Cómo se presenta realmente el riesgo de seguridad global en la actualidad y cómo gestionarlo
La relación de un trabajador por contrato con una empresa rara vez se parece a la de un empleado a tiempo completo. Los proyectos comienzan y finalizan según su propio calendario. Un trabajador puede trabajar con un cliente durante tres meses y luego pasar a otro, o gestionar dos proyectos al mismo tiempo. Este cambio constante es lo que hace que el trabajo temporal sea flexible y valioso. También genera un tipo diferente de riesgo relacionado con los datos y el acceso, uno que la mayoría de los consejos de seguridad no abordan.
La mayoría de las directrices sobre la seguridad de la plantilla parten de la base de que se trata de un equipo estable que accede a los mismos sistemas cada día. El trabajo temporal y por contrato no sigue este patrón. Cada contrato tiene su propio inicio y fin, y cada uno de ellos supone un momento en el que el acceso debe configurarse correctamente y cerrarse por completo. No se trata simplemente de una tarea de TI. Es una cuestión de cumplimiento normativo, estrechamente relacionada con la clasificación y la gestión de nóminas que ya gestiona un socio especializado en cumplimiento normativo.
Por qué los compromisos contingentes generan un patrón de riesgo diferente
La contratación a tiempo completo suele ser un hecho puntual. Una persona recién contratada obtiene acceso a lo que necesita desde el principio, y ese acceso puede mantenerse bastante estable durante años. El trabajo temporal no sigue ese patrón. Según la American Staffing Association, las empresas de selección de personal contrataron a 12,7 millones de empleados temporales y por contrato a lo largo de 2023, mientras que solo unos 2,2 millones trabajaban en una semana determinada durante 2024. Esa diferencia ilustra claramente este punto. Una gran parte de las contrataciones temporales comienzan y finalizan en el mismo año, a veces en el plazo de unas pocas semanas.
Cada una de esas contrataciones es un evento de acceso. Todas ellas comienzan con el aprovisionamiento, los sistemas, las credenciales y, en ocasiones, el equipo físico, y todo ello debe cerrarse por completo al final. Si multiplicamos eso por la frecuencia con la que se renuevan los contratos temporales, resulta fácil comprender cómo pueden surgir brechas de seguridad. Una cuenta que debería haberse cerrado a veces permanece abierta por error. Una credencial sigue vigente más allá de la duración del contrato para el que se creó. El problema se reduce a una falta de sincronización: los procesos de acceso suelen estar diseñados para empleos estables y a largo plazo, mientras que los contratos temporales avanzan a un ritmo mucho más rápido.
Hay otro riesgo más reciente que también merece la pena mencionar aquí. Los informes del sector han documentado un aumento de candidatos fraudulentos que utilizan identidades falsas para ser contratados en puestos de trabajo a distancia como autónomos y, a continuación, aprovechan ese acceso para infiltrarse en los sistemas de los clientes. El Departamento de Justicia de EE. UU. ha procesado casos relacionados con trabajadores que utilizaron identidades robadas para conseguir puestos de contratista a distancia en más de 100 empresas. Esto nos recuerda que el riesgo de un incidente de acceso no siempre comienza en la incorporación. A veces empieza incluso antes de que comience la colaboración, con la cuestión de quién está siendo contratado.
Lo que está en juego en materia de acceso
El coste de cometer un error en este ámbito sigue aumentando. El informe de IBM «El coste de una filtración de datos en 2026» reveló que el coste medio mundial de una filtración alcanzó los 4,99 millones de dólares, una cifra récord que supone un aumento del 12 % con respecto al año anterior.
El Informe sobre investigaciones de fugas de datos de Verizon de 2026 aporta detalles útiles. El factor humano estuvo presente en el 62 % de las fugas de datos analizadas por Verizon y, por primera vez desde que se elabora este informe, el aprovechamiento de vulnerabilidades de software superó al uso de credenciales robadas como principal método utilizado por los atacantes para obtener acceso.
