Source: http://www.actualidadlopd.com/2011/01/09/el-documento-de-seguridad-en-la-empresa/
Timestamp: 2017-09-20 19:53:15
Document Index: 394883340

Matched Legal Cases: ['artículo 18', 'artículo 88', 'artículo 12', 'artículo 82', 'artículo 84', 'artículo 86', 'artículo 89', 'artículo 90', 'artículo 91', 'artículo 92', 'artículo 93', 'artículo 94', 'artículo 95', 'artículo 99', 'artículo 101', 'artículo 103', 'artículo 111', 'artículo 112', 'artículo 113']

EL DOCUMENTO DE SEGURIDAD EN LA EMPRESA | actualidadlopd.com
Navegar: Home / lopd, protección de datos / EL DOCUMENTO DE SEGURIDAD EN LA EMPRESA
Créditos: Alexander Reichardt
EL DOCUMENTO DE SEGURIDAD EN LA EMPRESA
LOPD: constituye infracción grave mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen. Sanción: multa de 60.000 hasta 300.000 euros.
Tuvieron que pasar más de 20 años desde la previsión contenida en el artículo 18.4 de nuestra Constitución (“La Ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.”) hasta la promulgación de la Ley Orgánica de Protección de Datos de Carácter Personal, y unos cuantos más hasta su desarrollo reglamentario, donde por fin se ahondó en aquéllas cuestiones técnicas y tecnológicas que se referían a la seguridad.
Aún tras este largo recorrido, la seguridad en la protección de datos constituye hoy en día un caballo de batalla con el que muchas empresas deben lidiar a diario, debido principalmente a una ley y un reglamento excesivamente rígidos que, en ocasiones, promulgan prácticas cuanto menos diabólicas (como ejemplo, el registro de accesos) que otorgan poco margen de maniobra a una seguridad sencilla y eficaz.
Consciente de ello, la propia Agencia Española de Protección de Datos se ha apresurado en construir modelos de documento de seguridad (ese texto en el que deben, obligatoriamente, recogerse las medidas de índole técnica y organizativas dirigidas a preservar la seguridad de datos personales) que faciliten esa tarea de comprensión e implantación de medidas de seguridad.
No sabríamos decir si este modelo de documento facilita o dificulta las cosas. El caso es que la AEPD se apresura al apostillar que, en todo caso, habrá que tener en cuenta lo dispuesto en la LOPD y su reglamento de desarrollo “sin prejuzgar el criterio de la Agencia Española de Protección de Datos en el ejercicio de sus funciones”.
Entonces, ¿qué debe contener un documento de seguridad? Pues ni más ni menos que lo que establece el Reglamento de Desarrollo de la LOPD. Bueno, matizo, más si que puede contener (cuanto más azúcar, más dulce), pero ¿para qué queremos agasajar nuestro documento de seguridad con fantásticas medidas de seguridad que luego no vamos a cumplir?
Hablando de la seguridad, al parecer nuestras empresas han tomado cuenta de las consecuencias de su incumplimiento, vista la evolución de procedimientos sancionadores incoados por la AEPD al respecto:
El contenido del Documento de Seguridad
Según el artículo 88 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, el Documento de Seguridad tendrá que contener lo siguiente:
En aquellos casos en los que datos personales de un fichero o tratamiento se incorporen y traten de modo exclusivo en los sistemas del encargado, el responsable deberá anotarlo en su documento de seguridad. Cuando tal circunstancia afectase a parte o a la totalidad de los ficheros o tratamientos del responsable, podrá delegarse en el encargado la llevanza del documento de seguridad, salvo en lo relativo a aquellos datos contenidos en recursos propios. Este hecho se indicará de modo expreso en el contrato celebrado al amparo del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, con especificación de los ficheros o tratamientos afectados.
También es importante que el Documento de Seguridad se mantenga actualizado.
Además de lo anterior, que puede recogerse en nuestro Documento de Seguridad a modo de anexos o apartados, todo el Titulo VIII del citado reglamento se refiere a contenidos concretos que deben recogerse en el documento de seguridad:
Contenido relativo al encargado del tratamiento (artículo 82 RLOPD)
Delegación de autorizaciones (artículo 84)
Autorización para el trabajo fuera de los locales (artículo 86)
Funciones y obligaciones del personal (artículo 89)
Registro de incidencias, (es optativo que forme parte del Documento de Seguridad, artículo 90)
Control de acceso (artículo 91)
Personal autorizado para la gestión de soportes y documentos (artículo 92)
Identificación y autenticación (artículo 93)
Recuperación manual de datos y pruebas con copias de seguridad (si se da el caso, artículo 94)
Medidas de nivel medio:
Designación del Responsable de Seguridad (artículo 95)
Control de acceso del personal autorizado (artículo 99)
Medidas de nivel alto:
– Ficheros automatizados:
Justificación del uso de equipos portátiles sin cifrado (artículo 101)
Excepción al registro de accesos (artículo 103)
– Ficheros manuales:
Medidas alternativas a adoptar en caso de que los armarios, archivadores, etc., no estén dotados con mecanismos que obstaculicen su apertura (artículo 111)
Personal autorizado para la realización de fotocopias (artículo 112)
Acceso a la documentación (artículo 113)
Resulta importante comentar que la AEPD no suele ser exigente en cuanto al contenido del Documento de Seguridad. Basta que exista y se adapte a los mínimos legales.
Otra cuestión es su cumplimiento, donde la Agencia no parece pasar una. En este sentido, a modo de reflexión, podríamos establecer que el buen Documento de Seguridad sería el elaborado por el propio Responsable del Fichero (empresario, autónomo), que es quien mejor conoce su entorno de trabajo, sus recursos y sus limitaciones, garantizando el cumplimiento de ese compromiso de seguridad con los datos de sus clientes, proveedores, empleados, etc.
Las medidas de seguridad y su cumplimiento
La rigidez de la Agencia Espñola de Protección de Datos en cuanto al cumplimiento de las medidas de seguridad se debe a que ha hecho suya la doctrina emanada de la Audiencia Nacional respecto a la materia.
“No basta con la aprobación de cualquier medida de seguridad, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto… Se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. En definitiva… la recurrente es, por disposición legal, una deudora de seguridad en materia de datos… y puesto que… es una deudora de seguridad en materia de datos… es insuficiente, según se desprende de la doctrina de la Sala que se acaba de exponer, con acreditar que se adoptaron una serie de medidas, pues dicha entidad… también es responsable de que las mismas se cumplan y ejecuten con rigor.
En definitiva toda responsable de un fichero (o encargada de tratamiento) debe asegurarse de que dichas medidas o mecanismos se implementen de manera efectiva en la práctica, sin que bajo ningún concepto, datos bancarios o cualesquiera otros de carácter personal puedan llegar a manos de terceras personas”.
En resumen, el Documento de Seguridad no tiene un “efecto liberador” de posibles sanciones en caso de que nuestros datos sufran un acceso o tratamiento no autorizado; debe ser un instrumento realista, consecuente con la legalidad y la seguridad que podamos implantar porque, de lo contrario, puede convertirse en nuestro peor enemigo: una utopía.
Destacadas resoluciones dictadas por la AEPD en procedimientos sancionadores relativos a la seguridad:
PS-00616-2009
PS-00022-2010
PS-00137-2010
Si no quieres lanzarte con la creación manual del documento de seguridad, siempre puedes aprovechar que hoy en día las nuevas tecnologías nos lo ponen mucho más fácil, ya que hay herramientas que con unos datos básicos, te generan el documento de seguridad correspondiente y sus posteriores actualizaciones. Una de ellas es nuestra herramienta de gestión online de protección de datos: Guardatum.com
Publicado en lopd, protección de datos
Etiquetas documento de seguridad, empresas, lopd, protección de datos, seguridad
Una respuesta a “EL DOCUMENTO DE SEGURIDAD EN LA EMPRESA”
6 Enero, 2015 at 23:14 | Permalink | Reply
Hola Juan Carlos, quería preguntarle si es legal poner una cámara de vigilancia dentro de mi casa, es decir de puertas hacia dentro? Estoy separada y mi ex pareja viene todos los días a estar con los niños y por desgracia provoca varias discusiones que luego desmiente ante la psicóloga de niños. Él dice que no le puedo grabar sin su consentimiento, pero yo pienso que si es mi casa puedo hacerlo sin avisarle ni poner un cartel en la puerta. Pero como no lo sé, quería que me ayudara con ésta duda. Muchas gracias