Diari Oficial de la Generalitat Valenciana




DOGV – Disposició
=================

Compartir

Compartir

Tornar

Guardar el document Descarregar les metadades en format XML

Sumari del DOGV 6833, del 03-08-2012 (2012/7630)

ORDE 9/2012, de 10 de juliol, de la Conselleria de Sanitat, per la qual s'estableix l'organització de la seguretat de la informació.
------------------------------------------------------------------------------------------------------------------------------------

Estat**VIGENT**

Permalink ELI

**https://dogv.gva.es/va/eli/es-vc/o/2012/07/10/9/dof/vci/html**

### Dades del document

Número de DOGV
:   6833

Data del DOGV
:   03-08-2012

Secció del DOGV
:   I. DISPOSICIONS GENERALS

Número del document
:   2012/7630

CVE


Data del document
:   10-07-2012

Organisme emissor
:   Conselleria de Sanitat

Tipus de document
:   Ordre

Anàlisi jurídica

 Descriptors 

:   * [Conselleria de Sanitat](javascript:void(0))
    * [sistema d'informació](javascript:void(0))
    * [tractament de dades](javascript:void(0))
    * [informàtica](javascript:void(0))
    * [legislació](javascript:void(0))
    * [protecció de dades](javascript:void(0))

ORDE 9/2012, de 10 de juliol, de la Conselleria de Sanitat, per la qual s'estableix l'organització de la seguretat de la informació. [2012/7630]  
Índex  
  
Preàmbul  
Capítol I. Disposició preliminar  
Article 1. Objecte  
Article 2. Àmbit d'aplicació  
Article 3. Principi general d'actuació  
Capítol II. Estructura organitzativa  
Article 4. Estructura bàsica  
Article 5. Organització central de la seguretat de la informació  
Article 6. Organització perifèrica de la seguretat de la informació  
  
Capítol III. L'organització central de la seguretat de la informació  
  
Article 7. El responsable de la informació  
Article 8. El responsable de la seguretat de la informació  
Article 9. L'Oficina de seguretat de la informació  
Article 10. El Comité de seguretat de la informació  
Article 11. Els responsables d'accessos a la informació  
Article 12. Els responsables funcionals de tractament  
Capítol IV. L'organització perifèrica de la seguretat de la informació  
Article 13. El responsable de tractaments de la informació  
Article 14. El responsable local de la seguretat de la informació  
Article 15. Els responsables locals de la seguretat de la informació emmagatzemada en fitxers automatitzats i no automatitzats  
  
Article 16. El Comité local de seguretat de la informació  
Article 17. Els responsables funcionals de tractament locals  
Disposició addicional  
Disposició derogatòria  
Única. Derogació normativa  
Disposicions finals  
Primera. Constitució de l'Oficina de seguretat de la informació  
Segona. Terminis d'adequació  
Tercera. Compliment  
Quarta. Instruments de col·laboració  
Quinta. Entrada en vigor  
  
La informació constituïx un actiu de primer orde per a la Conselleria de Sanitat i l'Agència Valenciana de Salut des del moment que resulta essencial per a prestar servicis sanitaris de qualitat. Que la informació relativa a la salut d'un pacient puga estar a disposició dels professionals sanitaris quan la necessiten en qualsevol punt de la xarxa assistencial, o el control de l'eficiència en l'ús dels recursos sanitaris són impensables sense el concurs de les tecnologies de la informació i de les comunicacions. Estes tecnologies faciliten l'accés electrònic dels ciutadans als servicis públics i estan provocant canvis profunds en tot tipus de sectors i activitats.  
L'ús de la tecnologia facilita noves formes de tractar la informació, la qual cosa propicia la creació de nous servicis als ciutadans, com la sol·licitud de cita per Internet, o la consulta de la seua història de salut. D'altra banda, a part d'estos nous servicis i de la informació bàsica per a l'exercici de les funcions pròpies de la Conselleria de Sanitat i de l'Agència Valenciana de Salut, l'activitat d'ambdós organitzacions genera abundant informació que, al seu torn, constituïx una font important de coneixement per a les parts amb interessos legítims en la seua explotació. Entre estos interessats estan en primer lloc els pacients i els ciutadans en general, en tant que potencials beneficiaris del major coneixement sobre l'eficàcia dels tractaments, estils de vida saludables, factors de risc, etc. En segon lloc estan els gestors i directius que necessiten conéixer el funcionament de l'organització, el grau d'implantació de les polítiques, mesurar la seua eficàcia i l'eficiència dins de les conegudes dinàmiques de control i la millora contínua. L'explotació d'esta informació secundària requerix la dedicació d'estructures i personal especialitzats, tant de la Conselleria com d'agents externs. Tots estos tractaments han de realitzar-se en condicions suficients per a preservar els drets i els interessos dels ciutadans, sobretot pel que fa a la protecció de dades personals, i les de la Conselleria per a garantir els servicis i com a possible titular de drets morals o patrimonials sobre la informació i els productes derivats d'esta.   
  
Les mesures de seguretat són de naturalesa molt diversa, quasi tant com els problemes que pretenen resoldre, i van des de les organitzatives fins a les purament tecnològiques, passant per les de tipus contractual i altres. Entre les primeres que és necessari adoptar estan les de caràcter organitzatiu, i d'estes és necessari destacar-ne dos que es complementen mútuament: una declaració dels principis que han d'observar-se en tots els tractaments d'informació, i un repartiment de funcions i responsabilitats en matèria de seguretat. És a dir, una política i una organització de la seguretat de la informació. Ambdós mesures estan tan estretament relacionades que de vegades s'inclou el model organitzatiu dins de la política.  
L'antecedent normatiu immediat d'esta orde és el Decret 66/2012, de 27 d'abril, del Consell, que establix la política de seguretat de la informació de la Generalitat, i el contingut de la qual és plenament aplicable a la Conselleria de Sanitat. En la disposició final primera d'eixa norma es faculta el conseller o la consellera amb competències en matèria de sanitat i salut pública perquè desplegue les disposicions necessàries per a establir l'organització de la seguretat de la informació en el seu àmbit de competència. En l'exercici de la dita facultat, esta disposició té com a objecte establir el marc organitzatiu de la seguretat de la informació en l'àmbit de la Conselleria de Sanitat.  
  
La Llei Orgànica 15/1999, de 13 de desembre, de Protecció de Dades de Caràcter Personal, té com a objecte garantir i protegir, pel que fa al tractament de les dades personals, les llibertats públiques i els drets fonamentals de les persones físiques i especialment del seu honor i intimitat personal i familiar. L'article 9.1 establix que «el responsable del fitxer, i, si és el cas, l'encarregat del tractament hauran d'adoptar les mesures d'índole tècnica i organitzatives necessàries que garantisquen la seguretat de les dades de caràcter personal i eviten la seua alteració, la pèrdua, el tractament o l'accés no autoritzat, tenint en compte l'estat de la tecnologia, la naturalesa de les dades emmagatzemades i els riscos a què estan exposats, ja provinguen de l'acció humana o del medi físic o natural». L'Orde 11/2011, de 21 d'octubre, de la Conselleria de Sanitat, per la qual es creen onze nous fitxers de dades de caràcter personal i se suprimixen els que existien fins a eixe moment, declara que el responsable d'eixos fitxers és la Conselleria.   
  
El Reial Decret 1720/2007, de 21 de desembre, pel qual s'aprova el Reglament de desplegament de la Llei Orgànica 15/1999, de 13 de desembre, de Protecció de Dades de Caràcter Personal, establix les mesures de seguretat mínimes que han d'aplicar-se als fitxers automatitzats i no automatitzats que continguen dades de caràcter personal, entre les quals s'inclou el nomenament d'una sèrie de figures amb responsabilitats específiques.  
La Llei 11/2007, de 22 de juny, d'Accés Electrònic dels Ciutadans als Servicis Públics, té entre els seus fins la creació de les condicions de confiança en l'ús dels mitjans electrònics per mitjà de l'establiment de les mesures necessàries per a la preservació de la integritat dels drets fonamentals i, en especial, els relacionats amb la intimitat i la protecció de dades de caràcter personal. En la disposició final huitena esta llei establix que correspon al Govern i a les comunitats autònomes en l'àmbit de les seues competències respectives, dictar les disposicions necessàries per al desplegament i l'aplicació de la dita llei.  
  
El Reial Decret 3/2010, de 8 de gener, pel qual es regula l'Esquema Nacional de Seguretat en l'àmbit de l'administració electrònica desplega la Llei 11/2007, de 22 de juny, i fixa una sèrie de requisits mínims que han de concretar-se en el corresponent pla d'adequació. Entre estos requisits estan l'aprovació formal de la política de seguretat i l'organització de la seguretat. L'article 10 d'este Reial Decret, que reclama la separació de funcions entre el responsable de la informació, el responsable del servici i el responsable de la seguretat, és particularment rellevant en el context d'esta disposició.  
En l'àmbit autonòmic dos antecedents normatius en esta matèria són el Decret 96/1998, de 6 de juliol, pel qual es regulen l'organització de la funció informàtica, la utilització dels sistemes d'informació i el Registre de Fitxers informatitzats en l'àmbit de l'administració de la Generalitat Valenciana, i el Decret 112/2008, de 25 de juliol, del Consell, pel qual es crea la Comissió Interdepartamental per a la Modernització Tecnològica, la Qualitat i la Societat del Coneixement a la Comunitat Valenciana.  
  
