Source: http://noticias.juridicas.com/base_datos/Admin/rd994-1999.html
Timestamp: 2019-10-20 11:41:59+00:00

Document:
Publicado en BOE núm. 151 de 25 de Junio de 1999
Vigencia desde 26 de Junio de 1999. Revisión vigente desde 26 de Junio de 1999
Artículo 1 Ambito de aplicación y fines
Artículo 3 Niveles de seguridad
Artículo 4 Aplicación de los niveles de seguridad
Artículo 5 Acceso a datos a través de redes de comunicaciones
Artículo 6 Régimen de trabajo fuera de los locales de la ubicación del fichero
Artículo 7 Ficheros temporales
CAPITULO II. Medidas de seguridad de nivel básico
Artículo 8 Documento de seguridad
Artículo 9 Funciones y obligaciones del personal
Artículo 10 Registro de incidencias
Artículo 11 Identificación y autenticación
Artículo 12 Control de acceso
Artículo 13 Gestión de soportes
Artículo 14 Copias de respaldo y recuperación
CAPITULO III. Medidas de seguridad de nivel medio
Artículo 15 Documento de seguridad
Artículo 16 Responsable de seguridad
Artículo 17 Auditoría
Artículo 18 Identificación y autenticación
Artículo 19 Control de acceso físico
Artículo 20 Gestión de soportes
Artículo 21 Registro de incidencias
Artículo 22 Pruebas con datos reales
CAPITULO IV. Medidas de seguridad de nivel alto
Artículo 23 Distribución de soportes
Artículo 24 Registro de accesos
Artículo 25 Copias de respaldo y recuperación
Artículo 26 Telecomunicaciones
Artículo 28 Responsables
CAPITULO VI. Competencias del Director de la Agencia de Protección de Datos
Artículo 29 Competencias del Director de la Agencia de Protección de Datos
Disposición transitoria única Plazos de implantación de las medidas
RD 195/2000 de 11 Feb. (plazo para implantar las medidas de seguridad de los ficheros automatizados previstas por el Regl. aprobado por el RD 994/1999)
R.D. 994/1999, 11 junio, derogado por la disposición derogatoria única del R.D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la L.O. 15/1999, de 13 de diciembre, de protección de datos de carácter personal («B.O.E.» 19 enero 2008), el 19 de abril de 2008. Téngase en cuenta que el artículo 79 de la Ley 62/2003, 30 diciembre, de medidas fiscales, administrativas y del orden social («B.O.E.» 31 diciembre), establece que la Agencia de Protección de Datos pasa a denominarse Agencia Española de Protección de Datos y, por lo tanto, todas las referencias a la Agencia de Protección de Datos realizadas en la presente norma y en cualesquiera otras que se encuentren en vigor deberán entenderse realizadas a la Agencia Española de Protección de Datos. Téngase en cuenta que la Disposición Transitoria 3.ª de la L.O. 15/1999, 13 diciembre, de Protección de Datos de Carácter Personal establece lo siguiente: «Hasta tanto se lleven a efectos las previsiones de la disposición final primera de esta Ley, continuarán en vigor, con su propio rango, las normas reglamentarias existentes y, en especial, los Reales Decretos 428/1993, de 26 de marzo; 1332/1994, de 20 de junio, y 994/1999, de 11 de junio, en cuanto no se opongan a la presente Ley».
La Ley Orgánica 5/1992, de 29 de octubre, de Regulación del Tratamiento Automatizado de Datos de carácter personal, prevé en su artículo 9, la obligación del responsable del fichero de adoptar las medidas de índole técnica y organizativas que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que estén expuestos, ya provengan de la acción humana o del medio físico o natural, estableciéndose en el artículo 43.3.h) que mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen constituye infracción grave en los términos previstos en la propia Ley.
Sin embargo, la falta de desarrollo reglamentario ha impedido disponer de un marco de referencia para que los responsables promovieran las adecuadas medidas de seguridad y, en consecuencia, ha determinado la imposibilidad de hacer cumplir uno de los más importantes principios de la Ley Orgánica.
El presente Reglamento tiene por objeto el desarrollo de lo dispuesto en los artículos 9 y 43.3.h) de la Ley Orgánica 5/1992 . El Reglamento determina las medidas de índole técnica y organizativa que garanticen la confidencialidad e integridad de la información con la finalidad de preservar el honor, la intimidad personal y familiar y el pleno ejercicio de los derechos personales frente a su alteración, pérdida, tratamiento o acceso no autorizado.
2. Los ficheros que contengan datos relativos a la comisión de infracciones administrativas o penales, Hacienda Pública, servicios financieros y aquellos ficheros cuyo funcionamiento se rija por el artículo 28 de la Ley Orgánica 5/1992 , deberán reunir, además de las medidas de nivel básico, las calificadas como de nivel medio.
a) Ambito de aplicación del documento con especificación detallada de los recursos protegidos.
1. El incumplimiento de las medidas de seguridad descritas en el presente Reglamento será sancionado de acuerdo con lo establecido en los artículos 43 y 44 de la Ley Orgánica 5/1992 , cuando se trate de ficheros de titularidad privada.
2. Cuando se trate de ficheros de los que sean responsables las Administraciones públicas se estará, en cuanto al procedimiento y a las sanciones, a lo dispuesto en el artículo 45 de la Ley Orgánica 5/1992 .
Los responsables de los ficheros, sujetos al régimen sancionador de la Ley Orgánica 5/1992 , deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal en los términos establecidos en el presente Reglamento.
El Director de la Agencia de Protección de Datos podrá, de conformidad con lo establecido en el artículo 36 de la Ley Orgánica 5/1992 :
1. Dictar, en su caso y sin perjuicio de las competencias de otros órganos, las instrucciones precisas para adecuar los tratamientos automatizados a los principios de la Ley Orgánica 5/1992 .
Véase Res. 22 junio 2001, de la Subsecretaría, por la que se dispone la publicación del Acuerdo de Consejo de Ministros por el que se concreta el plazo para la implantación de medidas de seguridad de nivel alto en determinados sistemas de información («B.O.E.» 25 junio).

References: Artículo 1

Artículo 3

Artículo 4

Artículo 5

Artículo 6

Artículo 7

Artículo 8

Artículo 9

Artículo 10

Artículo 11

Artículo 12

Artículo 13

Artículo 14

Artículo 15

Artículo 16

Artículo 17

Artículo 18

Artículo 19

Artículo 20

Artículo 21

Artículo 22

Artículo 23

Artículo 24

Artículo 25

Artículo 26

Artículo 28

Artículo 29
 artículo 79
 artículo 9
 artículo 43
 artículo 28
 artículo 45
 artículo 36