Source: http://protecciondedatosonline.com/protecciondedatos_preguntastecnicas.html
Timestamp: 2018-11-15 01:35:04
Document Index: 140462991

Matched Legal Cases: ['Artículo 43', 'artículo 9', 'Artículo 9', 'Artículo 9', 'Artículo 8', 'Artículo 15', 'artículo 8', 'Artículo 16', 'Artículo 17', 'Artículo 20', 'Artículo 23', 'Artículo 24', 'Artículo 25']

¿Qué es un documento de seguridad?
¿Cuándo es obligatorio adoptar el documento de seguridad?
¿Constituye alguna infracción la inexistencia del documento de seguridad?
¿Dónde se encuentra el fundamento legal de la obligatoriedad de adopción del documento de seguridad?
¿Es obligatorio que los empleados conozcan la existencia y contenido del documento de seguridad o sólo concierne al responsable del fichero?
¿Cuál es el contenido del documento de seguridad de nivel básico?
¿Cuál es el contenido del documento de seguridad de nivel medio?
¿Cuál es el contenido del documento de seguridad de nivel alto?
1. ¿Qué es un documento de seguridad?
El documento de seguridad es una de las partes fundamentales de la protección de datos. Se trata de un documento mediante el cual se elaboran y adoptan las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos de carácter personal, su adopción es de obligado cumplimiento para el responsable del fichero, o en su caso, del encargado del tratamiento.
2. ¿Cuándo es obligatorio adoptar el documento de seguridad?
El Real Decreto 994/1999, de 11 de Junio, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal (en adelante R.D), establece que es obligatoria su adopción siempre que se traten datos personales, cualquiera que sea el nivel de seguridad al que correspondan.
3. ¿Constituye alguna infracción la inexistencia del documento de seguridad?
Se considera una infracción grave "Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen" Artículo 43.h) Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en adelante LOPD).
4. ¿Dónde se encuentra el fundamento legal de la obligatoriedad de adopción del documento de seguridad?
El artículo 9 de la LOPD, establece en su párrafo 1 que "El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnicas y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural".
5. ¿Es obligatorio que los empleados conozcan la existencia y contenido del documento de seguridad o sólo concierne al responsable del fichero?
Toda persona con acceso a datos personales, o que intervenga en alguna fase del tratamiento de los mismos, debe ceñirse a lo establecido en el documento de seguridad, en el cual se establecerán claramente las funciones y obligaciones del personal. Artículo 9.1 R.D 994/1999.
Sin embargo, es responsabilidad del responsable del fichero adoptar las medidas necesarias para que el personal conozca las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento. Artículo 9.2 R.D 994/1999.
6. ¿Cuál es el contenido del documento de seguridad de nivel básico?
Artículo 8 R.D 994/1999.
El documento deberá mantenerse en todo momento actualizado y deberá ser revisado siempre que se produzcan cambios relevantes en el sistema de información o en la organización del mismo. El contenido deldocumento deberá adecuarse, en todo momento, a las disposiciones vigentes en materia de seguridad de los datos de carácter personal.
7. ¿Cuál es el contenido del documento de seguridad de nivel medio?
Artículo 15 R.D 994/1999.
El documento de seguridad deberá contener, además de lo dispuesto en el artículo 8 del presente Reglamento:
La identificación del responsable o responsables de seguridad: El responsable del fichero designará uno o varios responsables de seguridad encargados de coordinar y controlar las medidas definidas en el documento de seguridad. En ningún caso esta designación supone una delegación de la responsabilidad que corresponde al responsable del fichero de acuerdo con este Reglamento. Artículo 16 R.D 994/1999.
Los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento. Los sistemas de información e instalaciones de tratamiento de datos se someterán a una auditoría interna o externa, que verifique el cumplimiento del presente Reglamento, de los procedimientos e instrucciones vigentes en materia de seguridad de datos, al menos, cada dos años. Artículo 17.1 R.D 994/1999.
Las medidas que sea necesario adoptar cuando un soporte vaya a ser desechado o reutilizado. Deberá establecerse un sistema de registro de entrada y salida de soportes informáticos. Cuando un soporte vaya a ser desechado o reutilizado, se adoptarán las medidas necesarias para impedir cualquier recuperación posterior de la información almacenada en él, previamente a que se proceda a su baja en el inventario. Artículo 20 R.D 994/1999.
8. ¿Cuál es el contenido del documento de seguridad de nivel alto?
Además de las medidas de nivel básico y medio, se adoptarán las siguientes:
La distribución de los soportes que contengan datos de carácter personal se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que dicha información no sea inteligible ni manipulada durante su transporte. Artículo 23 R.D 994/1999.
Registro de accesos. Artículo 24 R.D 994/1999.
Copias de respaldo y recuperación. Artículo 25 R.D 994/1999.
Deberá conservarse una copia de respaldo y de los procedimientos de recuperación de los datos en un lugar diferente de aquél en que se encuentren los equipos informáticos que los tratan, cumpliendo en todo caso, las medidas de seguridad exigidas en este Reglamento.