Source: http://iee.es/pages/bases/articulos/proda004.html
Timestamp: 2019-02-17 04:42:08+00:00

Document:
﻿ La actualización del documento de seguridad a partir del desarrollo reglamentario de la LOPD
La actualización del documento de seguridad a partir del desarrollo reglamentario de la LOPD
El pasado 19 de enero se publicó en el BOE el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en adelante RDLOPD). La norma entrará en vigor el 19 de abril de este año y si bien la Disposición transitoria segunda del Real Decreto establece unos plazos de implantación de las medidas de seguridad no inferiores a un año desde su entrada en vigor, muchos responsables de ficheros han empezado a analizar las consecuencias que la adaptación al nuevo reglamento va a suponer en el desarrollo de su actividad.
Como bien se ha dicho en alguna ocasión, los cambios, novedades e interpretaciones del desarrollo reglamentario de la LOPD darían para escribir un libro, por eso creo procedente dirigir el contenido de este artículo a una pequeña parte de las modificaciones a las que se enfrentan los responsables de ficheros. Éstas son las relativas a la actualización del documento de seguridad en el aspecto más formal de su contenido, sin extendernos a la implantación efectiva de las medidas de seguridad.
El motivo de estas actualizaciones es que con la entrada en vigor del RDLOPD queda derogado, entre otros, el RD 994/1999, de 11 de junio, por el que se aprueba el Reglamento de Medidas de seguridad de los ficheros que contengan datos de carácter personal (en adelante RMS), que desarrollaba la primera norma de protección de datos, la LORTAD.
Como primer matiz, el cambio de redacción que sufren los artículos dedicados al documento de seguridad hace que éste pase de ser un medio de elaboración e implantación de la normativa de seguridad a convertirse en un documento que recoja una serie de medidas acordes a una normativa de seguridad ya vigente. Actualmente, considero que el punto de partida pueden ser ambos escenarios y que las novedades del RDLOPD en cuanto al contenido del documento de seguridad están más en la línea de ser considerado como un instrumento cuyo contenido va a definir el alcance de esas medidas, que como una mera recopilación de normas y procedimientos.
documentos que agrupen ficheros o tratamientos atendiendo a criterios organizativos del responsable.
Además insiste en el carácter interno del documento que no debe ser remitido a la AEPD para su registro o comprobación, sino que deberá mantenerse a su disposición en el caso de que llegase a requerirlo en el marco de alguna actuación.
La llevanza del documento de seguridad se realizaría por el encargado del tratamiento por delegación, lo que debe indicarse en el contrato celebrado entre ambos al amparo del artículo 12 de la LOPD.
Esta novedad se deriva del hecho de que el RMS no contemplase la figura del encargado del tratamiento al ser desarrollo de la LORTAD, donde aún no estaba perfilada como tal.
Una vez determinadas la autoría y la cantidad de documentos de seguridad, vamos a analizar brevemente en qué medida ha variado su contenido. Así, en el artículo 88 del RDLOPD se recogen los contenidos ya exigidos por los artículos 8 y 15 del RMS para ficheros de nivel básico y medio especificando:
En relación con las funciones y obligaciones del personal que son aquellas que tienen relación con el tratamiento de los datos de carácter personal incluidos en los fichero. Además, se refiere expresamente a las funciones de control y autorizaciones delegadas por el responsable del fichero o tratamiento.
En relación con la identificación del responsable o responsables de seguridad, si son distintos según los sistemas de tratamiento utilizados deberá constar claramente esta circunstancia.
Y añade las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos. Cabe apuntar que en relación con el desecho y reutilización de soportes, el RMS ya contemplaba la inclusión de medidas en el documento de seguridad, pero entonces eran aplicables únicamente a ficheros de nivel medio y alto, siéndolo ahora a todo tipo de ficheros.
El ámbito de aplicación queda afectado por las modificaciones introducidas por el artículo 81 del RDLOPD en cuanto a la aplicación de los niveles de seguridad. Así, como novedad, son considerados como ficheros de nivel medio:
Los ficheros de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico y a los datos de localización. Estos ficheros tendrán que implantar adicionalmente un registro de accesos de acuerdo con lo establecido en el artículo 103 del RDLOPD aplicable a ficheros de nivel alto pero cabe entender que se considerarán como de nivel medio o en su caso intermedio.
