Source: http://docplayer.es/4322290-Medidas-de-nivel-medio.html
Timestamp: 2019-07-21 05:03:09+00:00

Document:
Medidas de Nivel Medio - PDF
Download "Medidas de Nivel Medio"
Benito Juárez Villanueva
1 Capítulo 6 Medidas de Nivel Medio Medidas de seguridad especiales Para los sistemas de información que traten, almacenen o transmitan datos de carácter personal clasificados dentro de los datos de nivel medio 38, deberán adoptarse consecuentemente medidas de seguridad de nivel medio, además de las medidas de nivel básico. Las medidas de seguridad de nivel medio afectan a los siguientes procedimientos o elementos: 1) Responsable de seguridad. 2) Controles periódicos. 3) Auditoría. 4) Identificación y autenticación. 5) Control de acceso físico. 6) Gestión de soportes. 7) Registro de incidencias. 8) Pruebas con datos reales. El Real Decreto 994/1999 ha considerado la necesidad de establecer medidas de seguridad más elevadas para determinados datos de carácter personal. Dichos datos, incluidos dentro del nivel medio deberán tener mejores medidas de seguridad en virtud de la información que facilitan de los afectados. Una empresa que trate datos de carácter personal de nivel básico y de nivel medio, cuantos Documentos de Seguridad deberá preparar? 38 Los datos de carácter personal de nivel medio son los siguientes: Datos relativos a la comisión de infracciones administrativas o penales, dados de Hacienda Pública, Datos de servicios financieros, Datos de solvencia patrimonial y crédito y Datos que permitan obtener una evaluación de la personalidad. 41
2 Las medidas de seguridad de nivel básico y las de nivel medio, pueden estar en el mismo Documento de Seguridad, no siendo necesario que se prepare un Documento de Seguridad para las medidas de nivel básico y otro para las medidas de seguridad de nivel medio. Las formas para incluir tanto las medidas de seguridad de nivel básico como las de nivel medio dentro del Documento de Seguridad, pueden ser dos 39 : 1) En secciones separadas: Dentro de un mismo Documento de Seguridad pueden establecerse dos secciones o apartados. En un primer lugar, en la primera sección se pueden detallar las medidas de seguridad para los sistemas que requieran medidas de seguridad de nivel alto y en un segundo apartado, las medidas de seguridad de nivel medio. 2) Por tipos de medidas: Las medidas de seguridad de nivel medio, en alguno de los casos afectan a los mismos elementos sobre los que las medidas de seguridad de nivel básico ya han regulado. En este sentido, otra de las opciones para incluir las medidas de seguridad de nivel básico dentro del Documento de Seguridad será estableciendo dentro de cada elemento detallado por las medidas de seguridad de nivel básico, las medidas específicas del nivel medio. Opción 1ª - Secciones separadas. Tendremos un Documento de Seguridad en el que primero detallaremos todas las medidas de seguridad que han de cumplir los sistemas de información que traten datos personales de nivel básico y después en una segunda sección o apartado se detallarán las medidas de seguridad de nivel medio. Opción 2º - Por tipos de medidas. Uno de los apartados del Documento de Seguridad de nivel básico es el de Gestión de Soportes. Las medidas de seguridad de nivel medio, establecen más medidas de seguridad para la Gestión de Soportes, que incluyan datos personales de nivel medio, por lo que si se opta por agrupar las medidas por tipos de medidas similares, en el apartado del Documento de Seguridad que regule la Gestión de Soportes, se pondrá primero las medidas de seguridad de nivel básico y a continuación, se detallarán las medidas de seguridad de nivel medio sobre la Gestión de Soportes. Cada empresa, profesional o administración, puede hacerlo como considere que le sea más útil o práctico, en el Real Decreto 994/1999 no se establece un sistema para configurar el Documento de Seguridad. En todo caso, siempre será necesario especificar claramente los recursos a los que se les aplicarán unas medidas de seguridad u otras. Las medidas de seguridad de nivel medio, implicarán una mayor carga de procedimientos de seguridad para el caso que una empresa, profesional o administración tengan ficheros con datos de carácter personal de nivel medio. Por esta razón, es muy importante que únicamente traten, guarden o transmitan datos de carácter personal de nivel medio aquellos sistemas que realmente lo requieran ya que en caso contrario, se pueden estar implantando medidas de 39 Dicha explicación también ha de entenderse realizada para el caso que sean de aplicación medidas de seguridad de nivel alto. 42
