Source: https://megashop.es/backup-remoto/legislacion/index.html
Timestamp: 2019-05-19 17:26:12+00:00

Document:
Copia de Ficheros Abiertos
La LOPD y el Backup
El artículo 94 del Real Decreto 1720/2007 que desarrolla la LOPD establece la obligatoriedad de las copias de seguridad cifradas en todas las organizaciones.
Requisitos de Copias de Seguridad de Ficheros que contengan Datos personales
Los requisitos de copias de seguridad que exige la normativa sobre Protección de Datos se encuentran contenidos en los siguientes artículos del Reglamento RLOPD [936 KB] :
Artículo 8. - Documento de Seguridad
1.- El responsable del fichero elaborará e implantará la normativa de seguridad mediante un documento de obligado cumplimiento para el personal con acceso a los datos automatizados de carácter personal y a los sistemas de información.
2.- El documento deberá contener, como mínimo, los siguientes aspectos:
a.) Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
b.) Medidas, normas, procedimientos, reglas y estándares encam inados a garantizar el nivel de seguridad exigido en este Reglamento.
c.) Funciones y obligaciones del personal.
d.) Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
e.) Procedimiento de notificación, gestión y respuesta ante las incidencias.
f.) Los procedimientos de realización de copias de respaldo y de recuperación de los datos.
3.- El documento deberá mantenerse en todo momento actualizado y deberá ser revisado siempre que se produzcan cambios relevantes en el sistema de información o en la organización del mismo.
Artículo 14. - Copias de respaldo y recuperación
2. Los procedimientos establecidos para la realización de copias de respaldo y para la recuperación de los datos deberán garantizar su reconstrucción en el estado en el que se encontraban al tiempo de producirse la pérdida o destrucción.
Artículo 24. - Registro de Accesos
Artículo 25. - Copias de Respaldo y Recuperación
Artículo 92.3 - Gestión de Backups
1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo
deberán ser accesibles por el personal autorizado para ello en el documento de seguridad.
Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento
2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales
bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de
Artículo 94. - Copias de Respaldo y Recuperación
Si está previsto realizar pruebas con datos reales, previamente deberá haberse realizado una copia de seguridad.
Artículo 101. - Gestión y Distribución de Soportes
1. La identificación de los soportes se deberá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a
los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.
Artículo 102.- Copias de Respaldo y Recuperación
Artículo 104. - Telecomunicaciones
En la práctica, lo que el reglamento exige es una clara política de copias de seguridad, que imposibilite un accidente en relación a la posible desaparición de ficheros que contengan datos personales.
Para el nivel BASICO, se establece que "deberán realizarse copias de respaldo al menos semanalmente" de los datos, salvo que "no se haya producido ninguna modificación" de los mismos. Esto implica que no basta con tener los datos en soportes magnéticos, como el disco duro del ordenador, sino que hace necesario el establecimiento de soluciones hardware o software que hagan que dichos datos se encuentren en otro lugar distinto al de la ubicación principal de los mismos, es decir, que exista, simplemente, otra copia de los datos que no solo sea, por ejemplo, el ordenador de la oficina.
Para los niveles MEDIO/ALTO, se establece un periodo mínimo de conservación de los registros de acceso a datos de dos años, además de la obligación para el Responsable de Seguridad de la revisión de dichos accesos al menos una vez al mes y que las copias de seguridad de los datos han de almacenarse cifradas en un lugar geográfico distinto al de la ubicación principal de los datos. Para la correcta conservación de los registros de accesos, se requerirá, igualmente, unas adecuadas medidas de copias de seguridad donde éstas se puedan conservar. En el documento de seguridad correspondiente se deberán describir los procedimientos de copias de seguridad que se establezcan.

References: artículo 94
 Real Decreto 

Artículo 8

Artículo 14

Artículo 24

Artículo 25

Artículo 92

Artículo 94

Artículo 101

Artículo 102

Artículo 104