Si teníamos ficheros con datos especialmente protegidos a los que correspondería un nivel de seguridad alto, deberemos prestar atención a los supuestos contemplados en el apartado 5 del artículo 81 porque es posible que se haya visto reducido el nivel de medidas de seguridad aplicable.
Que se permite el acceso remoto a un encargado del tratamiento habiéndosele prohibido incorporar tales datos a sistemas o soportes distintos de los del responsable.
La identificación de los ficheros o tratamientos que se traten en concepto de encargado con referencia expresa al contrato o documento que regule las condiciones del encargo, así como de la identificación del responsable y del periodo de vigencia del encargo.
Por tanto, podrán quedar afectados tanto el documento de seguridad del responsable del fichero como el elaborado, en su caso, por el encargado del tratamiento.
En el marco de las medidas, normas, procedimientos de actuación, reglas y estándares que exige el artículo 88 del reglamento, los expresamente exigidos por el articulado del RDLOPD y en el orden en el que son recogidos en la norma, son los siguientes:
Son exigibles otra serie de medidas que no se traducen en una obligación expresa de que pasen a formar parte del documento de seguridad; sin embargo, esto no impide que así sea, pudiendo incluirse medidas no exigidas por el RDLOPD pero sí por otras normas, o adoptadas por propia iniciativa del responsable del fichero, ya que las recogidas por el Reglamento en cada nivel tienen la condición de mínimos.
En materia de relaciones de personal autorizado junto a las exigidas por el RMS a conceder, alterar o anular el acceso autorizado y acceder a los soportes y documentos, se incluyen:
tratar datos fuera de los locales del encargado del tratamiento.
Que podrá referirse a un usuario o a un perfil de usuarios y tener determinado un periodo de validez.
Como novedad en relación con las medidas de nivel alto aplicables al soporte no automatizado, deberá incluirse una relación de personal autorizado a permitir la generación de copias o la reproducción de documentos.
El responsable del fichero puede designar otras personas que autoricen por delegación el desarrollo de estas actividades, más aún teniendo en cuenta que en muchas ocasiones el responsable del fichero es una persona jurídica. Así podemos encontrar en función de la estructura organizativa del responsable del fichero relaciones de personal habilitado para otorgar autorizaciones, personal en el que recae dicha delegación, o personal autorizado.
No hay que olvidar que aunque no se exige que figuren en el documento de seguridad también deberán estar autorizados mediante la existencia de relaciones o autorizaciones, los usuarios de los sistemas de información, personas responsables de la entrega y recepción de soportes y documentos o quienes ejecutan los procedimientos de recuperación de datos.
En materia de registros además de los ya conocidos registros de incidencias, de entrada y salida de soportes o el famoso registro de accesos, que aunque deben mantenerse no necesariamente tienen que formar parte del documento de seguridad, surge una nueva obligación aplicable a todos los niveles de seguridad en relación con la anotación en el documento de seguridad de las pruebas con datos reales anteriores a la implantación o modificación de los sistemas de información que traten ficheros de carácter personal, por lo que será necesaria la creación de un registro de realización de dichas pruebas que en este caso deberá incluirse en el documento de seguridad.
También deben registrarse, aunque no ya en el documento de seguridad, los accesos realizados a documentos a los que son de aplicación medidas de seguridad de nivel alto siempre que puedan ser utilizados por múltiples usuarios.
Como consecuencia de los controles periódicos realizados.
El documento de seguridad, por tanto, va a ser necesariamente objeto de revisión con la entrada en vigor del RDLOPD, pero además como consecuencia lógica deberá procederse a la adaptación de las medidas de seguridad aplicadas para que sean acordes con la nueva norma, y revisar la aplicación de los principios y derechos de la LOPD a la luz de las pautas establecidas por su desarrollo reglamentario.

References: Real Decreto 
 Real Decreto 
 artículo 12
 artículo 88
 artículo 81
 artículo 103
 artículo 81
 artículo 88