3 seguridad de nivel medio en sistemas de información que realmente no lo requieren pero al tener datos de nivel medio han de cumplirse dichas obligaciones. Responsable de Seguridad Las empresas, profesionales o administraciones que tengan ficheros con datos de carácter personal de nivel medio, deberán nombrar a una persona para el cargo de responsable de seguridad 40. El responsable de seguridad tendrá la obligación de coordinar y controlar que se aplican las medidas de seguridad. Los titulares de los ficheros que contengan datos de carácter personal de nivel medio, deberán establecer en el Documento de Seguridad el nombre del responsable o los responsables de seguridad, que hayan sido nombrados al efecto. Ver modelo en el Anexo VII. Quién ha de asumir el cargo de responsable de seguridad? El Real Decreto 994/1999 establece que el responsable de seguridad podrá ser una o más personas. En todo caso, no establece si dichas personas han de ser empleados de la propia empresa o pueden ser terceras personas. El responsable de seguridad podrá ser una persona ajena a la empresa que tenga asignadas dichas funciones. En todo caso, si el responsable de seguridad es una persona ajena a la empresa, será necesario que se firme con la misma un contrato de tratamiento de datos por cuenta de terceros 41, ya que en el transcurso de su trabajo puede tener acceso a datos personales propiedad de la empresa a la cual presta sus servicios. Ha de entenderse que en algunas empresas ya sea por sus reducidas dimensiones y pocos empleados o por su complejidad, requieran para dicho cargo los servicios de un profesional externo con conocimiento y experiencia que asuma dichas obligaciones. Así mismo, podemos encontrarnos el caso de un grupo de empresas X en las que exista una de las sus empresas, la empresa Y, que sea la encargada de la gestión o de los temas de gestión técnica o informática. En estos casos, puede ser muy útil nombrar como responsable de seguridad (para cada una de las empresas de dicho grupo 42 ) al director técnico del grupo, ya que es la persona que conoce los temas técnicos en cada una de ellas Responsable de seguridad: persona o personas a las que el responsable del fichero ha asignado formalmente la función de coordinar y controlar las medidas de seguridad aplicables. Dicha obligación está establecida en el artículo 12 de la LOPD. Es muy importante recordar que las obligaciones en materia de protección de datos para el caso de un grupo de empresas, se deberán cumplir para cada una de ellas, es decir, cada una deberá notificar sus ficheros ante la Agencia de Protección de Datos, cada una tendrá que tener su propio Documento de Seguridad y nombrar a su responsable de seguridad que podría ser la misma persona. 43
4 Puede nombrarse como responsable de seguridad a una persona jurídica? La definición de responsable de seguridad que realiza el Real Decreto 994/1999, habla de persona o personas, sin especificar si han de ser físicas o jurídicas. En todo caso y por el hecho que ni tan solo se requiere que sean empleados, consideramos que una persona jurídica puede ser nombrada responsable de seguridad. Cuáles son las responsabilidades que asume el responsable de seguridad? El Real Decreto 994/1999 establece de forma expresa, que la designación de una persona como responsable de seguridad, no significa que exista una delegación de la responsabilidad que tiene el responsable del fichero 43. En todo caso la responsabilidad que asume el responsable del fichero es la que pueda tener cualquier otro empleado (en el supuesto que sea un trabajador de la propia empresa) o la que asume un proveedor de servicios (en el supuesto que sea una empresa subcontratada). El responsable del fichero tendrá encargadas la realización de unas tareas y unas obligaciones, que tendrá que cumplir, siéndole de aplicación el régimen disciplinario general establecido por el derecho laboral en caso de incumplimiento de las mismas si es un trabajador. Controles periódicos Otra de las medidas de seguridad de nivel medio es la realización de controles periódicos. El Documento de Seguridad deberá detallar los controles periódicos que el responsable de seguridad deberá realizar para verificar que se esté cumpliendo lo que el Documento de Seguridad establece. Es decir, una de las obligaciones que se contienen en el propio Real Decreto 994/1999 es la de establece controles o sistemas de verificación para comprobar que lo que está escrito en el Documento de Seguridad se cumple y además que las medidas de seguridad contenidas en el mismo se adecuan a la realidad. Para ello, será necesario que en primer lugar en el propio Documento de Seguridad se enumeren los controles periódicos que se deberán realizar. En relación a la periodicidad de la realización de controles, el Real Decreto 994/1999 no establece o determina un periódico concreto. En este sentido, consideramos que pueden establecerse diferentes periodicidades para la realización de los controles, en función de los elementos, sistemas o procedimientos que se deban de revisar. En este sentido, consideramos que deberán establecerse controles más frecuentes para aquellos sistemas de información que sean susceptibles de sufrir ataques o quedar desactivados. La periodicidad de los controles, también dependerá de la dimensión de la empresa, es decir si es una empresa muy grande en la que por ejemplo puede existir rotación frecuente del personal laboral, será más importante realizar más frecuentemente revisiones sobre los sistemas de acceso, identificación y 43 El responsable del fichero es la persona física o jurídica titular de dicha base de datos de carácter personal. Es la persona que decide sobre la utilización de los datos. 44
