Otorgar acceso al calendario de un empleado sin comunicárselo es técnicamente posible en Microsoft 365; sin embargo, conlleva implicaciones legales y de confianza que la organización debe sopesar cuidadosamente. A continuación se describe cómo lograrlo, dónde podría el usuario detectar el cambio y qué riesgos se asumen.

Panorama general

En la arquitectura de Microsoft 365 todo calendario forma parte del buzón de Exchange Online del usuario. Esto significa que:

• Los permisos se almacenan en Exchange y pueden gestionarse por PowerShell o por la interfaz web (Outlook en la Web, OWA).
• Salvo que la organización lo deshabilite, cada vez que alguien comparte un calendario Outlook envía al propietario un mensaje de notificación.
• No existe una opción gráfica en el Centro de administración para otorgar permisos de calendario a un tercero sin dejar rastro; hay que recurrir a cmdlets o movimientos manuales.

Dos métodos habituales

Método	Pasos básicos	¿Recibe aviso el empleado?	¿Dónde podría detectarlo?
PowerShell / Exchange Online	Conectar a Exchange Online: Connect-ExchangeOnline Otorgar permiso de revisión: Add-MailboxFolderPermission -Identity usuario:\Calendar -User gerente -AccessRights Reviewer (Opcional) Conceder edición: Add-MailboxFolderPermission … -AccessRights Editor	No se envía notificación automática.	Solo aparecerá en la pestaña Permisos del calendario en Outlook u OWA.
Delegación temporal mediante OWA	El administrador se añade a sí mismo como delegado completo del buzón. Inicia sesión como el usuario (Basic Auth o autenticación de aplicación). En OWA abre Calendario → Compartir y permisos → añade al gerente con “Puede ver todos los detalles”. Elimina el correo “Se compartió tu calendario” de Elementos enviados y Elementos eliminados. Se retira a sí mismo como delegado.	No llega aviso (se borra manualmente).	Ídem: pestaña Permisos del calendario.

Qué obtiene el gerente con el permiso Reviewer

Quien posea el rol Reviewer puede:

• Visualizar el asunto, los asistentes, la ubicación y la descripción de cada cita.
• Consultar disponibilidad del propietario junto con todos los detalles.
• Sin embargo, no puede crear citas ni eliminarlas. Para ello necesitaría Editor o PublishingEditor.

Dónde y cómo se detecta el acceso

El empleado únicamente podrá descubrir este acceso de tres maneras:

1. Ir a su calendario en Outlook, hacer clic con el botón derecho sobre el calendario raíz, elegir Propiedades → Permisos y observar la lista de usuarios con sus respectivos niveles.
2. Revisar los registros de auditoría de actividad (si la organización tiene E5 o la auditoría clásica habilitada) y buscar eventos Add-MailboxFolderPermission o Set-MailboxFolderPermission.
3. Analizar los informes de cumplimiento (eDiscovery) que muestren quién accedió a qué carpeta de buzón y cuándo.

Riesgos organizativos

Ventajas	Inconvenientes / Riesgos
Permite a líderes coordinar agendas sin esperar aprobación del usuario. Reduce fricción en escenarios de soporte o absentismo prolongado.	Crea falta de transparencia y posible vulneración de políticas internas de privacidad. Dependencia de acciones manuales (borrar correos) susceptibles de error humano. Quedan huellas forenses en los cmdlets y en los logs de auditoría de Exchange, lo que podría originar investigaciones internas.

Buenas prácticas antes de aplicar el acceso silencioso

Antes de implantar cualquiera de estos métodos, el equipo de TI debería:

• Consultar al departamento legal y al comité de cumplimiento para verificar la licitud de acceder a información personal sin notificación.
• Revisar los contratos laborales y el reglamento interno en busca de cláusulas sobre monitorización de comunicaciones.
• Implementar un procedimiento formal (ticketing, doble aprobación) para documentar quién solicitó el acceso, por cuánto tiempo y con qué finalidad.
• Programar una tarea de review trimestral que retire permisos no justificados.