D'altra banda és imprescindible citar també ací la Llei 3/2010, de 5 de maig, d'Administració Electrònica de la Comunitat Valenciana, que es va promulgar a l'empara de l'article 19.2 de l'Estatut d'Autonomia, que reconeix el dret d'accés dels valencians a les noves tecnologies i que la Generalitat desenrotlle polítiques actives que impulsen la formació, les infraestructures i la seua utilització, així com de l'article 49.3.16a, que establix que la Generalitat té la competència exclusiva sobre el «Règim de les noves tecnologies relacionades amb els servicis d'informació i del coneixement». L'article 37.4 d'esta llei establix que «les administracions públiques, en funció de la seua capacitat i possibilitats, aprovaran, o adoptaran per mitjà dels oportuns acords i convenis, polítiques de seguretat de la informació per a l'aplicació efectiva dels principis assenyalats en els apartats anteriors, i poden promoure la constitució o la incorporació als grups i als centres de seguretat a què es referix l'article 35.6 d'esta llei».  
En virtut d'allò que s'ha exposat, i fent ús de les facultats que em conferix l'article 28.e) de la Llei 5/1983, de 30 de desembre, del Consell, i de conformitat amb el Consell Jurídic Consultiu,  
  
  
ORDENE  
  
CAPÍTOL I  
Disposició preliminar  
  
Article 1. Objecte  
L'objecte d'esta orde és fer un repartiment efectiu de tasques i responsabilitats per al manteniment i la millora de la seguretat de la informació en la Conselleria de Sanitat. Este repartiment atén al principi de separació de funcions entre els responsables de la informació, dels tractaments i de la seguretat. El seu resultat és el conjunt d'agents que es descriuen en els capítols següents.  
En disposicions a part es regularan altres aspectes de la seguretat de la informació, com ara l'accés a la informació i als sistemes de tractament, els plans de millora i el compliment dels seus objectius, la protecció de les infraestructures crítiques i les actuacions en casos d'emergència. Els agents identificats en esta orde jugaran papers destacats en tots estos.  
  
Article 2. Àmbit d'aplicació  
1. L'organització de la seguretat regulada en esta orde s'aplica a la Conselleria de Sanitat i als organismes i les institucions que depenguen d'esta. Les referències a la Conselleria de Sanitat que figuren en els articles següents han d'interpretar-se en este sentit extens.  
  
2. Les entitats independents que participen en els tractaments d'informació posada sota la responsabilitat de la Conselleria de Sanitat podran dotar-se de la seua estructura organitzativa sempre que garantisquen les condicions fixades per al dit tractament. En tot cas hauran de nomenar un responsable de seguretat que facilite la coordinació amb els agents que es descriuen en esta orde, d'acord amb l'article 7.3 del Decret 66/2012, de 27 d'abril, del Consell, pel qual s'establix la política de seguretat de la informació de la Generalitat.   
  
  
Article 3. Principi general d'actuació  
La seguretat de la informació depén de tots els que participen en el seu tractament i compromet a tota l'organització. El personal al servici de la Conselleria de Sanitat té el deure de col·laborar amb els agents amb responsabilitats específiques en la seguretat de la informació per a previndre, detectar i controlar els riscos derivats d'actuacions negligents, ignorància de les normes, fallades tècniques, d'organització o de coordinació, o instruccions inadequades.  
CAPÍTOL II  
Estructura organitzativa  
  
Article 4. Estructura bàsica  
Les principals tasques per al manteniment i la millora de la seguretat de la informació s'assignen a un conjunt d'agents que es distribuïxen en una organització central i una sèrie d'organitzacions perifèriques.  
  
Els agents de l'organització central tenen funcions i responsabilitats en tot l'àmbit d'aplicació d'esta orde. Els agents de les organitzacions perifèriques essencialment tenen àrees d'actuació més restringides que es limiten als centres que constituïxen estes agrupacions.  
  
  
Article 5. Organització central de la seguretat de la informació  
1. Els agents de l'organització central exercixen papers principals en el govern, la gestió i l'administració de la seguretat de la informació. La seua missió consistix a definir els objectius i l'estratègia corporativa en eixa matèria, traçar, dirigir i monitoritzar els plans per a fer-la efectiva, així com coordinar, assessorar i prestar servicis de suport als agents de les organitzacions perifèriques.  
2. L'organització central estarà composta pels agents següents:  
  
a) Responsable de la informació  
b) Responsable de la seguretat de la informació  
c) Oficina de seguretat de la informació  
d) Comité de seguretat de la informació  
e) Responsables d'accessos a la informació  
f) Responsables funcionals de tractaments  
  
Article 6. Organització perifèrica de la seguretat de la informació  
1. Els centres on es realitzen tractaments d'informació s'agrupen en organitzacions perifèriques. Estos agrupaments reflectixen l'estructura de la Conselleria des del punt de vista dels tractaments de la informació.   
2. Al capdavant de cada organització perifèrica hi haurà un responsable de tractaments nomenat pel responsable de la informació. Els departaments de salut, els òrgans administratius territorials, i el conjunt de centres de salut pública tindran la consideració d'òrgans perifèrics als efectes d'esta disposició, sense que amb estos s'esgote la llista.  
  
3. Les organitzacions perifèriques es dotaran de l'estructura necessària perquè els tractaments d'informació es realitzen en les degudes condicions de seguretat. A este efecte podran comptar amb els agents següents:  
a) Responsable dels tractaments de la informació  
b) Responsable local de la seguretat de la informació  
c) Responsable local de la seguretat de la informació emmagatzemada en fitxers automatitzats  
d) Responsable local de la seguretat de la informació emmagatzemada en fitxers no automatitzats  
e) Comité local de seguretat de la informació  
f) Responsables funcionals de tractament  
g) Responsables operatius de tractament  
4. Els agents de les organitzacions perifèriques seran responsables d'aplicar les mesures de seguretat dins del seu àmbit d'actuació, i com a mínim les que s'aproven amb caràcter general per a tota la Conselleria. La participació d'estos agents en la presa de decisions corporatives i en la coordinació d'actuacions es realitzarà per mitjà de la seua representació en l'organització central i la seua participació en els fòrums que l'organització central disposarà a este efecte.  
5. El responsable dels tractaments de la informació i el responsable local de seguretat són imprescindibles en qualsevol organització perifèrica.  
6. Els directors gerents dels departaments de salut, els directors territorials i el director general competent en matèria de salut pública seran els responsables dels tractaments en les seues respectives demarcacions. A ells els correspondrà nomenar formalment la resta d'agents dins de la seua organització.  
  
  
CAPÍTOL III  
L'organització central de la seguretat de la informació  
  
Article 7. El responsable de la informació  
1. El responsable de la informació serà el conseller, assessorat i assistit pel Consell de Direcció, com a autoritat amb potestat per a decidir sobre la finalitat, el contingut i els tractaments de la informació.  
2. El responsable de la informació assumix el paper que la Llei Orgànica 15/1999, de 13 de desembre, de Protecció de Dades de Caràcter Personal, assigna al responsable de fitxers.  
3. Entre les competències del responsable de la informació destaquen les següents:  
a) Aprovar els plans estratègics d'actuació en seguretat de la informació, proporcionar els recursos i l'autoritat suficients per a portar-los a cap.  
b) Aprovar l'estructura organitzativa de la seguretat de la informació.  
c) Nomenar el responsable de la seguretat de la informació.  
d) Nomenar els membres del Comité de Seguretat de la Informació.  
e) Nomenar un responsable d'accessos per a cada actiu d'informació.  
f) Autoritzar els tractaments de la informació posada sota la seua responsabilitat i nomenar els corresponents responsables funcionals.  
g) Autoritzar les cessions d'informació, enteses com a comunicacions de dades a tercers per a realitzar tractaments per compte propi.  
  
h) Aprovar el codi tipus de la Conselleria de Sanitat.  
i) Valorar els riscos que se sotmeten a la seua consideració i ordenar les actuacions pertinents.  
j) Aprovar la memòria anual sobre l'estat de la seguretat de la informació en la Conselleria de Sanitat i decidir sobre les propostes d'actuació incloses.  
k) Resoldre en última instància els conflictes entre la resta d'agents quan les intervencions mediadores del responsable de seguretat i del Comité de seguretat no hagueren sigut suficients.   
  