5 autenticación, así como en las listas de personas autorizadas a acceder a los sistemas de información. A continuación procedemos a enumerar de forma no restrictiva, alguno de los controles periódicos que deberán realizarse sobre los sistemas de información o las verificaciones que deberán realizarse: 1) Documento de Seguridad: Deberá verificarse su actualización. Además deberá verificarse su existencia y ubicación dentro de la empresa. Para ello se recomienda que cuando en el transcurso de un proceso de revisión o actualización del mismo se hagan cambios, se guarden como una nueva versión del Documento de Seguridad para tener un histórico de las sucesivas versiones. Se recomienda que se verifique como mínimo trimestralmente. 2) Personal: También deberá revisarse periódicamente el nivel de conocimiento del Documento de Seguridad entre el personal de la empresa que ha de conocerlo. Además deberá establecerse un sistema de información o formación en relación con las obligaciones que cada departamento de la empresa tenga en relación con las medidas de seguridad. 3) Usuarios: Se verificará la actualización de los registros de usuarios autorizados o con acceso a los sistemas de información. Se recomienda que como mínimo se verifique trimestralmente. En las empresas con un gran número de trabajadores o con un alto nivel de rotación del personal laboral, se aconseja que se establezca un sistema de revisión mensual en conexión con el departamento de recursos humanos o de administración. Actualización del Registro de usuario con acceso a los sistemas de información. También se realizará una revisión de los sistemas de identificación y autenticación mediante contraseñas, su actualización y cambio. Se verificará el funcionamiento de los sistemas de identificación y autentificación mediante la realización de intentos de acceso a los sistemas. También se comprobará que dichos sistemas registran dichos intentos y los limitan, según las medidas de seguridad requerida. 4) Ficheros: Verificación de los datos personales tratados. Revisión de que los datos tratados se corresponden a los que se han declarado ante la Agencia de Protección de Datos y que los niveles de seguridad son los correspondientes en función de los datos personales contenidos en los ficheros. Se recomienda su verificación trimestral. 5) Equipos y programas: Revisión de la correcta actualización de los registros de equipos informáticos (hardware) y de los programas informáticos (software). Verificación al que las medidas de seguridad están activas y se aplican. 6) Sistemas y equipos de comunicación: En relación con los sistemas de comunicación de la empresa, deberá revisarse cuales son los que existen, las medidas de seguridad que tiene y los usuarios que tienen acceso a los mismos. También se revisarán los sistemas de cortafuegos (firewalls), si existieran, para verificar su correcto funcionamiento así como los registros de funcionamiento de los mismos para detectar intentos de accesos o accesos no autorizados. 45
6 Se revisarán los sistemas de registro de entrada y salida de datos mediante los sistemas de comunicación, cuando en virtud del nivel de seguridad, debiera de registrarse. 7) Soportes: Se verificará la actualización del registro de soportes, se revisarán los soportes para que todos estén correctamente identificados según el sistema establecido en el Documento de Seguridad, así como si se encuentran en los lugares en los que se han de guardar. También se revisará que los sistemas de distribución de soportes, cifrado o que limitan su legibilidad, funcionen correctamente. Así mismo se revisará la actualización y funcionamiento del registro de entradas y salidas de soportes. 8) Incidencias: Revisión del registro de incidencias. Se comprobará, en su caso, que las incidencias ocurridas se encuentren debidamente registradas y que se hayan adoptado las medidas oportunas. 9) Copias de respaldo y de recuperación: Se revisarán los sistemas de realización de copias de respaldo y de recuperación. Se realizarán pruebas de recuperación de datos desde una copia de seguridad. Se recomienda realizar dichas verificaciones trimestralmente. 10) Informes de funcionamiento: Se comprobará que el responsable de seguridad realiza las revisiones periódicas de los registros de accesos o intentos de acceso para la detección de accesos no autorizados o ilegales. Se revisará la existencia de los informes de dichas revisiones. 11) Auditoría: Se verificará cuando es necesario realizar la auditoría bianual obligatoria para los datos de nivel alto y medio. 