuentra habilitado. 16-. Respecto del N°2.9.7, Reportes: A fin de permitir el adecuado desarrollo de los procesos de fiscalización, las plataformas deberán contemplar de manera destacada en su menú inicial, un botón exclusivo para la Dirección del Trabajo, denominado “Reportes DT" el cual, una vez seleccionado, desplegará un menú que contendrá, en el mismo orden y bajo la misma nomenclatura, los informes que detalla el Dictamen.

Observación: Atendido que no se entrega el enlace de fiscalización ni se habilita el acceso por rangos IP, no se puede verificar este punto. 17-. Respecto del N°2.10, Mensaje de alerta de intentos de marcación: Los sistemas deberán registrar los intentos fallidos de marcación, aunque no se vinculen con un trabajador en particular, emitiendo al respectivo empleador un mensaje de alerta de la operación señalando día, hora y lugar del fallo generando, además, un código de la operación y un mensaje de error, los que serán almacenados en el sistema. Las alertas serán enviadas electrónica y automáticamente al empleador, a fin de detectar fallas a nivel de software o hardware. 18-. Respecto del N°2.14.1, Las soluciones deberán encontrarse alojadas en infraestructura con sistemas operativos en versiones vigentes (con soporte), y considerar una plataforma tecnológica que permita dar cuenta de un alto volumen de transacciones (marcajes) tanto para su procesamiento como para su almacenamiento. 19-. Respecto del N°2.14.2, Las bases de datos deberán estar protegidas con mecanismos que aseguren la disponibilidad del servicio de almacenamiento de información y de sus respaldos. En tal sentido se podrán implementar, por ejemplo, procesos de replicación en línea de los registros entre dos servidores de base de datos, en la medida que ellos se encuentren distantes unos de otros en, al menos, 5 kilómetros, pudiendo utilizar tecnologías basadas en nube pública privada. Asimismo, los respaldos no podrán ser almacenamos en el mismo servidor en el que se registran los eventos del sistema. 20-. Respecto del N°2.14.3, Las versiones de los productos que conforman la aplicación (software de base de datos, sistemas operativos, dispositivos de marcaje, etc.), no deberán tener una antigüedad superior a 3 años, con una vigencia no inferior a 5 años. 21-. Respecto del N°2.14.5, Tanto el servicio de base de datos, como el servicio de aplicaciones (sistema o sitio web, por ejemplo) que mantiene funcionando la solución, tendrá que estar distribuido en más de un servidor (equipo) y/o datacenter, de manera que el trabajador no pierda la posibilidad de registrar los eventos asociados con su jornada. 22-. Respecto del N°2.14.6, El servicio de base de datos que mantenga almacenada la información que se genere con la utilización de la plataforma, deberá encontrarse replicado y respaldado en dispositivos de almacenamiento externos, de tal forma que, en caso de algún incidente, se pueda recuperar la información histórica. Además, las bases de datos deberán tener sistemas de seguridad que impidan el acceso a personal no autorizado y que prevengan la adulteración de información post - registro. 23-. Respecto del N°5, Formalidades de la solicitud de autorización. 23.1-. Sobre el N°5.2, Documentos que se deben acompañar a la solicitud: A la carta conductora se deberán acompañar, en documentos separados, el informe de certificación, el diagrama de arquitectura y el informe de vulnerabilidades. Observación: No acompaña informe de vulnerabilidades. 23.2-. Los informes de certificación deberán indicar en su primera página, la misma información señalada en el número anterior, además de la firma del responsable del proceso. 23.3-. En su segunda página contendrán la certificación propiamente tal, en la cual se indicará el resultado del análisis, el producto que ha sido sometido a examen y su vigencia. 23.4-. La tercera página contendrá un índice del informe.

En consecuencia, sobre la base de la jurisprudencia administrativa invocada y consideraciones formuladas, cumplo con informar a usted que el sistema digital de registro y control de asistencia, denominado “Kronos Dimensions", presentado por la empresa Mercado Libre Chile S.A., no se ajusta a las exigencias que sobre la materia establece el Dictamen Nº2927/58 de 29.12.2021, por lo que no se autoriza su utilización en el ámbito de las relaciones laborales.

DIRECCIÓN DEL TRABAJO

Saluda a Ud., 2 9 MAR 2023

OFICINA DE PARTES

DEL TR

B

NATALIA POZO SANHUEZA DIRE JEFE AJO

ABOGADA ☆

JEFA (S) DEPARTAMENTO JURÍDICEPTO. JURÍDICO

DIRECCIÓN DELTRABAJO

LBP/RCG

Distribución:

Jurídico;

Control

Partes;