Article 8. El responsable de la seguretat de la informació  
1. El responsable de la seguretat de la informació serà la persona a qui el responsable de la informació assigne formalment les funcions de coordinar i controlar les mesures de seguretat aplicables.  
2. Les funcions del responsable de la seguretat de la informació són:  
a) Identificar els objectius i elaborar els corresponents plans d'actuació per a la millora de la seguretat de la informació. Entre les actuacions previstes en eixos plans estaran les següents:  
i. Implantació i control de les mesures tècniques i organitzatives necessàries per a garantir la seguretat de les dades i evitar la seua alteració, pèrdua, tractament o accés no autoritzat, tenint en compte l'estat de la tecnologia, de la naturalesa de les dades emmagatzemades i dels riscos a què estan exposats, ja provinguen de l'acció humana o del medi físic o natural.  
ii. Compliment de les exigències legals en matèries de seguretat i de protecció de dades personals.  
iii. Establiment de les condicions mínimes per als tractaments d'informació per part de tercers, així com el control del seu compliment i eficàcia.  
b) Dirigir la realització de les actuacions arrepleguades en els plans estratègics, i controlar el seu grau d'execució i l'eficàcia.  
c) Promoure i col·laborar en el manteniment, la difusió i l'aplicació de la política de seguretat de la informació, així com en la redacció de les normes, procediments i guies de bones pràctiques que la desenrotllen.  
d) Identificar els actius d'informació, així com els magatzems, aplicacions i servicis que intervinguen en els tractaments, especialment quan continguen dades personals.  
e) Definir les línies base de seguretat, enteses com a conjunts mínims de controls de seguretat que hauran d'aplicar-se en tots els tractaments d'informació.  
f) Homologar tractaments, en especial les aplicacions informàtiques i servicis d'informació, respecte als requisits de seguretat exigibles.  
g) Dirigir les auditories de seguretat, que hauran d'incloure una valoració del grau d'aplicació i de l'efectivitat dels controls de seguretat pertinents i un catàleg d'actuacions recomanades.  
h) Elaborar la memòria anual sobre l'estat de la seguretat de la informació en la Conselleria de Sanitat, que inclourà sengles apartats dedicats a riscos i millores.  
i) Promoure l'elaboració i el manteniment d'un codi tipus per a la Conselleria de Sanitat per part del Comité de Seguretat.  
j) Atendre les qüestions relatives a la seguretat de la informació i la protecció de dades personals que li siguen plantejades des de qualsevol instància de la Conselleria.  
k) Atendre les qüestions relatives a l'aplicació de les mesures de seguretat procedents dels que intervinguen en els tractaments de la informació. A este efecte habilitarà els canals de participació oportuns.  
  
l) Informar sobre la idoneïtat de les tecnologies, productes i servicis a disposició de la Conselleria de Sanitat des del punt de vista de la seguretat.  
m) Establir el criteri per a la declaració de fitxers a l'Agència Espanyola de Protecció de Dades i mantindre permanentment actualitzats els registres general i autonòmic pel que fa als fitxers que siguen responsabilitat de la Conselleria de Sanitat.  
n) Organitzar l'administració dels documents de seguretat i realitzar els controls de qualitat corresponents.  
o) Facilitar el compliment de les disposicions legals en els contractes que incloguen tractament de dades personals. Verificar que la prestació es realitza d'acord amb les dites disposicions i amb els termes del contracte.  
p) Coordinar els servicis prestats pels diferents agents que intervenen en la seguretat de la informació a fi d'evitar duplicitats i zones sense cobertura.  
q) Mitjançar en els conflictes relacionats amb assumptes de la seua competència que siguen sotmesos a la seua consideració.   
r) Intervenir en la gestió de les alertes, incidències i problemes de seguretat que per la seua rellevància pogueren afectar o suposar un greu risc per a la Conselleria de Sanitat i els seus actius d'informació.  
s) Actuar com a secretari del Comité de Seguretat de la Informació.  
t) Actuar com a director de l'Oficina de Seguretat de la Informació.  
3. El responsable de la seguretat de la informació de la Conselleria de Sanitat exercirà el paper de responsable de seguretat previst en el Reial Decret 1720/2007, de 21 de desembre, pel qual s'aprova el Reglament de desplegament de la Llei Orgànica 15/1999, de 13 de desembre, de Protecció de Dades de Caràcter Personal.  
4. Per al compliment de les seues funcions el responsable de la seguretat de la informació estarà assistit per l'Oficina de Seguretat i pels responsables locals de seguretat de les organitzacions perifèriques.  
  
  
Article 9. L'Oficina de Seguretat de la Informació  
1. L'Oficina de Seguretat de la Informació prestarà assistència tècnica, legal i administrativa al responsable de la seguretat de la informació per a l'exercici de les seues funcions. El director d'esta oficina serà el responsable de la seguretat de la informació.  
2. L'Oficina de Seguretat de la Informació facilitarà la coordinació entre els servicis de seguretat prestats per proveïdors de dins i fora de la Conselleria de Sanitat, i els complementarà en la mesura que siga possible.  
  
Article 10. El Comité de Seguretat de la Informació  
1. El Comité de Seguretat de la Informació de la Conselleria de Sanitat serà el màxim òrgan consultiu de caràcter no tècnic sobre seguretat de la informació.  
2. El Comité de Seguretat de la Informació tindrà les funcions següents:  
a) Informar els distints responsables sobre l'adequació, viabilitat i impacte de les actuacions en matèria de seguretat de la informació, i poden proposar noves iniciatives o la modificació de les existents. En particular informarà sobre els plans d'actuació proposats pel responsable de seguretat de la informació.   
b) Elaborar el codi tipus de la Conselleria de Sanitat, d'acord amb l'article 32 de la Llei Orgànica 15/1999, de 13 de desembre, de Protecció de Dades de Caràcter Personal, i amb el títol VII del Reial Decret 1720/2007, de 21 de desembre, pel qual s'aprova el reglament de desplegament de la dita llei, document que revisarà almenys una vegada a l'any.  
c) Facilitar el coneixement i l'aplicació de la normativa i de les mesures de seguretat en les distintes instàncies de la Conselleria de Sanitat, i buscar aconseguir un clima positiu i de participació.  
3. La composició del Comité de Seguretat de la Informació serà la següent:  
a) El secretari autonòmic director gerent de l'Agència Valenciana de Salut, o el director general o director de gestió sanitària en qui delegue, que serà el seu president.  
b) El responsable de la seguretat de la informació de la Conselleria de Sanitat, que actuarà de secretari.  
c) Un vocal nomenat per cada una de les direccions generals de la Conselleria de Sanitat.  
d) Dos vocals triats directament pel director gerent de l'Agència Valenciana de Salut, dels quals almenys un ho serà en representació de l'òrgan que tinga les competències en tecnologies de la informació i les comunicacions.  
e) Tres vocals en representació dels departaments de salut.  
f) Un vocal en representació de l'Advocacia General de la Generalitat especialitzat en seguretat de la informació i protecció de dades personals.  
4. Cada òrgan representat nomenarà un vocal titular i un vocal suplent.   
5. El Comité de Seguretat de la Informació es reunirà com a mínim una vegada a l'any per a conéixer l'informe sobre l'estat de la seguretat i el pla d'actuació proposats pel responsable de seguretat, així com per a valorar els possibles canvis al codi tipus.  
  
Article 11. Els responsables d'accessos a la informació  
1. Els responsables d'accessos seran els encarregats d'executar la política d'accessos que establisca el responsable de la informació. De manera especial administraran l'accés a la informació d'acord amb eixes directrius i determinaran, amb caràcter general, el nivell de seguretat aplicable.   
2. El responsable de la informació nomenarà un responsable d'accessos per a cada actiu d'informació, entés com un conjunt d'informació amb entitat diferenciada. Els fitxers inscrits en el registre general de protecció de dades tindran la consideració d'actius de primer nivell. Per davall d'ells, ordenats de manera jeràrquica, podran distingir-se altres actius més específics. Les condicions d'accés als actius de nivell superior seran aplicables als actius de nivell inferior, llevat d'excepcions degudament justificades i documentades.   
  
3. Els responsables d'accessos podran identificar els actius de nivell inferior i designar els seus responsables d'accessos.   
4. Les principals funcions del responsable d'accessos són:  
a) Classificar la informació segons l'esquema proposat pel responsable de seguretat. El resultat d'esta classificació determinarà el nivell de protecció de la informació i els controls de seguretat exigibles a tots els tractaments de què siga objecte.  
b) Establir els criteris, les condicions i els procediments per a l'obtenció de les credencials d'accés.   
i. Eixos requisits s'especificaran, en la mesura que siga possible, de manera que faciliten la seua aplicació a col·lectius i circumstàncies ben definits i eviten haver de fer-ho de forma individualitzada, entre altres raons per a agilitzar l'obtenció d'eixes credencials en l'exercici de l'activitat ordinària.   
ii. Els requisits mencionats en l'apartat anterior estaran a disposició dels possibles interessats en la Intranet de la Conselleria de Sanitat.  
  
c) Autoritzar, amb caràcter general, les entrades i eixides d'informació fora dels locals i sistemes de la Conselleria de Sanitat. Este apartat inclou l'ús de dispositius portàtils i dels servicis de tractament en el núvol (cloud computing). En tot cas eixos moviments hauran de fer-se complint les condicions establides d'acord amb el responsable de seguretat. Les cessions d'informació hauran de ser aprovades prèviament pel responsable de la informació.   
d) Gestionar la concessió, revocació i caducitat de les credencials d'accés a la informació.  
e) Autoritzar les entrades i eixides individuals de suports d'informació, i guardar un registre complet d'estos moviments.  
f) Informar periòdicament sobre els accessos registrats i alertar el responsable de seguretat immediat de qualsevol incidència o problema.  
5. El responsable d'accés a la informació podrà nomenar delegats en les ubicacions oportunes perquè l'assistisquen en l'exercici de les funcions d, e i f del punt anterior.  
6. El paper de responsable d'accessos podrà recaure en una comissió on estiguen representats els principals interessats. En estos casos la comissió haurà d'adoptar i fer públic un compromís d'agilitat en la resolució de les peticions que li siguen dirigides.   
7. El nomenament dels responsables d'accés a la informació es realitzarà formalment i es farà constar en el document de seguretat.  
  