Ambos hallazgos respaldan la misma conclusión: los atacantes no necesitan un hackeo sofisticado cuando una cuenta nunca se ha cerrado, una credencial ha caducado o se ha concedido acceso a alguien que no era quien decía ser. En una plantilla con tanta rotación, esas pequeñas lagunas no son excepciones inusuales. Son el resultado previsible de un proceso que no está diseñado para la frecuencia con la que comienzan y finalizan los contratos.
El flujo de datos que subyace a un encargo contingente
Los datos de un empleado a tiempo completo suelen encontrarse principalmente en un único lugar: los propios sistemas de la empresa. El trabajo temporal rara vez es tan sencillo. La información personal y salarial de un trabajador suele pasar del propio trabajador a una agencia de trabajo temporal o a un socio EOR o AOR, y de ahí al cliente final, a veces cruzando una frontera por el camino.
Cada paso de esa cadena es un punto en el que los datos deben gestionarse correctamente. ¿Quién es responsable de proteger la información de un trabajador mientras está en manos de la empresa de selección de personal? ¿Qué ocurre con ella una vez que llega al cliente? Son las mismas preguntas que surgen en materia de clasificación y cumplimiento normativo en materia de nóminas, pero aplicadas a los datos en lugar de al dinero.
Aquí es donde muchos consejos generales sobre seguridad se quedan cortos en lo que respecta al trabajo temporal. El riesgo no radica principalmente en el ordenador portátil o la red doméstica del trabajador. Se trata de cuántas partes tienen acceso a los datos de ese trabajador a lo largo de la duración de un único contrato, y de si cada una de ellas gestiona correctamente su parte de esa relación.
Donde se solapan la clasificación y el cumplimiento normativo
La legislación sobre protección de datos en múltiples jurisdicciones añade otra capa a todo esto. En virtud del Reglamento General de Protección de Datos, las organizaciones que tratan datos personales reciben un trato diferente en función de si actúan como responsables del tratamiento o como encargados del tratamiento, una distinción que se asemeja mucho a la relación entre el trabajador, la agencia y el cliente. La Ley de Privacidad del Consumidor de California establece una distinción similar, otorgando a los residentes derechos sobre su información personal y definiendo las expectativas sobre cómo deben gestionarla los proveedores de servicios en una cadena como esta.
Las empresas que también se comunican con los trabajadores temporales por correo electrónico deben cumplir con la legislación contra el correo basura, ya sea la Ley CAN-SPAM de Estados Unidos o la legislación contra el correo basura de Canadá. Aunque se trata de un aspecto secundario en este contexto, conviene tenerlo en cuenta si la plantilla de trabajadores temporales abarca ambos países.
Estas leyes no se redactaron específicamente para los acuerdos de contratación de personal, pero se aplican a ellos de todos modos. Una empresa que recurre a personal temporal en varios países suele tener que gestionar más de uno de estos marcos simultáneamente, además de los requisitos de clasificación y nóminas que ya se aplican. Coordinar todo ello sin un socio con experiencia añade una complejidad real.
Cómo es una gestión responsable de los accesos
Una buena gestión de los accesos para una plantilla temporal no consiste en bloquear todos los dispositivos ni en imponer una herramienta de seguridad concreta. Se trata de estructurar el propio ciclo de vida de la participación en torno a puntos de control claros.
Lo primero es confirmar quién es la persona que realmente se va a contratar, ya que la verificación al inicio de un proyecto es tan importante como lo que ocurre una vez que la persona empieza a trabajar. A partir de ahí, el acceso debe concederse en función de lo que requiera cada proyecto concreto, revisarse si cambia el alcance del mismo y revocarse por completo en el momento en que finalice, no semanas más tarde, cuando alguien finalmente se dé cuenta.
En principio, nada de esto es complicado. Lo que lo hace difícil es llevarlo a cabo de forma coherente con una plantilla temporal en la que los contratos se inician y finalizan constantemente, a veces con varios clientes y en distintos países a la vez. Esa coherencia exige un esfuerzo real y continuo, y es el mismo tipo de disciplina operativa que ya requieren la clasificación y el cumplimiento de la normativa en materia de nóminas.
Aunar el cumplimiento normativo y el acceso
Los riesgos aquí descritos se derivan de la forma en que se estructura una colaboración: cuándo debe comenzar el acceso, cuándo debe finalizar y cómo se transfieren los datos de un trabajador entre la empresa de selección de personal y el cliente. Esa estructura es la misma que rige la clasificación y el cumplimiento de las normas en materia de nóminas.
People2.0 se encarga de la clasificación y la gestión de nóminas de los contratos temporales en distintas jurisdicciones, una labor que ya exige el cumplimiento de las leyes de protección de datos que regulan las nóminas y los datos personales implicados. Establecer bien esas bases proporciona a la empresa un registro preciso y actualizado de cuándo comienza y termina cada contrato, la misma información que debería servir de base para las decisiones de acceso por parte del cliente.
Si los contratos temporales constituyen una parte significativa de tu plantilla, sobre todo en varios países, conviene preguntarse si tus registros de clasificación, nóminas y contratos están tan actualizados como deberían. Esa es la conversación que mantenemos a diario con las empresas.
¿Quieres saber más? Ponte en contacto con People2.0 para descubrir cómo ayudamos a empresas como la tuya a gestionar el personal temporal de forma conforme a la normativa, independientemente del lugar en el que trabaje tu plantilla.
PREGUNTAS FRECUENTES
¿En qué se diferencian los riesgos relacionados con los datos y el acceso en el caso de los trabajadores temporales respecto a los de los empleados a tiempo completo?
La contratación a tiempo completo suele ser un hecho puntual: el acceso se configura una sola vez y se mantiene prácticamente sin cambios durante años. El trabajo temporal no sigue ese patrón. Los contratos comienzan y finalizan constantemente, por lo que el acceso debe concederse y cancelarse correctamente cada vez, no solo una vez.
¿Cuál es el mayor riesgo que conlleva conceder acceso a los sistemas de la empresa a los trabajadores contratados?
El mayor riesgo no suele ser un ataque sofisticado, sino un proceso de acceso que no se diseñó teniendo en cuenta la rapidez con la que cambian los contratos temporales, por lo que las cuentas y las credenciales siguen vigentes más allá de la duración de los contratos para los que se crearon.
¿Quién es responsable de los datos de un trabajador temporal cuando estos se transmiten entre una empresa de selección de personal y un cliente?
La responsabilidad depende del papel que desempeñe cada parte en la relación. Las leyes de protección de datos, como el RGPD y la CCPA, distinguen entre las organizaciones que controlan los datos y aquellas que los tratan por cuenta de terceros, una distinción que se aplica directamente a la forma en que los datos de los trabajadores pasan del trabajador a una empresa de selección de personal o a un socio EOR/AOR, y de ahí al cliente final.
¿Se aplican las leyes de protección de datos de forma diferente a los trabajadores temporales en los distintos países?
Sí. Una empresa que trabaja con personal temporal en varios países suele estar sujeta a más de un marco de protección de datos a la vez, ya que estas leyes no se redactaron pensando específicamente en los acuerdos de contratación de personal, pero sí se aplican a ellos. Esto añade un nivel adicional de complejidad al cumplimiento de las normas habituales de clasificación y nóminas.
¿Cómo ayuda un socio especializado en cumplimiento normativo a gestionar este riesgo?
Un socio especializado en cumplimiento normativo como People2.0 se encarga de gestionar la clasificación y la gestión de nóminas de una contratación temporal en distintas jurisdicciones, lo que exige cumplir con las leyes de protección de datos que regulan dichas nóminas y la información personal. Esa labor garantiza que los registros de las contrataciones sean precisos y estén actualizados, que es precisamente la información que necesita una empresa para tomar decisiones acertadas en materia de acceso.
Supervisión editorial a cargo de Jeremiah Akin, director sénior de Marca Global y Contenidos