12) Tratamiento de datos por cuenta de terceros: En lo s casos que la empresa propietaria de los datos encargue a una tercera empresa o profesional el tratamiento de los datos por su cuenta, será necesario verificar cuales son dichas empresas así como si existen de nuevas. Se verificará que contractualmente se hayan comprometido a adoptar las medidas de seguridad oportunas. Auditorías El Documento de Seguridad deberá incluir un apartado relativo a la auditoría en materia de seguridad de los datos de carácter personal. Los titulares de ficheros con datos de carácter personal, a los que les sea de aplicación las medidas de seguridad de nivel medio, deberán realizar una auditoría bianual para verificar el estado de las medidas de seguridad. La auditoría deberá auditar, verificar o contener los siguientes extremos o elementos: 1) Cumplimiento del Real Decreto 994/1999 por parte de la empresa. 2) Que los procedimientos e instrucciones vigentes en materia de seguridad de datos de carácter personal se cumplan y sean los correctos. 46
7 3) La adecuación de las medidas y controles al Real Decreto 994/ ) Actualización del Documento de Seguridad. 5) Identificar y documentar las posibles deficiencias existentes. 6) Detallar las medidas correctoras o complementarias para corregir cualquier deficiencia o inadecuación de las medidas de seguridad al Real Decreto 994/1999. En todo caso, el informe de auditoría, a parte de revisar o tratar los aspectos relacionados, deberá incluir los documentos, datos o información que se han utilizado para realizarla. Será necesario incluir copia de los documentos revisados o impresión de los elementos consultados. Una vez se haya terminado el informe de auditoría de seguridad en materia de protección de datos, será necesario que el responsable de seguridad lo revise y remita las conclusiones del mismo, así como las medidas necesarias para corregir las posibles deficiencias, en el supuesto que existieran, al responsable de fichero para que actúe en consecuencia. En todo caso, para verificar que se ha cumplido con dichas obligaciones, se deberá disponer de un registro de auditorías, en el que se guarden los informes que deberán estar a disposición de la Agencia de Protección de Datos. Ver modelo de registro en el Anexo VIII. Quién ha de realizar las auditorías de seguridad en materia de medidas de datos personales? El Real Decreto 994/1999 establece que la auditoría podrá ser interna o externa. La auditoría la podrá realizar un trabajador de la propia empresa o se podrá contratar a un tercero para que la realice. En todo caso se recomienda que las auditorías se realicen por personal externo de la empresa para asegurar una mayor imparcialidad en la evaluación de la adecuación de las medidas al Real Decreto 994/1999. Actualmente no está regulado la función del auditor de medidas de seguridad en materia de protección de datos de carácter personal. No existe un registro de auditores. Identificación y autenticación En Documento de Seguridad deberá regular la identificación y autenticación. Además de las medidas de seguridad que se establecen para la identificación y autenticación en las medidas de seguridad de nivel básico, para el acceso a datos de carácter personal de nivel medio, el responsable del fichero, deberá establecer las siguientes medidas extras para la identificación y autenticación: 1) Será necesario que se establezca un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información. Consecuentemente, cada usuario que tenga acceso a los sistemas de información que traten datos de carácter personal de nivel medio, 47
8 tendrá un usuario propio e individualizado, que permita al sistema identificarlo de forma personal entre todas las personas o sistema que tengan acceso a dichos datos. 2) Existirá un sistema de verificación de conforme a la autorización para el acceso a los sistemas de información. 3) Limitación de la posibilidad de intentar reiteradamente el acceso no autorizado a los sistemas de información. El Real Decreto 994/1999 no establece el número de veces que un usuario podrá intentar el acceso. En todo caso se puede establecer un número de intentos entre 3 y 5 como máximo. El sistema deberá registrar los intentos fallidos. Una empresa X que disponga de bases de datos de carácter personal con datos personales de nivel medio, deberá establecer un sistema de claves de acceso en el que cado uno de los usuarios que tenga acceso a dicho fichero o sistema de información tenga su propio usuario para que el sistema reconozca que es una persona concreta la que está accediendo a los datos. Así mismo, en el caso que un usuario no autorizado intentara acceder con su usuario y contraseña, el sistema deberá permitirle 3 intentos de acceso (por ejemplo) y en el caso que no esté autorizado, deberá bloquear el uso de dicho usuario y no permitirle realizar más intentos de acceso. Control de accesos físico El Documento de Seguridad deberá