  
Article 12. Els responsables funcionals de tractament  
1. Els tractaments d'informació hauran de tindre l'aprovació del responsable de la informació, que nomenarà un responsable funcional per a cada tractament diferenciat.  
2. El responsable funcional té la missió de fer que el tractament de la informació aconseguisca els objectius declarats, s'ha de cenyir a estos i complir els nivells exigibles de qualitat, seguretat i eficiència. Les seues principals funcions són:  
a) Aconseguir els elements tècnics, materials, humans i organitzatius necessaris per a realitzar el tractament.  
b) Establir les característiques individuals i les condicions de participació en el tractament dels elements mencionats en el punt anterior. Entre les anteriors cal destacar les especificacions funcionals de les aplicacions informàtiques, les necessitats de formació del personal i la seua qualificació mínima, i el temps màxim d'indisponibilitat tolerable.  
  
c) Establir els procediments per mitjà dels quals cooperaran els susdits elements per a aconseguir els objectius del tractament, tant en condicions normals com en situacions excepcionals. Els procediments de resolució d'incidències i els plans de contingència hauran de formar part d'este lot.  
d) Controlar la qualitat i l'eficiència del tractament dins d'un cicle de millora contínua.  
e) Facilitar informació sobre l'activitat exercida i els resultats del tractament als interlocutors que acrediten un interés legítim, tenint en compte en tot cas les condicions imposades pels responsables d'accés a la informació.  
3. El responsable funcional haurà d'introduir i exigir els requisits de seguretat aplicables en totes les fases del cicle de vida del tractament, per al qual comptarà amb l'assistència del personal especialitzat de la Conselleria.   
4. El responsable funcional haurà de fer efectives les condicions fixades pels responsables d'accés a la informació, atenent especialment la formació del personal que intervinga en el tractament.  
5. El responsable funcional registrarà i mantindrà actualitzada la informació relativa al tractament en els documents de seguretat corresponents, responent de la seua exactitud i vigència.  
6. El responsable funcional encapçalarà, generalment, un equip de professionals en el qual estaran representats els participants i principals interessats en el tractament.  
7. Quan en el tractament de la informació intervinguen les tecnologies de la informació i les comunicacions, el cap de l'òrgan que tinga eixes competències nomenarà un responsable tècnic del tractament, que serà l'interlocutor habitual del responsable funcional.  
8. Quan un mateix tractament es duga a terme en distints centres, en cada un d'estos hi haurà un responsable operatiu del tractament, designat pel corresponent responsable de tractaments d'acord amb el responsable funcional. Els responsables operatius actuaran amb la coordinació del responsable funcional pel que fa al tractament en qüestió.  
  
9. Quan l'abast d'un tractament no transcendisca els límits d'una organització perifèrica, el seu responsable de tractaments, com a representant del responsable de la informació, podrà realitzar l'autorització i el nomenament mencionats en el primer apartat d'este article.  
10. El responsable funcional, el responsable operatiu i el responsable tècnic informaran diligentment de les alertes, les incidències o els problemes de seguretat que detecten per mitjà dels procediments de comunicació establits a este efecte.  
  
CAPÍTOL IV   
L'organització perifèrica de la seguretat de la informació  
  
Article 13. El responsable de tractaments de la informació  
1. El responsable de tractaments de la informació encapçalarà l'organització perifèrica de la seguretat de la informació en cada departament de salut o instància on s'establisca.  
2. El responsable de tractaments de la informació actuarà dins del seu àmbit en representació del responsable de la informació. En particular assumirà les funcions següents:  
a) Proporcionar la protecció adequada als actius d'informació posats al seu càrrec.  
b) Desenrotllar i mantindre l'organització perifèrica de la seguretat de la informació i realitzar els nomenaments oportuns.  
c) Proveir els recursos necessaris per a protegir la informació i facilitar el desenrotllament dels plans de seguretat.  
d) Facilitar la coordinació d'actuacions amb els agents de l'organització central i de les altres organitzacions perifèriques. Esta coordinació és necessària per a reduir l'impacte de les incidències que afecten la seguretat de la informació.  
e) Autoritzar els tractaments d'informació que no transcendisquen el seu àmbit d'actuació i nomenar els responsables funcionals corresponents.  
3. Tots els nomenaments seran comunicats al responsable de la seguretat de la informació i es faran constar en els documents de seguretat pertinents.  
  
Article 14. El responsable local de la seguretat de la informació  
1. El responsable de tractaments nomenarà un responsable local de la seguretat de la informació que s'encarregarà de coordinar totes les actuacions en eixa matèria dins del seu àmbit d'actuació.  
2. Els responsables locals de la seguretat de la informació actuaran en coordinació amb el responsable de la seguretat de la informació.  
  
3. Entre les funcions dels responsables locals de la seguretat de la informació estan:  
a) Dirigir, coordinar i supervisar l'execució dels plans de seguretat i l'aplicació dels controls oportuns.  
b) Participar amb els seus homòlegs en altres organitzacions perifèriques i amb el responsable de la seguretat de la informació en l'elaboració dels plans de seguretat corporatius, en la gestió dels plans vigents i en la valoració dels seus resultats.  
c) Col·laborar en el manteniment dels documents de seguretat.  
d) Realitzar un informe anual per al responsable de tractaments i el responsable de la seguretat de la informació sobre el compliment dels plans previstos, l'efectivitat dels controls aplicats, els nous riscos detectats, i possibles canvis i millores.  
e) Informar el responsable de tractaments i el responsable de la seguretat de la informació dels riscos, de les incidències o dels problemes de seguretat la rellevància del qual així ho requerisca, així com participar en la gestió o resolució d'estos.  
  
Article 15. Els responsables locals de la seguretat de la informació emmagatzemada en fitxers automatitzats i no automatitzats  
1. El responsable de tractaments podrà nomenar un responsable local de la seguretat de la informació emmagatzemada en fitxers automatitzats i un responsable local de la seguretat de la informació emmagatzemada en fitxers no automatitzats. Ambdós figures assessoraran el responsable local de seguretat i actuaran sota la seua coordinació.  
2. Les seues funcions coincidiran amb les del responsable local de seguretat, en la mesura que este les delegue, i estaran orientades a les seues respectives àrees d'actuació.  
  
Article 16. El comité local de seguretat de la informació  
1. Els responsables de tractaments podran ordenar la creació de comités locals de seguretat de la informació. Les seues funcions, dins de cada organització perifèrica, seran les mateixes que les del Comité de Seguretat de la Informació.  
2. Els components i el règim de funcionament d'estos comités queden a la discreció de cada responsable de tractaments. El paper del comité local de seguretat de la informació pot ser assumit per un altre òrgan o comissió amb capacitat suficient.  
  
Article 17. Els responsables funcionals de tractament locals  
Els responsables de tractaments podran nomenar responsables funcionals per a aquells tractaments d'informació específics de les seues organitzacions perifèriques. A estos agents els serà aplicable allò que s'ha dit abans per als responsables funcionals de tractament, amb l'única diferència que el seu àmbit d'actuació és més reduït.  
  
DISPOSICIÓ ADDICIONAL  
  
Única. Incidència econòmica  
La implantació i posterior desenrotllament d'esta orde no podrà tindre cap incidència en la dotació de tots i cada un dels capítols de gasto assignats a la Conselleria competent per raó de la matèria, i en tot cas haurà de ser atés amb els mitjans personals i materials de la dita conselleria.   
  
DISPOSICIÓ DEROGATÒRIA  
  
Única. Derogació normativa  
Queden derogades totes les disposicions que del mateix rang o d'un rang inferior s'oposen al que establix esta orde.  
  
DISPOSICIONS FINALS  
  
Primera. Constitució de l'Oficina de Seguretat de la Informació  
Les funcions de l'Oficina de Seguretat de la Informació les assumirà amb caràcter general l'òrgan administratiu que tinga les competències en tecnologies de la informació i les comunicacions. El responsable de seguretat requerirà la col·laboració d'altres òrgans de la Conselleria de Sanitat en la mesura que fóra necessària la participació dels seus professionals per a cobrir l'oferta de servicis de l'oficina. A estos efectes el dit personal podrà adscriure's temporal o parcialment a l'Oficina de Seguretat.  
  
Segona. Terminis d'adequació  
Les comissions o aquells que en el moment de l'entrada en vigor d'esta orde van exercir funcions pròpies dels agents descrits en esta, podran continuar exercint les seues funcions, amb caràcter provisional, fins que no es realitzen els nomenaments dels dits agents. En este cas hauran d'adaptar el seu funcionament, criteris i procediments a les decisions d'abast corporatiu que prenguen els agents amb responsabilitats superiors que hagueren sigut nomenats per a això.  
  
S'establix un termini màxim de sis mesos a partir de l'entrada en vigor d'esta orde perquè es constituïsquen l'Oficina i el Comité de Seguretat de la Informació, i es realitzen els nomenaments de la resta d'agents.  
En tant que esta disposició desplega les exigències de l'Esquema Nacional de Seguretat, la data límit del 30 de gener de 2014 per a l'adequació a la dita norma resulta aplicable també al compliment d'esta orde.   
  
