Source: http://hipocrates.com/rd_99499.htm
Timestamp: 2017-07-21 10:26:54+00:00

Document:
http://coton/derecho/rd/rd_99499.htm
REAL DECRETO 994/1999, DE 11 DE JUNIO, POR EL QUE SE APRUEBA EL REGLAMENTO DE MEDIDAS DE SEGURIDAD DE LOS FICHEROS AUTOMATIZADOS QUE CONTENGAN DATOS DE CARÁCTER PERSONAL El artículo 18.4 de la Constitución Española establece que "la
ley limitará el uso de la informática para garantizar el honor y la intimidad personal y
familiar de los ciudadanos y el pleno ejercicio de sus derechos". La Ley Orgánica 5/1992, de 29 de octubre, de Regulación del
Tratamiento Automatizado de Datos de carácter personal, prevé en su artículo 9, la
obligación del responsable del fichero de adoptar las medidas de índole técnica y
organizativas que garanticen la seguridad de los datos de carácter personal y eviten su
tecnología, la naturaleza de los datos almacenados y los riesgos a que estén expuestos,
ya provengan de la acción humana o del medio físico o natural, estableciéndose en el
artículo 43.3.h) que mantener los ficheros, locales, programas o equipos que contengan
datos de carácter personal sin las debidas condiciones de seguridad que por vía
reglamentaria se determinen constituye infracción grave en los términos previstos en la
propia Ley. Sin embargo, la falta de desarrollo reglamentario ha impedido disponer
de un marco de referencia para que los responsables promovieran las adecuadas medidas de
seguridad y, en consecuencia, ha determinado la imposibilidad de hacer cumplir uno de los
más importantes principios de la Ley Orgánica. El presente Reglamento tiene por objeto el desarrollo de lo dispuesto
en los artículos 9 y 43.3.h) de la Ley Orgánica 5/1992. El Reglamento determina las
medidas de índole técnica y organizativa que garanticen la confidencialidad e integridad
de la información con la finalidad de preservar el honor, la intimidad personal y
familiar y el pleno ejercicio de los derechos personales frente a su alteración,
pérdida, tratamiento o acceso no autorizado. Las medidas de seguridad que se establecen se configuran como las
básicas de seguridad que han de cumplir todos los ficheros que contengan datos de
carácter personal, sin perjuicio de establecer medidas especiales para aquellos ficheros
que por la especial naturaleza de los datos que contienen o por las propias
características de los mismos exigen un grado de protección mayor. En su virtud, a propuesta de la Ministra de Justicia, de acuerdo con el
Consejo de Estado, y previa deliberación del Consejo de Ministros en su reunión del día
11 de junio de 1999, DISPONGO: Artículo único. Aprobación del Reglamento.- Se aprueba el Reglamento de medidas
de seguridad de los ficheros automatizados que contengan datos de carácter personal, cuyo
texto se inserta a continuación. Disposición final única. Entrada en vigor.- El presente Real Decreto entrará en
Estado". REGLAMENTO DE MEDIDAS DE SEGURIDAD DE LOS FICHEROS
AUTOMATIZADOS QUE CONTENGAN DATOS DE CARÁCTER PERSONAL CAPÍTULO PRIMERO Disposiciones generales Artículo 1. Ámbito de aplicación y fines.
El presente Reglamento tiene por objeto establecer las medidas de índole técnica y
organizativas necesarias para garantizar la seguridad que deben reunir los ficheros
automatizados, los centros de tratamiento, locales, equipos, sistemas, programas y las
personas que intervengan en el tratamiento automatizado de los datos de carácter personal
sujetos al régimen de la Ley Orgánica 5/1992, de 29 de octubre, de Regulación del
Tratamiento Automatizado de los Datos de Carácter Personal. Artículo 2. Definiciones.
A efectos de este Reglamento, se entenderá por: 1. Sistemas de información: conjunto de ficheros automatizados, programas, soportes y
equipos empleados para el almacenamiento y tratamiento de datos de carácter personal. 2. Usuario: sujeto o proceso autorizado para acceder a datos o recursos. 3. Recurso: cualquier parte componente de un sistema de información. 4. Accesos autorizados: autorizaciones concedidas a un usuario para la utilización de los
diversos recursos. 5. Identificación: procedimiento de reconocimiento de la identidad de un usuario. 6. Autenticación: procedimiento de comprobación de la identidad de un usuario. 7. Control de acceso: mecanismo que en función de la identificación ya autenticada
permite acceder a datos o recursos. 8. Contraseña: información confidencial, frecuentemente constituida por una cadena de
caracteres, que puede ser usada en la autenticación de un usuario. 9. Incidencia: cualquier anomalía que afecte o pudiera afectar a la seguridad de los
datos. 10. Soporte: objeto físico susceptible de ser tratado en un sistema de información y
sobre el cual se pueden grabar o recuperar datos. 11. Responsable de seguridad: persona o personas a las que el responsable del fichero ha
asignado formalmente la función de coordinar y controlar las medidas de seguridad
aplicables. 12. Copia del respaldo: copia de los datos de un fichero automatizado en un soporte que
posibilite su recuperación.
1. Las medidas de seguridad exigibles se clasifican en tres niveles: básico, medio y
alto. 2. Dichos niveles se establecen atendiendo a la naturaleza de la información tratada, en
relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad
de la información. Artículo 4. Aplicación de los niveles de seguridad.
1. Todos los ficheros que contengan datos de carácter personal deberán adoptar las
medidas de seguridad calificadas como de nivel básico. 2. Los ficheros que contengan datos relativos a la comisión de infracciones
administrativas o penales, Hacienda Pública, servicios financieros y aquellos ficheros
cuyo funcionamiento se rija por el artículo 28 de la Ley Orgánica 5/1992, deberán
reunir, además de las medidas de nivel básico, las calificadas como de nivel medio. 3. Los ficheros que contengan datos de ideología, religión, creencias, origen racial,
salud o vida sexual así como los que contengan datos recabados para fines policiales sin
consentimiento de las personas afectadas deberán reunir, además de las medidas de nivel
básico y medio, las calificadas de nivel alto. 4. Cuando los ficheros contengan un conjunto de datos de carácter personal suficientes
que permitan obtener una evaluación de la personalidad del individuo deberán garantizar
las medidas de nivel medio establecidas en los artículos 17, 18, 19 y 20. 5. Cada uno de los niveles descritos anteriormente tienen la condición de mínimos
exigibles, sin perjuicio de las disposiciones legales o reglamentarias específicas
vigentes. Artículo 5. Acceso a datos a través de redes de
Las medidas de seguridad exigibles a los accesos a datos de carácter personal a través
de redes de comunicaciones deberán garantizar un nivel de seguridad equivalente al
correspondiente a los accesos en modo local. Artículo 6. Régimen de trabajo fuera de los locales de la
La ejecución de tratamiento de datos de carácter personal fuera de los locales de la
ubicación del fichero deberá ser autorizada expresamente por el responsable del fichero
y, en todo caso, deberá garantizarse el nivel de seguridad correspondiente al tipo de
fichero tratado. Artículo 7. Ficheros temporales.
1. Los ficheros temporales deberán cumplir el nivel de seguridad que les corresponda con
arreglo a los criterios establecidos en el presente Reglamento. 2. Todo fichero temporal será borrado una vez que haya dejado de ser necesario para los
fines que motivaron su creación. CAPÍTULO II Medidas de seguridad de nivel básico Artículo 8. Documento de seguridad.
1. El responsable del fichero elaborará e implantará la normativa de seguridad mediante
un documento de obligado cumplimiento para el personal con acceso a los datos
automatizados de carácter personal y a los sistemas de información. 2. El documento deberá contener, como mínimo, los siguientes aspectos: a) Ámbito de aplicación del documento con especificación detallada de los recursos
protegidos. b) Medidas, normas, procedimientos, reglas y estándares encaminados a garantizar el nivel
de seguridad exigido en este Reglamento. c) Funciones y obligaciones del personal. d) Estructura de los ficheros con datos de carácter personal y descripción de los
sistemas de información que los tratan. e) Procedimiento de notificación, gestión y respuesta ante las incidencias. f) Los procedimientos de realización de copias de respaldo y de recuperación de los
datos. 3. El documento deberá mantenerse en todo momento actualizado y deberá ser revisado
siempre que se produzcan cambios relevantes en el sistema de información o en la
organización del mismo. 4. El contenido del documento deberá adecuarse, en todo momento, a las disposiciones
vigentes en materia de seguridad de los datos de carácter personal. Artículo 9. Funciones y obligaciones del personal.
1. Las funciones y obligaciones de cada una de las personas con acceso a los datos de
carácter personal y a los sistemas de información estarán claramente definidas y
documentadas, de acuerdo con lo previsto en el artículo 8.2.c). 2. El responsable del fichero adoptará las medidas necesarias para que el personal
conozca las normas de seguridad que afecten al desarrollo de sus funciones así como las
consecuencias en que pudiera incurrir en caso de incumplimiento. Artículo 10. Registro de incidencias.
El procedimiento de notificación y gestión de incidencias contendrá necesariamente un
registro en el que se haga constar el tipo de incidencia, el momento en que se ha
producido, la persona que realiza la notificación, a quién se le comunica y los efectos
que se hubieran derivado de la misma. Artículo 11. Identificación y autenticación.
1. El responsable del fichero se encargará de que exista una relación actualizada de
usuarios que tengan acceso autorizado al sistema de información y de establecer
procedimientos de identificación y autenticación para dicho acceso. 2. Cuando el mecanismo de autenticación se base en la existencia de contraseñas
existirá un procedimiento de asignación, distribución y almacenamiento que garantice su
confidencialidad e integridad. 3. Las contraseñas se cambiarán con la periodicidad que se determine en el documento de
seguridad y mientras estén vigentes se almacenarán de forma ininteligible. Artículo 12. Control de acceso.
1. Los usuarios tendrán acceso autorizado únicamente a aquellos datos y recursos que
precisen para el desarrollo de sus funciones. 2. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda
acceder a datos o recursos con derechos distintos de los autorizados. 3. La relación de usuarios a la que se refiere el artículo 11.1 de este Reglamento
contendrá el acceso autorizado para cada uno de ellos. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá
conceder, alterar o anular el acceso autorizado sobre los datos y recursos, conforme a los
criterios establecidos por el responsable del fichero. Artículo 13. Gestión de soportes.
1. Los soportes informáticos que contengan datos de carácter personal deberán permitir
identificar el tipo de información que contienen, ser inventariados y almacenarse en un
lugar con acceso restringido al personal autorizado para ello en el documento de
seguridad. 2. La salida de soportes informáticos que contengan datos de carácter personal, fuera de
los locales en los que esté ubicado el fichero, únicamente podrá ser autorizada por el
responsable del fichero. Artículo 14. Copias de respaldo y recuperación.
1. El responsable de fichero se encargará de verificar la definición y correcta
aplicación de los procedimientos de realización de copias de respaldo y de recuperación
de los datos. 2. Los procedimientos establecidos para la realización de copias de respaldo y para la
recuperación de los datos deberá garantizar su reconstrucción en el estado en que se
encontraban al tiempo de producirse la pérdida o destrucción. 3. Deberán realizarse copias de respaldo, al menos semanalmente, salvo que en dicho
período no se hubiera producido ninguna actualización de los datos. CAPÍTULO III Medidas de seguridad de nivel medio Artículo 15. Documento de seguridad.
El documento de seguridad deberá contener, además de lo dispuesto en el artículo 8 del
presente Reglamento, la identificación del responsable o responsables de seguridad, los
controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto
en el propio documento y las medidas que sea necesario adoptar cuando un soporte vaya a
ser desechado o reutilizado. Artículo 16. Responsable de seguridad.