contener un apartado en el que se regule el control de accesos físicos. En el Real Decreto 994/1999 no únicamente se establecen medidas de seguridad informáticas, en dicha disposición normativa, también se establecen medidas de seguridad físicas. En este sentido, solamente podrán acceder a los locales en los que haya sistemas de información que traten datos personales de nivel medio, aquellas personas que de forma expresa hayan sido autorizadas. Para ello, existirá un registro de personas con acceso autorizado, que formará parte del Documento de Seguridad. Ver modelo de relación de personal con acceso autorizado en Anexo IX. Una empresa X tiene una red interna. Dicha empresa entre las bases de datos de carácter personal que tienen ubicadas en su servidor, existen datos personales a los que les son de aplicación las medidas de seguridad de nivel medio. En este supuesto, en los locales en los que esté ubicado el servidor con dichos datos solamente podrán acceder las personas que hayan sido autorizadas de forma expresa y así conste en el Documento de Seguridad. Cuando sea necesario que personas no autorizadas en el registro de personas autorizadas o personas externas a la empresa accedan físicamente a los equipos que tratan, guardan o 48
9 transmiten datos de nivel medio, será el responsable de seguridad quien autorizará su acceso. En todo caso se guardará un registro con dichas autorizaciones. Gestión de Soportes En el Documento de Seguridad se incluirá un apartado con las medidas de seguridad para la gestión de soportes 44. Uno de los elementos más importantes para la correcta adopción de las medidas de seguridad que establece el Real Decreto 994/1999 será la gestión de los soportes. Será necesario que para los soportes que contengan datos de carácter personal de nivel medio se adopten medidas de seguridad específicas que básicamente están encaminadas a evitar la fuga o perdida de datos personales. Es muy común que se adopten correctamente las medidas de seguridad en las oficinas o locales de la empresa, con controles de acceso, con sistemas de identificación de usuarios para la entrada en la red de una oficina, etc., pero es muy fácil que alguien tenga una copia en un CD de ciertos datos personales y que los pueda sacar de la oficina sin problemas. Para evitar que datos de carácter personal salgan o entren de los locales de la empresa sin control de soportes, se establece para los datos personales de nivel medio, las siguientes obligaciones en materia de seguridad: 1) Registro de entrada de soportes: Se establecerá un registro de entrada de soportes informáticos que permita, directa o indirectamente, conocer: Ver modelo de registro de entrada de soportes en el Anexo X. a. El tipo de soporte. Si se trata de un CD, cinta, disquete, etc.. Además si fuera posible, se identificará el soporte en virtud de la referencia que tenga asignada en el registro de soportes. b. La fecha y hora de entrada. c. El emisor. La persona que realizó el envío. d. El número de soportes. e. El tipo de información que contienen. Deberá indicar el fichero del que proceden los datos. f. La forma de envío. g. La persona responsable de la recepción. Se indicará la persona a la que se le envía el soporte. Esta persona deberá estar debidamente autorizada en el Documento de Seguridad, en virtud de los datos que contiene el soporte. 2) Registro de salida de soportes: Se establecerá un registro de salida de soportes informáticos que permita, directa o indirectamente, conocer: Ver modelo de registro de salida de soportes en el Anexo XI. 44 Soporte: objeto físico susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar o recuperar datos. 49
10 a. El tipo de soporte. Si se trata de un CD, cinta, disquete, etc.. Además si fuera posible, se identificará el soporte en virtud de la referencia que tenga asignada en el registro de soportes. b. La fecha y hora de salida. c. El destinatario. La persona a la que se le envía el soporte. d. El número de soportes. e. El tipo de información que contienen. Deberá indicar el fichero del que proceden los datos. f. La forma de envío. g. La persona responsable de la entrega. Se indicará la persona responsable de la entrega. Esta persona deberá estar debidamente autorizada en el Documento de Seguridad, en virtud de los datos que contiene el soporte. 3) Desechado o reutilización de soportes: Cuando se proceda a desechar un soporte, será necesario que se adopten las medidas necesarias para impedir cualquier recuperación posterior de la información almacenada en él. Así mismo, previamente se procederá a darlo de baja del registro de soportes. 4) Salida de soportes fuera de los locales: En el supuesto que los soportes hayan de salir fuera de los locales en que se encuentren ubicados los ficheros, como consecuencia de operaciones de mantenimiento, será necesario que se adopten las medidas necesarias para impedir cualquier recuperación indebida de la información almacenada en ellos. Registro de incidencias En Real Decreto 994/1999 se establece que para los datos de carácter personal de nivel medio el registro de incidencias que se ha establecido como medida de seguridad de nivel básico, además deberá incluir más información para el supuesto que la incidencia haya afectado a dichos datos. La información que deberá contener el registro de incidencias de nivel medio aparte de la ya indicada para el nivel básico, es la siguiente: 1) Procedimientos realizados de recuperación de los datos. 2) Persona que ejecutó el proceso de recuperación de datos. 3) Los datos restaurados. 4) En su caso, los datos que ha sido necesario grabar manualmente en el proceso de recuperación. 50