Tercera. Compliment  
L'ús de l'equipament i dels servicis informàtics de la Conselleria de Sanitat, així com la connexió als sistemes d'informació corporatius estaran supeditats al compliment per part dels responsables funcionals del que establix esta orde.  
En les auditories que cobrisquen la seguretat de la informació o la protecció de dades personals s'avaluarà el grau de compliment i l'efectivitat de les mesures establides en esta orde.  
L'observança del que establix esta orde podrà formar part dels acords de gestió que pacte la conselleria amb les organitzacions perifèriques.   
  
Quarta. Instruments de col·laboració  
L'òrgan de la Conselleria de Sanitat que tinga les competències en tecnologies de la informació i les comunicacions proporcionarà els recursos tecnològics que faciliten la col·laboració i l'intercanvi de coneixement i experiències entre els que participen en el tractament de la informació, especialment entre els agents mencionats en esta disposició.   
  
Quinta. Entrada en vigor  
Esta orde entrarà en vigor l'endemà de la publicació en el Diari Oficial de la Comunitat Valenciana.  
  
València, 10 de juliol de 2012  
  
El conseller de Sanitat.  
LUIS ROSADO BRETÓN



Descarregar el document amb format PDF

Descarregar les metadades en format XML

Còpia Permalink ELI

Diari Oficial de la Generalitat Valenciana




DOGV - Disposición
==================

Comparte

Comparte

Volver

Guardar el documento Descargar los metadatos en formato XML

Sumario DOGV 6833, del 03-08-2012 (2012/7630)

ORDEN 9/2012, de 10 de julio, de la Conselleria de Sanidad, por la que establece la organización de la seguridad de la información.
-----------------------------------------------------------------------------------------------------------------------------------

Estado**VIGENTE**

Permalink ELI

**https://dogv.gva.es/es/eli/es-vc/o/2012/07/10/9/dof/spa/html**

### Datos del documento

Número DOGV
:   6833

Fecha DOGV
:   03-08-2012

Sección del DOGV
:   I. DISPOSICIONES GENERALES

Número del documento
:   2012/7630

CVE


Fecha del documento
:   10-07-2012

Organismo emisor
:   Conselleria de Sanidad

Tipo de documento
:   Orden

Análisis jurídico

 Descriptores 

:   * [Conselleria de Sanidad](javascript:void(0))
    * [sistema de información](javascript:void(0))
    * [tratamiento de datos](javascript:void(0))
    * [informática](javascript:void(0))
    * [legislación](javascript:void(0))
    * [protección de datos](javascript:void(0))

ORDEN 9/2012, de 10 de julio, de la Conselleria de Sanidad, por la que establece la organización de la seguridad de la información. [2012/7630]  
Índice  
  
Preámbulo  
Capítulo I. Disposición preliminar  
Artículo 1. Objeto  
Artículo 2. Ámbito de aplicación  
Artículo 3. Principio general de actuación  
Capítulo II. Estructura organizativa  
Artículo 4. Estructura básica  
Artículo 5. Organización central de la seguridad de la información  
Artículo 6. Organización periférica de la seguridad de la información  
Capítulo III. La organización central de la seguridad de la información  
Artículo 7. El responsable de la información  
Artículo 8. El responsable de la seguridad de la información  
Artículo 9. La Oficina de seguridad de la información  
Artículo 10. El Comité de seguridad de la información  
Artículo 11. Los responsables de accesos a la información  
Artículo 12. Los responsables funcionales de tratamiento  
Capítulo IV. La organización periférica de la seguridad de la información  
Artículo 13. El responsable de tratamientos de la información  
Artículo 14. El responsable local de la seguridad de la información  
Artículo 15. Los responsables locales de la seguridad de la información almacenada en ficheros automatizados y no automatizados  
Artículo 16. El Comité local de seguridad de la información  
Artículo 17. Los responsables funcionales de tratamiento locales  
Disposición adicional única. Incidencia económica  
Disposición derogatoria   
Única. Derogación normativa  
Disposiciones finales  
Primera. Constitución de la Oficina de seguridad de la información  
Segunda. Plazos de adecuación  
Tercera. Cumplimiento  
Cuarta. Instrumentos de colaboración  
Quinta. Entrada en vigor   
  
La información constituye un activo de primer orden para la Conselleria de Sanidad y la Agencia Valenciana de Salud desde el momento en que resulta esencial para prestar servicios sanitarios de calidad. Que la información relativa a la salud de un paciente pueda estar a disposición de los profesionales sanitarios cuando la necesiten en cualquier punto de la red asistencial, o el control de la eficiencia en el uso de los recursos sanitarios son impensables sin el concurso de las tecnologías de la información y de las comunicaciones. Estas mismas tecnologías facilitan el acceso electrónico de los ciudadanos a los servicios públicos y están provocando cambios profundos en todo tipo de sectores y actividades.  
El uso de la tecnología facilita nuevas formas de tratar la información, lo que propicia la creación de nuevos servicios a los ciudadanos, como la solicitud de cita por Internet, o la consulta de su historia de salud. Por otro lado, aparte de estos nuevos servicios y de la información básica para el desempeño de las funciones propias de la Conselleria de Sanidad y de la Agencia Valenciana de Salud, la actividad de ambas organizaciones genera abundante información que, a su vez, constituye una fuente importante de conocimiento para las partes con intereses legítimos en su explotación. Entre tales interesados están en primer lugar los pacientes y los ciudadanos en general, en tanto que potenciales beneficiarios del mayor conocimiento sobre la eficacia de los tratamientos, estilos de vida saludables, factores de riesgo, etc. En segundo lugar están los gestores y directivos que precisan conocer el funcionamiento de la organización, el grado de implantación de las políticas, medir su eficacia y eficiencia dentro de las consabidas dinámicas de control y mejora continua. La explotación de esta información secundaria requiere la dedicación de estructuras y personal especializados, tanto de la propia Conselleria como de agentes externos. Todos estos tratamientos deben realizarse en condiciones suficientes para preservar los derechos e intereses de los ciudadanos, sobre todo en lo que concierne a protección de datos personales, y los de la propia Conselleria para garantizar los servicios y como posible titular de derechos morales o patrimoniales sobre la información y los productos derivados de ella.   
Las medidas de seguridad son de naturaleza muy diversa, casi tanto como los problemas que pretenden resolver, y van desde las organizativas hasta las puramente tecnológicas, pasando por las de tipo contractual y otras. Entre las primeras que es necesario adoptar están las de carácter organizativo, y de ellas es preciso destacar dos que se complementan mutuamente: una declaración de los principios que deben observarse en todos los tratamientos de información, y un reparto de funciones y responsabilidades en materia de seguridad. Es decir, una política y una organización de la seguridad de la información. Ambas medidas están tan estrechamente relacionadas que en ocasiones se incluye el modelo organizativo dentro de la política.   
El antecedente normativo inmediato de la presente orden es el Decreto 66/2012, de 27 de abril, del Consell, que establece la política de seguridad de la información de la Generalitat, y cuyo contenido es plenamente aplicable a la Conselleria de Sanidad. En la disposición final primera de esa norma se faculta al conseller o la consellera con competencias en materia de sanidad y salud pública para que desarrolle las disposiciones necesarias para establecer la organización de la seguridad de la información en su ámbito de competencia. En ejercicio de dicha facultad, la presente disposición tiene por objeto establecer el marco organizativo de la seguridad de la información en el ámbito de la Conselleria de Sanidad.  
La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Datos de Carácter Personal, tiene como objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas y especialmente de su honor e intimidad personal y familiar. Su artículo 9.1 dispone que «el responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural». La Orden 11/2011, de 21 de octubre, de la Conselleria de Sanidad, por la que se crean once nuevos ficheros de datos de carácter personal y se suprimen los que existían hasta ese momento, declara que el responsable de esos ficheros es la propia Conselleria.   
El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, establece las medidas de seguridad mínimas que deben aplicarse a los ficheros automatizados y no automatizados que contengan datos de carácter personal, entre las que se incluye el nombramiento de una serie de figuras con responsabilidades específicas.  
La Ley 11/2007, de 22 de junio, de Acceso Electrónico de los Ciudadanos a los Servicios Públicos, tiene entre sus fines la creación de las condiciones de confianza en el uso de los medios electrónicos mediante el establecimiento de las medidas necesarias para la preservación de la integridad de los derechos fundamentales y, en especial, los relacionados con la intimidad y la protección de datos de carácter personal. En su disposición final octava esta ley establece que corresponde al Gobierno y a las comunidades autónomas en el ámbito de sus respectivas competencias, dictar las disposiciones necesarias para el desarrollo y aplicación de dicha ley.  
El Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración electrónica desarrolla la Ley 11/2007, de 22 de junio, y fija una serie de requisitos mínimos que deben concretarse en el correspondiente Plan de adecuación. Entre tales requisitos están la aprobación formal de la política de seguridad y la organización de la seguridad. El artículo 10 de este Real Decreto, que reclama la separación de funciones entre el responsable de la información, el responsable del servicio y el responsable de la seguridad, es particularmente relevante en el contexto de la presente disposición.  
En el ámbito autonómico otros dos antecedentes normativos en esta materia son el Decreto 96/1998, de 6 de julio, por el que se regulan la organización de la función informática, la utilización de los sistemas de información y el Registro de Ficheros Informatizados en el ámbito de la administración de la Generalitat Valenciana, y el Decreto 112/2008, de 25 de julio, del Consell, por el que se crea la Comisión Interdepartamental para la Modernización Tecnológica, la Calidad y la Sociedad del Conocimiento en la Comunidad Valenciana.  
Por otra parte es imprescindible citar también aquí la Ley 3/2010, de 5 de mayo, de Administración Electrónica de la Comunitat Valenciana, que se promulgó al amparo del artículo 19.2 del Estatut d'Autonomia, que reconoce el derecho de acceso de los valencianos a las nuevas tecnologías y a que la Generalitat desarrolle políticas activas que impulsen la formación, las infraestructuras y su utilización, así como del artículo 49.3.16ª, que establece que la Generalitat tiene la competencia exclusiva sobre el «Régimen de las nuevas tecnologías relacionadas con los servicios de información y del conocimiento». El artículo 37.4 de esta ley dispone que «las administraciones públicas, en función de su capacidad y posibilidades, aprobarán, o adoptarán mediante los oportunos acuerdos y convenios, políticas de seguridad de la información para la aplicación efectiva de los principios señalados en los apartados anteriores, pudiendo promover la constitución o incorporación a los grupos y centros de seguridad a los que se refiere el artículo 35.6 de esta ley».  
En virtud de lo expuesto, y en uso de las facultades que me confiere el artículo 28.e) de la Ley 5/1983, de 30 de diciembre, del Consell, y conforme con el Consell Jurídic Consultiu,  
  
  
ORDENO  
  
CAPÍTULO I  
Disposición preliminar  
  
Artículo 1. Objeto  
El objeto de la presente orden es hacer un reparto efectivo de tareas y responsabilidades para el mantenimiento y mejora de la seguridad de la información en la Conselleria de Sanidad. Este reparto atiende al principio de separación de funciones entre los responsables de la información, de los tratamientos y de la seguridad. Su resultado es el conjunto de agentes que se describen en los capítulos siguientes.  
En disposiciones aparte se regularán otros aspectos de la seguridad de la información, como el acceso a la información y a los sistemas de tratamiento, los planes de mejora y el cumplimiento de sus objetivos, la protección de las infraestructuras críticas y las actuaciones en casos de emergencia. Los agentes identificados en la presente orden jugarán papeles destacados en todos ellos.  
  
Artículo 2. Ámbito de aplicación  
1. La organización de la seguridad regulada en la presente orden se aplica a la Conselleria de Sanidad y a los organismos e instituciones que dependan de ella. Las referencias a la Conselleria de Sanidad que figuran en los artículos siguientes deben interpretarse en este sentido extenso.  
2. Las entidades independientes que participen en los tratamientos de información puesta bajo la responsabilidad de la Conselleria de Sanidad podrán dotarse de su propia estructura organizativa siempre que garanticen las condiciones fijadas para dicho tratamiento. En todo caso deberán nombrar un responsable de seguridad que facilite la coordinación con los agentes que se describen en esta orden, de acuerdo con el artículo 7.3 del Decreto 66/2012, de 27 de abril, del Consell, por el que se establece la política de seguridad de la información de la Generalitat.   
  
Artículo 3. Principio general de actuación  
La seguridad de la información depende de todos los que participan en su tratamiento y compromete a toda la organización. El personal al servicio de la Conselleria de Sanidad tiene el deber de colaborar con los agentes con responsabilidades específicas en la seguridad de la información para prevenir, detectar y controlar los riesgos derivados de actuaciones negligentes, ignorancia de las normas, fallos técnicos, de organización o de coordinación, o instrucciones inadecuadas.  
CAPÍTULO II  
Estructura organizativa  
  
Artículo 4. Estructura básica  
Las principales tareas para el mantenimiento y la mejora de la seguridad de la información se asignan a un conjunto de agentes que se distribuyen en una organización central y una serie de organizaciones periféricas.  
Los agentes de la organización central tienen funciones y responsabilidades en todo el ámbito de aplicación de la presente orden. Los agentes de las organizaciones periféricas esencialmente tienen áreas de actuación más restringidas que se limitan a los centros que constituyen estas agrupaciones.   
  
Artículo 5. Organización central de la seguridad de la información  
1. Los agentes de la organización central desempeñan papeles principales en el gobierno, la gestión y la administración de la seguridad de la información. Su misión consiste en definir los objetivos y la estrategia corporativa en esa materia, trazar, dirigir y monitorizar los planes para hacerla efectiva, así como coordinar, asesorar y prestar servicios de apoyo a los agentes de las organizaciones periféricas.  
2. La organización central estará compuesta por los siguientes agentes:  
a) Responsable de la información  
b) Responsable de la seguridad de la información  
c) Oficina de seguridad de la información  
d) Comité de seguridad de la información  
e) Responsables de accesos a la información  
f) Responsables funcionales de tratamientos  
  
Artículo 6. Organización periférica de la seguridad de la información  
1. Los centros donde se realizan tratamientos de información se agrupan en organizaciones periféricas. Estos agrupamientos reflejan la estructura de la Conselleria desde el punto de vista de los tratamientos de la información.   
2. Al frente de cada organización periférica habrá un responsable de tratamientos nombrado por el responsable de la información. Los departamentos de salud, los órganos administrativos territoriales, y el conjunto de centros de salud pública tendrán la consideración de órganos periféricos a los efectos de esta disposición, sin que con ellos se agote la lista.  
3. Las organizaciones periféricas se dotarán de la estructura necesaria para que los tratamientos de información se realicen en las debidas condiciones de seguridad. A tal efecto podrán contar con los siguientes agentes:  
a) Responsable de los tratamientos de la información  
b) Responsable local de la seguridad de la información  
c) Responsable local de la seguridad de la información almacenada en ficheros automatizados  
d) Responsable local de la seguridad de la información almacenada en ficheros no automatizados  
e) Comité local de seguridad de la información  
f) Responsables funcionales de tratamiento  
g) Responsables operativos de tratamiento  
4. Los agentes de las organizaciones periféricas serán responsables de aplicar las medidas de seguridad dentro de su ámbito de actuación, y como mínimo las que se aprueben con carácter general para toda la Conselleria. La participación de estos agentes en la toma de decisiones corporativas y en la coordinación de actuaciones se realizará mediante su representación en la organización central y su participación en los foros que la organización central dispondrá al efecto.  
5. El responsable de los tratamientos de la información y el responsable local de seguridad son imprescindibles en cualquier organización periférica.  
6. Los directores gerentes de los departamentos de salud, los directores territoriales y el director general competente en materia de salud pública serán los responsables de los tratamientos en sus respectivas demarcaciones. A ellos les corresponderá nombrar formalmente al resto de agentes dentro de su organización.  
  
  
CAPÍTULO III  
La organización central de la seguridad de la información  
  
Artículo 7. El responsable de la información  
1. El responsable de la información será el conseller, asesorado y asistido por el Consejo de Dirección, como autoridad con potestad para decidir sobre la finalidad, contenido y tratamientos de la información.  
2. El responsable de la información asume el papel que la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, asigna al responsable de ficheros.  
3. Entre las competencias del responsable de la información destacan las siguientes:  
a) Aprobar los planes estratégicos de actuación en seguridad de la información, proporcionar los recursos y la autoridad suficientes para llevarlos a cabo.  
b) Aprobar la estructura organizativa de la seguridad de la información.  
c) Nombrar al responsable de la seguridad de la información.  
d) Nombrar a los miembros del Comité de Seguridad de la Información.  
e) Nombrar un responsable de accesos para cada activo de información.  
f) Autorizar los tratamientos de la información puesta bajo su responsabilidad y nombrar a los correspondientes responsables funcionales.  
g) Autorizar las cesiones de información, entendidas como comunicaciones de datos a terceros para realizar tratamientos por cuenta propia.  
h) Aprobar el código tipo de la Conselleria de Sanidad.  
i) Valorar los riesgos que se sometan a su consideración y ordenar las actuaciones pertinentes.  
j) Aprobar la memoria anual sobre el estado de la seguridad de la información en la Conselleria de Sanidad y decidir sobre las propuestas de actuación incluidas.  
k) Resolver en última instancia los conflictos entre el resto de agentes cuando las intervenciones mediadoras del responsable de seguridad y del Comité de seguridad no hubieran sido suficientes.   
  
Artículo 8. El responsable de la seguridad de la información  
1. El responsable de la seguridad de la información será la persona a la que el responsable de la información asigne formalmente las funciones de coordinar y controlar las medidas de seguridad aplicables.  
2. Las funciones del responsable de la seguridad de la información son:  
a) Identificar los objetivos y elaborar los correspondientes planes de actuación para la mejora de la seguridad de la información. Entre las actuaciones contempladas en esos planes estarán las siguientes:  
i. Implantación y control de las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos y evitar su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, de la naturaleza de los datos almacenados y de los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.  
ii. Cumplimiento de las exigencias legales en materias de seguridad y de protección de datos personales.  
iii. Establecimiento de las condiciones mínimas para los tratamientos de información por parte de terceros, así como el control de su cumplimiento y eficacia.  
b) Dirigir la realización de las actuaciones recogidas en los planes estratégicos, controlando su grado de ejecución y eficacia.  
c) Promover y colaborar en el mantenimiento, difusión y aplicación de la política de seguridad de la información, así como en la redacción de las normas, procedimientos y guías de buenas prácticas que la desarrollen.  
d) Identificar los activos de información, así como los almacenes, aplicaciones y servicios que intervengan en los tratamientos, especialmente cuando contengan datos personales.  
e) Definir las líneas base de seguridad, entendidas como conjuntos mínimos de controles de seguridad que deberán aplicarse en todos los tratamientos de información.  
f) Homologar tratamientos, en especial las aplicaciones informáticas y servicios de información, respecto a los requisitos de seguridad exigibles.  
g) Dirigir las auditorías de seguridad, que deberán incluir una valoración del grado de aplicación y de la efectividad de los controles de seguridad pertinentes y un catálogo de actuaciones recomendadas.  
h) Elaborar la memoria anual sobre el estado de la seguridad de la información en la Conselleria de Sanidad, que incluirá sendos apartados dedicados a riesgos y mejoras.  
i) Promover la elaboración y el mantenimiento de un código tipo para la Conselleria de Sanidad por parte del Comité de Seguridad.  
j) Atender las cuestiones relativas a la seguridad de la información y la protección de datos personales que le sean planteadas desde cualquier instancia de la Conselleria.  
k) Atender las cuestiones relativas a la aplicación de las medidas de seguridad procedentes de quienes intervengan en los tratamientos de la información. A tal efecto habilitará los canales de participación oportunos.  
l) Informar sobre la idoneidad de las tecnologías, productos y servicios a disposición de la Conselleria de Sanidad desde el punto de vista de la seguridad.  
m) Establecer el criterio para la declaración de ficheros a la Agencia Española de Protección de Datos y mantener permanentemente actualizados los registros general y autonómico en lo que respecta a los ficheros que sean responsabilidad de la Conselleria de Sanidad.  
n) Organizar la llevanza de los documentos de seguridad y realizar los controles de calidad correspondientes.  
o) Facilitar el cumplimiento de las disposiciones legales en los contratos que incluyan tratamiento de datos personales. Verificar que la prestación se realiza de acuerdo con dichas disposiciones y con los términos del contrato.  
p) Coordinar los servicios prestados por los diferentes agentes que intervienen en la seguridad de la información con objeto de evitar duplicidades y zonas sin cobertura.  
q) Mediar en los conflictos relacionados con asuntos de su competencia que sean sometidos a su consideración.   
r) Intervenir en la gestión de las alertas, incidencias y problemas de seguridad que por su relevancia pudieran afectar o suponer un grave riesgo para la Conselleria de Sanidad y sus activos de información.  
s) Actuar como secretario del Comité de Seguridad de la Información.  
t) Actuar como director de la Oficina de Seguridad de la Información.  
3. El responsable de la seguridad de la información de la Conselleria de Sanidad desempeñará el papel de responsable de seguridad previsto en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.  
4. Para el cumplimiento de sus funciones el responsable de la seguridad de la información estará asistido por la Oficina de Seguridad y por los responsables locales de seguridad de las organizaciones periféricas.  
  
Artículo 9. La Oficina de Seguridad de la Información  
1. La Oficina de Seguridad de la Información prestará asistencia técnica, legal y administrativa al responsable de la seguridad de la información para el ejercicio de sus funciones. El director de esta oficina será el responsable de la seguridad de la información.  
2. La Oficina de Seguridad de la Información facilitará la coordinación entre los servicios de seguridad prestados por proveedores de dentro y fuera de la Conselleria de Sanidad, complementándolos en la medida de lo posible.  
  
Artículo 10. El Comité de Seguridad de la Información  
1. El Comité de Seguridad de la Información de la Conselleria de Sanidad será el máximo órgano consultivo de carácter no técnico sobre seguridad de la información.  
2. El Comité de Seguridad de la Información tendrá las siguientes funciones:  
a) Informar a los distintos responsables sobre la adecuación, viabilidad e impacto de las actuaciones en materia de seguridad de la información, pudiendo proponer nuevas iniciativas o la modificación de las existentes. En particular informará sobre los planes de actuación propuestos por el responsable de seguridad de la información.   
b) Elaborar el código tipo de la Conselleria de Sanidad, de acuerdo con el artículo 32 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y con el título VII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de dicha ley, documento que revisará al menos una vez al año.  
c) Facilitar el conocimiento y la aplicación de la normativa y de las medidas de seguridad en las distintas instancias de la Conselleria de Sanidad, buscando conseguir un clima positivo y de participación.  
3. La composición del Comité de Seguridad de la Información será la siguiente:  
a) El secretario autonómico director gerente de la Agencia Valenciana de Salud, o el director general o director de gestión sanitaria en quien delegue, que será su presidente.  
b) El responsable de la seguridad de la información de la Conselleria de Sanidad, que actuará de secretario.  
c) Un vocal nombrado por cada una de las direcciones generales de la Conselleria de Sanidad.  
d) Dos vocales elegidos directamente por el director gerente de la AVS, de los cuales al menos uno lo será en representación del órgano que ostente las competencias en tecnologías de la información y las comunicaciones.  
e) Tres vocales en representación de los departamentos de salud.  
f) Un vocal en representación de la Abogacía General de la Generalitat especializado en seguridad de la información y protección de datos personales.  
4. Cada órgano representado nombrará un vocal titular y un vocal suplente.   
5. El Comité de Seguridad de la Información se reunirá como mínimo una vez al año para conocer el informe sobre el estado de la seguridad y el plan de actuación propuestos por el responsable de seguridad, así como para valorar los posibles cambios al código tipo.  
  
Artículo 11. Los responsables de accesos a la información  
1. Los responsables de accesos serán los encargados de ejecutar la política de accesos que establezca el responsable de la información. De manera especial administrarán el acceso a la información de acuerdo con esas directrices y determinarán, con carácter general, el nivel de seguridad aplicable.   
2. El responsable de la información nombrará un responsable de accesos para cada activo de información, entendido como un conjunto de información con entidad diferenciada. Los ficheros inscritos en el Registro general de protección de datos tendrán la consideración de activos de primer nivel. Por debajo de ellos, ordenados de manera jerárquica, podrán distinguirse otros activos más específicos. Las condiciones de acceso a los activos de nivel superior serán aplicables a los activos de nivel inferior, salvo excepciones debidamente justificadas y documentadas.   
3. Los responsables de accesos podrán identificar los activos de nivel inferior y designar a sus responsables de accesos.   
4. Las principales funciones del responsable de accesos son:  
a) Clasificar la información según el esquema propuesto por el responsable de seguridad. El resultado de esta clasificación determinará el nivel de protección de la información y los controles de seguridad exigibles a todos los tratamientos de los que sea objeto.  
b) Establecer los criterios, condiciones y procedimientos para la obtención de las credenciales de acceso.   
i. Esos requisitos se especificarán, en la medida de lo posible, de modo que faciliten su aplicación a colectivos y circunstancias bien definidos y eviten tener que hacerlo de forma individualizada, entre otras razones para agilizar la obtención de esas credenciales en el desarrollo de la actividad ordinaria.   
ii. Los requisitos mencionados en el apartado anterior estarán a disposición de los posibles interesados en la Intranet de la Conselleria de Sanidad.  
c) Autorizar, con carácter general, las entradas y salidas de información fuera de los locales y sistemas de la Conselleria de Sanidad. Este apartado incluye el uso de dispositivos portátiles y de los servicios de tratamiento en la nube (cloud computing). En todo caso esos movimientos deberán hacerse cumpliendo las condiciones establecidas de acuerdo con el responsable de seguridad. Las cesiones de información deberán ser aprobadas previamente por el responsable de la información.   
d) Gestionar la concesión, revocación y caducidad de las credenciales de acceso a la información.  
e) Autorizar las entradas y salidas individuales de soportes de información, guardando un registro completo de tales movimientos.  
f) Informar periódicamente sobre los accesos registrados y alertar al responsable de seguridad inmediato de cualquier incidencia o problema.  
5. El responsable de acceso a la información podrá nombrar delegados en las ubicaciones oportunas para que le asistan en el desempeño de las funciones d, e y f del punto anterior.  
6. El papel de responsable de accesos podrá recaer en una comisión donde estén representados los principales interesados. En tales casos la comisión deberá adoptar y hacer público un compromiso de agilidad en la resolución de las peticiones que le sean dirigidas.   
7. El nombramiento de los responsables de acceso a la información se realizará formalmente y se hará constar en el documento de seguridad.  
  