El responsable del fichero designará uno o varios responsables de seguridad encargados de
coordinar y controlar las medidas definidas en el documento de seguridad. En ningún caso
esta designación supone una delegación de la responsabilidad que corresponde al
responsable del fichero de acuerdo con este Reglamento. Artículo 17. Auditoría.
1. Los sistemas de información e instalaciones de tratamiento de datos se someterán a
una auditoría interna o externa, que verifique el cumplimiento del presente Reglamento,
de los procedimientos e instrucciones vigentes en materia de seguridad de datos, al menos,
cada dos años. 2. El informe de auditoría deberá dictaminar sobre la adecuación de las medidas y
controles al presente Reglamento, identificar sus deficiencias y proponer las medidas
correctoras o complementarias necesarias. Deberá, igualmente, incluir los datos, hechos y
observaciones en que se basen los dictámenes alcanzados y recomendaciones propuestas. 3. Los informes de auditoría serán analizados por el responsable de seguridad
competente, que elevará las conclusiones al responsable del fichero para que adopte las
medidas correctoras adecuadas y quedarán a disposición de la Agencia de Protección de
Datos. Artículo 18. Identificación y autenticación.
1. El responsable del fichero establecerá un mecanismo que permita la identificación de
forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de
información y la verificación de que está autorizado. 2. Se limitará la posibilidad de intentar reiteradamente el acceso no autorizado al
sistema de información. Artículo 19. Control de acceso físico.
Exclusivamente el personal autorizado en el documento de seguridad podrá tener acceso a
los locales donde se encuentren ubicados los sistemas de información con datos de
carácter personal. Artículo 20. Gestión de soportes.
1. Deberá establecerse un sistema de registro de entrada de soportes informáticos que
permita, directa o indirectamente, conocer el tipo de soporte, la fecha y hora, el emisor,
el número de soportes, el tipo de información que contienen, la forma de envío y la
persona responsable de la recepción que deberá estar debidamente autorizada. 2. Igualmente, se dispondrá de un sistema de registro de salida de soportes informáticos
que permita, directa o indirectamente, conocer el tipo de soporte, la fecha y hora, el
destinatario, el número de soportes, el tipo de información que contienen, la forma de
envío y la persona responsable de la entrega que deberá estar debidamente autorizada. 3. Cuando un soporte vaya a ser desechado o reutilizado, se adoptarán las medidas
necesarias para impedir cualquier recuperación posterior de la información almacenada en
él, previamente a que se proceda a su baja en el inventario. 4. Cuando los soportes vayan a salir fuera de los locales en que se encuentren ubicados
los ficheros como consecuencia de operaciones de mantenimiento, se adoptarán las medidas
necesarias para impedir cualquier recuperación indebida de la información almacenada en
ellos. Artículo 21. Registro de incidencias.
1. En el registro regulado en el artículo 10 deberán consignarse, además, los
procedimientos realizados de recuperación de los datos, indicando la persona que ejecutó
el proceso, los datos restaurados y, en su caso, qué datos ha sido necesario grabar
manualmente en el proceso de recuperación. 2. Será necesaria la autorización por escrito del responsable del fichero para la
ejecución de los procedimientos de recuperación de los datos.
Las pruebas anteriores a la implantación o modificación de los sistemas de información
que traten ficheros con datos de carácter personal no se realizarán con datos reales,
salvo que se asegure el nivel de seguridad correspondiente al tipo de fichero tratado. CAPÍTULO IV Medidas de seguridad de nivel alto Artículo 23. Distribución de soportes.
La distribución de los soportes que contengan datos de carácter personal se realizará
cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que dicha
información no sea inteligible ni manipulada durante su transporte. Artículo 24. Registro de accesos.
1. De cada acceso se guardarán, como mínimo, la identificación del usuario, la fecha y
hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o
denegado. 2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información
que permita identificar el registro accedido. 3. Los mecanismos que permiten el registro de los datos detallados en los párrafos
anteriores estarán bajo el control directo del responsable de seguridad competente sin
que se deba permitir, en ningún caso, la desactivación de los mismos. 4. El período mínimo de conservación de los datos registrados será de dos años. 5. El responsable de seguridad competente se encargará de revisar periódicamente la
información de control registrada y elaborará un informe de las revisiones realizadas y
los problemas detectados al menos una vez al mes. Artículo 25. Copias de respaldo y recuperación.
Deberá conservarse una copia de respaldo y de los procedimientos de recuperación de los
datos en un lugar diferente de aquél en que se encuentren los equipos informáticos que
los tratan cumpliendo en todo caso, las medidas de seguridad exigidas en este Reglamento. Artículo 26. Telecomunicaciones.
La transmisión de datos de carácter personal a través de redes de telecomunicaciones se
realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice
que la información no sea inteligible ni manipulada por terceros. CAPÍTULO V Infracciones y sanciones Artículo 27. Infracciones y sanciones.
1. El incumplimiento de las medidas de seguridad descritas en el presente Reglamento será
sancionado de acuerdo con lo establecido en los artículos 43 y 44 de la Ley Orgánica
5/1992, cuando se trate de ficheros de titularidad privada. El procedimiento a seguir para
la imposición de la sanción a la que se refiere el párrafo anterior será el
establecido en el Real Decreto 1332/1994, de 20 de junio, por el que se desarrollan
determinados aspectos de la Ley Orgánica 5/1992, de 29 de octubre, de Regulación del
Tratamiento Automatizado de los Datos de Carácter Personal. 2. Cuando se trate de ficheros de los que sean responsables las Administraciones públicas
se estará, en cuanto al procedimiento y a las sanciones, a lo dispuesto en el artículo
45 de la Ley Orgánica 5/1992. Artículo 28. Responsables.
Los responsables de los ficheros, sujetos al régimen sancionador de la Ley Orgánica
5/1992, deberán adoptar las medidas de índole técnica y organizativas necesarias que
garanticen la seguridad de los datos de carácter personal en los términos establecidos
en el presente Reglamento. CAPÍTULO VI Competencias del Director de la Agencia de Protección de Datos Artículo 29. Competencias del Director de la Agencia de Protección
El Director de la Agencia de Protección de Datos podrá, de conformidad con lo
establecido en el artículo 36 de la Ley Orgánica 5/1992: 1. Dictar, en su caso y sin perjuicio de las competencias de otros órganos, las
instrucciones precisas para adecuar los tratamientos automatizados a los principios de la
Ley Orgánica 5/1992. 2. Ordenar la cesación de los tratamientos de datos de carácter personal y la
cancelación de los ficheros cuando no se cumplan las medidas de seguridad previstas en el
presente Reglamento. Disposición Transitoria única. Plazos de implantación de las
En el caso de sistemas de información que se encuentren en funcionamiento a la entrada en
vigor del presente Reglamento, las medidas de seguridad de nivel básico previstas en el
presente Reglamento deberán implantarse en el plazo de seis meses desde su entrada en
vigor, las de nivel medio en el plazo de un año y las de nivel alto en el plazo de dos
años. Cuando los sistemas de información que se encuentren en funcionamiento no permitan
tecnológicamente la implantación de alguna de las medidas de seguridad previstas en el
presente Reglamento, la adecuación de dichos sistemas y la implantación de las medidas
de seguridad deberán realizarse en el plazo máximo de tres años a contar desde la
entrada en vigor del presente Reglamento.

References: REAL DECRETO 
 artículo 18
 artículo 9

artículo 43
 Real Decreto 
 Artículo 1
 Artículo 2
 Artículo 4
 artículo 28
 Artículo 5
 Artículo 6
 Artículo 7
 Artículo 8
 Artículo 9
 artículo 8
 Artículo 10
 Artículo 11
 Artículo 12
 artículo 11
 Artículo 13
 Artículo 14
 Artículo 15
 artículo 8
 Artículo 16
 Artículo 17
 Artículo 18
 Artículo 19
 Artículo 20
 Artículo 21
 artículo 10
 Artículo 23
 Artículo 24
 Artículo 25
 Artículo 26
 Artículo 27
 Real Decreto 
 artículo
45
 Artículo 28
 Artículo 29
 artículo 36