Cómo revocar el acceso

La revocación se realiza en segundos:

Remove-MailboxFolderPermission -Identity usuario:\Calendar -User gerente

O bien:

Add-MailboxFolderPermission -Identity usuario:\Calendar -User gerente -AccessRights None

Auditoría y trazabilidad con PowerShell

Para verificar permisos vigentes sobre un calendario concreto:

Get-MailboxFolderPermission -Identity usuario:\Calendar

Para exportar un inventario completo de calendarios y sus permisos:

$users = Get-Mailbox -RecipientTypeDetails UserMailbox
foreach($u in $users){
    Get-MailboxFolderPermission "$($u.PrimarySmtpAddress):\Calendar" |
        Select @{Name="Owner";Expression={$u.PrimarySmtpAddress}},
               User,AccessRights
} | Export-Csv CalendarioPermisos.csv -NoTypeInformation

El archivo resultante puede importarse en Excel para un análisis más profundo y sirve como evidencia ante auditorías.

Escenarios de uso legítimo

• Vacaciones o baja médica inesperada: Un asistente ejecutivo necesita reprogramar citas urgentes.
• Investigación de cumplimiento: El equipo de seguridad analiza comportamientos sospechosos.
• Onboarding acelerado: Un nuevo responsable requiere conocer compromisos históricos de su equipo.

Escenarios de uso cuestionable

• Micromanagement encubierto: Supervisión permanente del calendario personal que afecta la moral del equipo.
• Obtención de información competitiva interna: Acceder a detalles sobre reuniones estratégicas sin transparencia.
• Control disciplinario no autorizado: Vigilancia de patrones de ausencia con fines punitivos y sin base legal.

Estrategias de mitigación para los empleados

Aunque el usuario medio raramente revisa la pestaña de permisos, se pueden recomendar buenas prácticas de autodefensa:

1. Inspeccionar mensualmente los permisos de cada calendario.
2. Activar alertas de auditoría personalizadas (si la empresa lo permite) para que se envíe correo cuando cambien permisos.
3. Revisar la bandeja de Elementos eliminados buscando correos de “Se compartió tu calendario” que hayan sido borrados.

Para administradores: automatizar la retirada de rastros

La eliminación de notificaciones puede automatizarse con reglas de transporte o scripts. Un ejemplo rápido:

Search-Mailbox -Identity usuario -SearchQuery '"Se compartió tu calendario"' -TargetMailbox auditor -TargetFolder Evidence -DeleteContent

Sin embargo, estos comandos también quedarán registrados, por lo que sólo trasladan la huella de auditoría.

Consideraciones éticas y legales

El Reglamento General de Protección de Datos (RGPD) en la UE y normativas similares en LATAM exigen la minimización de datos y la información al afectado. Aunque la dirección de la empresa sea propietaria de la infraestructura, la ley puede requerir notificación previa o al menos una política interna explícita publicada y aceptada por los empleados.

Conclusión

Conceder acceso al calendario de un subordinado sin que lo sepa es técnicamente sencillo, pero operativamente arriesgado. Toda organización debería equilibrar la comodidad operativa frente a la confianza de los empleados y los requerimientos legales. En la práctica:

• PowerShell es el camino más rápido y silencioso, pero deja trazabilidad.
• La delegación temporal en OWA funciona, aunque requiere borrar manualmente el rastro.
• Si se lleva a cabo, debe quedar documentado y ser respaldado por una política clara y una auditoría periódica.

Anexo A – Comparativa de niveles de acceso

Nivel	Ver disponibilidad	Ver asunto	Ver descripción	Crear/Editar
Reviewer	Sí	Sí	Sí	No
Editor	Sí	Sí	Sí	Sí
Author	Sí	No	No	Sí (solo propios)

Anexo B – Plantilla de solicitud formal

Solicitante: 
Fecha: 
Calendario afectado: 
Motivo del acceso: 
Duración estimada: 
Aprobador 1 (TI): _
Aprobador 2 (Legal/Compliance): _

Anexo C – Checklist previa al acceso

• ¿Se ha registrado un ticket?
• ¿La política interna permite el acceso?
• ¿Se notificará al empleado después del periodo requerido?
• ¿Existe un plan de revocación automática?

Este artículo se proporciona solo con fines educativos. El autor no se hace responsable del uso indebido de la información aquí expuesta.