Artículo 12. Los responsables funcionales de tratamiento  
1. Los tratamientos de información deberán contar con la aprobación del responsable de la información, quien nombrará un responsable funcional para cada tratamiento diferenciado.  
2. El responsable funcional tiene la misión de hacer que el tratamiento de la información consiga los objetivos declarados, ciñéndose a ellos y cumpliendo los niveles exigibles de calidad, seguridad y eficiencia. Sus principales funciones son:  
a) Conseguir los elementos técnicos, materiales, humanos y organizativos necesarios para realizar el tratamiento.  
b) Establecer las características individuales y las condiciones de participación en el tratamiento de los elementos mencionados en el punto anterior. Entre las anteriores cabe destacar las especificaciones funcionales de las aplicaciones informáticas, las necesidades de formación del personal y su cualificación mínima, y el tiempo máximo de indisponibilidad tolerable.  
c) Establecer los procedimientos mediante los que cooperarán los susodichos elementos para lograr los objetivos del tratamiento, tanto en condiciones normales como en situaciones excepcionales. Los procedimientos de resolución de incidencias y los planes de contingencia deberán formar parte de este lote.  
d) Controlar la calidad y la eficiencia del tratamiento dentro de un ciclo de mejora continua.  
e) Facilitar información sobre la actividad desarrollada y los resultados del tratamiento a los interlocutores que acrediten un interés legítimo, teniendo en cuenta en todo caso las condiciones impuestas por los responsables de acceso a la información.  
3. El responsable funcional deberá introducir y exigir los requisitos de seguridad aplicables en todas las fases del ciclo de vida del tratamiento, para lo que contará con la asistencia del personal especializado de la propia consellería.   
4. El responsable funcional deberá hacer efectivas las condiciones fijadas por los responsables de acceso a la información, atendiendo especialmente a la formación del personal que intervenga en el tratamiento.  
5. El responsable funcional registrará y mantendrá actualizada la información relativa al tratamiento en los documentos de seguridad correspondientes, respondiendo de su exactitud y vigencia.  
6. El responsable funcional encabezará, por lo general, un equipo de profesionales donde estarán representados los participantes y principales interesados en el tratamiento.  
7. Cuando en el tratamiento de la información intervengan las tecnologías de la información y las comunicaciones, el jefe del órgano que ostente esas competencias nombrará un responsable técnico del tratamiento, que será el interlocutor habitual del responsable funcional.  
8. Cuando un mismo tratamiento se lleve a cabo en distintos centros, en cada uno de ellos habrá un responsable operativo del tratamiento, designado por su correspondiente responsable de tratamientos de acuerdo con el responsable funcional. Los responsables operativos actuarán bajo la coordinación del responsable funcional en lo referente al tratamiento en cuestión.  
9. Cuando el alcance de un tratamiento no trascienda los límites de una organización periférica, su responsable de tratamientos, como representante del responsable de la información, podrá realizar la autorización y el nombramiento mencionados en el primer apartado de este artículo.  
10. El responsable funcional, el responsable operativo y el responsable técnico informarán diligentemente de las alertas, incidencias o problemas de seguridad que detecten mediante los procedimientos de comunicación establecidos al efecto.  
  
CAPÍTULO IV  
La organización periférica de la seguridad de la información  
  
Artículo 13. El responsable de tratamientos de la información  
1. El responsable de tratamientos de la información encabezará la organización periférica de la seguridad de la información en cada departamento de salud o instancia donde se establezca.  
2. El responsable de tratamientos de la información actuará dentro de su ámbito en representación del responsable de la información. En particular asumirá las siguientes funciones:  
a) Proporcionar la protección adecuada a los activos de información puestos a su cargo.  
b) Desarrollar y mantener la organización periférica de la seguridad de la información realizando los nombramientos oportunos.  
c) Proveer los recursos necesarios para proteger la información y facilitar el desarrollo de los planes de seguridad.  
d) Facilitar la coordinación de actuaciones con los agentes de la organización central y de las otras organizaciones periféricas. Esta coordinación es necesaria para reducir el impacto de las incidencias que afecten a la seguridad de la información.  
e) Autorizar los tratamientos de información que no trasciendan su ámbito de actuación y nombrar a los responsables funcionales correspondientes.  
3. Todos los nombramientos serán comunicados al responsable de la seguridad de la información y se harán constar en los documentos de seguridad pertinentes.  
  
Artículo 14. El responsable local de la seguridad de la información  
1. El responsable de tratamientos nombrará un responsable local de la seguridad de la información que se encargará de coordinar todas las actuaciones en esa materia dentro de su ámbito de actuación.  
2. Los responsables locales de la seguridad de la información actuarán en coordinación con el responsable de la seguridad de la información.  
3. Entre las funciones de los responsables locales de la seguridad de la información están:  
a) Dirigir, coordinar y supervisar la ejecución de los planes de seguridad y la aplicación de los controles oportunos.  
b) Participar con sus homólogos en otras organizaciones periféricas y con el responsable de la seguridad de la información en la elaboración de los planes de seguridad corporativos, en la gestión de los planes vigentes y en la valoración de sus resultados.  
c) Colaborar en el mantenimiento de los documentos de seguridad.  
d) Realizar un informe anual para el responsable de tratamientos y el responsable de la seguridad de la información sobre el cumplimiento de los planes previstos, la efectividad de los controles aplicados, los nuevos riesgos detectados, y posibles cambios y mejoras.  
e) Informar al responsable de tratamientos y al responsable de la seguridad de la información de los riesgos, incidencias o problemas de seguridad cuya relevancia así lo requiera, así como participar en la gestión o resolución de los mismos.  
  
Artículo 15. Los responsables locales de la seguridad de la información almacenada en ficheros automatizados y no automatizados  
1. El responsable de tratamientos podrá nombrar un responsable local de la seguridad de la información almacenada en ficheros automatizados y un responsable local de la seguridad de la información almacenada en ficheros no automatizados. Ambas figuras asesorarán al responsable local de seguridad y actuarán bajo su coordinación.  
2. Sus funciones coincidirán con las del responsable local de seguridad, en la medida en que éste las delegue, y estarán orientadas a sus respectivas áreas de actuación.  
  
Artículo 16. El comité local de seguridad de la información  
1. Los responsables de tratamientos podrán ordenar la creación de comités locales de seguridad de la información. Sus funciones, dentro de cada organización periférica, serán las mismas que las del Comité de Seguridad de la Información.  
2. Los componentes y el régimen de funcionamiento de estos comités quedan a la discreción de cada responsable de tratamientos. El papel del comité local de seguridad de la información puede ser asumido por otro órgano o comisión con capacidad suficiente.  
  
Artículo 17. Los responsables funcionales de tratamiento locales  
Los responsables de tratamientos podrán nombrar responsables funcionales para aquellos tratamientos de información específicos de sus organizaciones periféricas. A estos agentes les será de aplicación lo antedicho para los responsables funcionales de tratamiento, con la única diferencia de que su ámbito de actuación es más reducido.  
  
DISPOSICIÓN ADICIONAL  
  
Única. Incidencia económica  
La implantación y posterior desarrollo de esta orden no podrá tener incidencia alguna en la dotación de todos y cada uno de los capítulos de gasto asignados a la conselleria competente por razón de la materia, y en todo caso deberá ser atendido con los medios personales y materiales de dicha conselleria.   
  
DISPOSICIÓN DEROGATORIA  
  
Única. Derogación normativa  
Quedan derogadas cuantas disposiciones de igual o inferior rango se opongan a lo dispuesto en la presente orden.  
  
DISPOSICIONES FINALES  
  
Primera. Constitución de la Oficina de Seguridad de la Información  
Las funciones de la Oficina de Seguridad de la Información las asumirá con carácter general el órgano administrativo que ostente las competencias en tecnologías de la información y las comunicaciones. El responsable de seguridad requerirá la colaboración de otros órganos de la Conselleria de Sanidad en la medida en que fuera necesaria la participación de sus profesionales para cubrir la oferta de servicios de la oficina. A estos efectos dicho personal podrá adscribirse temporal o parcialmente a la Oficina de Seguridad.  
  
Segunda. Plazos de adecuación  
Las comisiones o aquellos que en el momento de la entrada en vigor de la presente orden vinieran desempeñando funciones propias de los agentes descritos en ella, podrán seguir ejerciendo sus funciones, con carácter provisional, en tanto no se realicen los nombramientos de dichos agentes. En tal caso deberán adaptar su funcionamiento, criterios y procedimientos a las decisiones de alcance corporativo que tomen los agentes con responsabilidades superiores que hubieran sido nombrados para ello.  
Se establece un plazo máximo de seis meses a partir de la entrada en vigor de esta orden para que se constituyan la Oficina y el Comité de Seguridad de la Información, y se realicen los nombramientos del resto de agentes.  
En tanto que esta disposición desarrolla las exigencias del Esquema Nacional de Seguridad, la fecha límite del 30 de enero de 2014 para la adecuación a dicha norma resulta aplicable también al cumplimiento de esta orden.   
  
Tercera. Cumplimiento  
El uso del equipamiento y servicios informáticos de la Conselleria de Sanidad, así como la conexión a los sistemas de información corporativos estarán supeditados al cumplimiento por parte de los responsables funcionales de lo establecido en la presente orden.  
En las auditorías que cubran la seguridad de la información o la protección de datos personales se evaluará el grado de cumplimiento y la efectividad de las medidas establecidas en la presente orden.  
La observancia de lo dispuesto en la presente orden podrá formar parte de los acuerdos de gestión que pacte la conselleria con las organizaciones periféricas.   
  
Cuarta. Instrumentos de colaboración  
El órgano de la Conselleria de Sanidad que ostente las competencias en tecnologías de la información y las comunicaciones proporcionará los recursos tecnológicos que faciliten la colaboración y el intercambio de conocimiento y experiencias entre quienes participen en el tratamiento de la información, especialmente entre los agentes mencionados en esta disposición.   
  
Quinta. Entrada en vigor  
La presente orden entrará en vigor el día siguiente al de su publicación en el Diari Oficial de la Comunitat Valenciana.  
  
Valencia, 10 de julio de 2012  
  
El conseller de Sanidad,  
LUIS ROSADO BRETÓN



Descargar el documento en formato PDF

Descargar los metadatos en formato XML

Copia Permalink ELI