11 Así mismo, se establece que para iniciar el procedimiento de recuperación de datos, será necesaria la autorización por escrito del responsable del fichero 45. Ver modelo de registro de incidencias de nivel medio en el Anexo XII. Pruebas con datos reales El Real Decreto 994/1999 establece como medida de seguridad de nivel medio, que en el supuesto que sea necesario realizar pruebas con datos reales de carácter personal de nivel medio, dichas pruebas no podrán realizarse si no se aseguran que dichos datos y sistemas tengan las medidas de seguridad correspondientes al nivel medio. En una empresa X se ha procedido a la instalación de un nuevo programa informático de gestión del departamento de recursos humanos. Dicho programa sirve para gestionar las pruebas de personalidad que se realizan a los aspirantes a cubrir alguna plaza en la empresa. Para verificar su correcto funcionamiento, la empresa Y que realiza la instalación de los nuevos sistemas informáticos, desea realizar pruebas con los datos que había en el antiguo programa informático. Para ello solicita los datos de las pruebas de personalidad para introducirlos en el nuevo programa informático. Para realizar dicha comprobación, será necesario que previamente se cumplan los siguientes requisitos: 1. Deberá asegurarse que los sistemas de información que traten dichos datos, incluido el nuevo programa tenga aplicadas las medidas de seguridad de nivel medio. 2. También será necesario que se firme un contrato de tratamiento de datos por cuenta del responsable del fichero, ya que la empresa Y que realiza la instalación del nuevo programa tendrá acceso, para su tratamiento, a datos de carácter personal de la empresa X para realizar las pruebas. En una empresa X se han adquirido nuevos equipos informáticos (PC) para la gestión del departamento de recursos de sanciones administrativas. Los datos relativos a informaciones administrativas, son datos a los que se les han de aplicar las medidas de seguridad de nivel medio. En el supuesto que la empresa Y, que ha vendido los ordenadores, también se encargue de su instalación y puesta en marcha, comprobando el correcto funcionamiento de las bases de datos instaladas, será necesario que se cumplan los siguientes requisitos: 1. Deberá asegurarse que los sistemas de información que traten dichos datos, incluidos los nuevos ordenadores, tenga aplicadas las medidas de seguridad de nivel medio. 45 Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento. 51
12 2. También será necesario que se firme un contrato de tratamiento de datos por cuenta del responsable del fichero, ya que la empresa Y que realiza la instalación y puesta a punto de los nuevos ordenadores, tendrá acceso, a datos de carácter personal de la empresa X para realizar las pruebas. Debido a la dependencia de las empresas de los sistemas informáticos que tratan sus datos, entre los que se encuentran los datos de carácter personal, es muy habitual que antes de la entrada en funcionamiento de nuevos programas informáticos, equipos informáticos o nuevas aplicaciones online de gestión, se realicen muchas pruebas para verificar su correcto funcionamiento. Para todos estos supuestos es muy recomendable que siempre que se pueda se utilicen datos ficticios o se disocien para evitar que sea necesario adoptar grandes medidas de seguridad, así como para evitar que se produzca alguna pérdida de datos personales. Para la realización de pruebas de nuevos sistemas informáticos en los que se traten datos de carácter personal es muy habitual que las empresas deseen realizar pruebas con datos reales ya que es la mejor forma de verificar el correcto funcionamiento de las nuevas aplicaciones. En el supuesto que los datos que se traten requieran medidas de seguridad de nivel medio, puede complicar las pruebas. Para facilitar dichas pruebas se aconseja que se omitan los nombres de las persona que figuran en la bases de datos y se substituyan por códigos, que hagan imposible identificar de forma directa o indirecta a dichas personas. De esta forma, no sería necesario adoptar las medidas de seguridad establecidas en el Real Decreto 994/

References: Real Decreto 
 Real Decreto 
 Real Decreto 
 artículo 12
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto