Source: http://docplayer.es/7022808-Ley-de-proteccion-de-datos-empresa-privada.html
Timestamp: 2018-12-19 10:17:58
Document Index: 86140458

Matched Legal Cases: ['Artículo 43', 'artículo 9', 'Artículo 8', 'Artículo 9', 'Artículo 9', 'Artículo 15', 'artículo 8', 'Artículo 16', 'Artículo 17', 'Artículo 20', 'Artículo 23', 'Artículo 24', 'Artículo 25', 'artículo 44']

LEY DE PROTECCIÓN DE DATOS: EMPRESA PRIVADA - PDF
Download "LEY DE PROTECCIÓN DE DATOS: EMPRESA PRIVADA"
Juan José Bustamante Álvarez
1 LEY DE PROTECCIÓN DE DATOS: EMPRESA PRIVADA DOCUMENTO DE SEGURIDAD Módulo 2/ Unidad 3
2 ÍNDICE DE CONTENIDOS 1.- INTRODUCCIÓN OBJETIVOS JUSTIFICACIÓN CONTENIDO FORMA DEL DOCUMENTO DE SEGURIDAD RESUMEN BIBLIOGRAFÍA GLOSARIO
3 1.- INTRODUCCIÓN El Documento de Seguridad es creado al amparo de lo preceptuado en el Real Decreto 994/1999, de 11 de junio, por el que se aprueba el Reglamento de medidas de Seguridad de los ficheros automatizados que contengan datos de carácter personal (en su caso y desde que entre en vigor el Real Decreto 1720/2007, de 21 de diciembre. Este Reglamento desarrolla la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. A los efectos del desarrollo del Documento de Seguridad, se acompaña fotocopia de ambos textos legales. El objetivo final del este Documento de Seguridad es determinar las medidas de seguridad de índole técnica y organizativa que garanticen la confidencialidad e integridad de la información con la finalidad de preservar el honor, la intimidad personal y el pleno ejercicio de los derechos personales frente a su alteración, pérdida, tratamiento o acceso no autorizado, siempre dentro de la estructura organizativa de... Dicho Documento deberá de mantenerse en todo momento actualizado y deberá de ser revisado siempre que se produzcan cambios relevantes en el sistema de información o en la organización del mismo. Asimismo, el contenido del Documento de Seguridad se adecuará, en todo momento a las disposiciones vigentes en materia de seguridad de los datos de carácter personal. 2.- OBJETIVOS Conocer la utilidad y funcionalidad de un documento de seguridad. Conocer las diversas manifestaciones del documento de seguridad. Conocer los requisitos o aspectos esenciales del documento de seguridad. Conocer la forma de gestionar y mantener el documento de seguridad. 3
5 3.- JUSTIFICACIÓN El art. 9 de la Ley Orgánica 15/1999, de 13 de Diciembre, de Protección de Datos de Carácter Personal impone al responsable del fichero o, en su caso, al encargado del tratamiento, la adopción de las medidas de índole técnica y organizativa necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizados, habida cuenta del estado de la tecnología, la naturaleza de los datos y los riesgos a los que están expuestos, ya vengan por acción humana o del medio físico o natural. En desarrollo de análogo precepto de la Ley Orgánica Reguladora del Tratamiento Automatizado de Datos de Carácter Personal (1992) se promulgó el Real Decreto 994/1999, de 11 de Junio, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal, todavía aplicable al amparo de la nueva regulación. Dicho reglamento, en su Art. 8, exige al responsable del fichero la elaboración e implantación de las oportunas medidas de seguridad mediante la confección de un documento de obligado cumplimiento para el personal con acceso a los datos y a los sistemas de información. El objeto de este documento de seguridad es la adopción e implantación de las medidas de índole técnica y organizativa que resulten necesarias para la protección de los datos de carácter personal contenidos en los ficheros titularidad del responsable del fichero. El Real Decreto 994 /1999, de 11 de junio aprobó el Reglamento de Medidas de Seguridad de los ficheros que contengan datos de carácter personal (RMS). El Reglamento tiene por objeto establecer las medidas de índole técnica y organizativa necesarias para garantizar la seguridad que deben reunir los ficheros, los centros de tratamiento, locales, equipos, sistemas, programas y las personas que intervengan en el tratamiento de los datos de carácter personal. Entre estas medidas, se encuentra la elaboración e implantación de la normativa de seguridad mediante un documento de obligado cumplimiento para el personal con acceso a los datos de carácter personal. El Reglamento de Seguridad no especifica si se debe disponer de un solo documento que incluya todos los ficheros y tratamientos con datos personales de los que una persona física o jurídica sea responsable, o un único documento por cada fichero o tratamiento. Cualquiera de las dos opciones puede ser válida. En este caso se ha optado por el primer tipo, organizando el documento de seguridad en dos partes: en la primera se recogen las medidas que afectan a todos los sistemas de información de forma común, y en la segunda se incluye un anexo por cada fichero o tratamiento, con las medidas que le afecten de forma específica. Cuándo es obligatorio adoptar el documento de seguridad? El Real Decreto 994/1999, de 11 de Junio, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal (en adelante R.D), establece que es obligatoria su adopción siempre que se traten datos personales, cualquiera que sea el nivel de seguridad al que correspondan. 5
6 Constituye alguna infracción la inexistencia del documento de seguridad? Se considera una infracción grave "Mantener lo ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen" Artículo 43.h) Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en adelante LOPD). Dónde se encuentra el fundamento legal de la obligatoriedad de adopción del documento de seguridad? El artículo 9 de la LOPD, establece en su párrafo 1 que "El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural". 4.- CONTENIDO Desde el punto de vista de la Seguridad Informática, el Documento de Seguridad no es sino una parte más de las llamadas Políticas de Seguridad, que recogen y establecen toda una serie de procedimientos, controles, auditorias y actuaciones frente a contingencias e incidencias que pueden acaecer sobre un sistema informático. Desde la órbita de la LOPD, el Documento de Seguridad es un documento de carácter privado y de obligado cumplimiento para todo el personal de la Empresa que acceda a los Ficheros de datos de carácter personal y a los Sistemas de Información, en el que deben quedar plasmadas y recogidas todas las políticas, reglas, medidas y procedimientos de seguridad establecidos por el Responsable del Fichero. El documento de seguridad es una de las partes fundamentales de la protección de datos. Se trata de un documento mediante el cual se elabora y adoptan las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos de carácter personal, su adopción es de obligado cumplimiento para el responsable del fichero, o en su caso, del encargado del tratamiento. El Documento de Seguridad deberá describir las medidas de seguridad efectivamente adoptadas por la Empresa para el tratamiento de sus ficheros de datos de carácter personal. Este dato es muy importante, puesto que cada empresa tiene una organización distinta, y una de las funciones principales del documento es dar a conocer a los usuarios de los ficheros las medidas de seguridad implantadas, así como las recomendaciones, normas y procedimientos establecidos en la misma para el tratamiento de sus ficheros. 6
7 4.1. CONTENIDO GENERAL DEL DOCUMENTO DE SEGURIDAD El contenido mínimo del Documento de Seguridad deberá recoger los siguientes aspectos: a) Ámbito de aplicación del Documento con especificación detallada de los recursos protegidos. Los recursos que deberán relacionarse en este apartado del Documento son: 1.- Ficheros de datos de carácter personal protegidos por la normativa. 2.- Descripción de los equipos informáticos utilizados para su tratamiento (servidores, terminales, ordenadores). 3.- Aplicaciones informáticas utilizadas para el tratamiento de los ficheros de datos (como, por ejemplo, Bases de datos SQL, Programas de gestión, hojas de calculo, etc ). 4.- Descripción de la red de comunicaciones. 5.- Locales e ubicaciones donde será de aplicación la normativa. b) Medidas, normas, procedimientos y estándares encaminados a garantizar el nivel de seguridad exigido. En este apartado se recogen, principalmente, las directrices y procedimientos de seguridad de acceso, tanto físico como lógico; así, deben de indicarse: Los procedimientos y normas de acceso físico a las ubicaciones y locales: se relacionan los controles de acceso físico del personal a locales y oficinas, los elementos de seguridad física que se disponen, las medidas de seguridad industrial, etc No es necesario realizar una descripción exhaustiva de dichas normas, procedimientos y medidas. Los procedimientos y normas de acceso al sistema informático: asignación, distribución, almacenamiento y cambio de contraseñas de acceso al sistema y red. Los procedimientos, normas y medidas de seguridad lógica adoptados para la defensa ante ataques externos (antivirus, firewalls, cifrado de redes, control de puertos, etc ). Los procedimientos de acceso y normas de utilización de aplicaciones informáticas concretas. Los procedimientos, normas y medidas de acceso a través de Redes de Telecomunicaciones. Los procedimientos, autorizaciones y normas de trabajo en ubicaciones distintas a la principal. Las directrices de seguridad para la utilización de determinados programas de correo electrónico, protectores de pantalla, conservación de documentos, generación de contraseñas, etc 7
8 c) Funciones y obligaciones del personal. El Documento de Seguridad debe recoger las principales funciones y obligaciones del personal que accede a los datos de los ficheros; deberán definirse y recogerse los tipos de acceso y permisos, pudiendo relacionarse por grupos de usuarios, por perfiles de usuarios, por funciones laborales, etc... Además, deberá recogerse una lista actualizada de los usuarios que acceden a los sistemas de información, así como aquellos usuarios autorizados a acceder a cada uno de los ficheros de datos. Es recomendable que estos listados sean incorporados como Anexos al Documento de Seguridad. d) Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan. En este apartado, deberán relacionarse los diferentes Ficheros de Datos regulados por el Documento y las aplicaciones informáticas utilizadas para su tratamiento. En muchos casos, se realiza una parte expositiva en el Documento y se incorporan como Anexos al mismo dos apartados concretos: 1º.- Estructura del fichero de datos: Se incorpora la tabla de campos ID que conforman los campos del fichero. 2º.- Se especifica el nombre de la aplicación informática (programa) que se utiliza para el tratamiento de los datos; además, suelen incorporarse datos referentes al equipo-servidor en el que se encuentra almacenado el fichero. e) Procedimiento de notificación, gestión y respuesta ante incidencias. Este es uno de los aspectos principales, determinar cómo responderá la empresa y el personal que accede a los ficheros ante las incidencias que puedan surgir en los datos, en los sistemas informáticos y en los locales donde se realiza el tratamiento de los ficheros. Cada empresa puede definir, en función del tratamiento que realiza y según sus criterios de seguridad informática, cuales son las incidencias/vulnerabilidades que pueden afectar a su organización y establecer las normas y procedimientos de notificación y actuación. En muchos casos, la notificación de incidencias no queda recogida en formularios/impresos de notificación; simplemente, cuando un usuario detecta una incidencia se pone en contacto con el departamento de informática por la vía más rápida (teléfono); también, encontramos los casos de empresas que no cuentan con personal específico que controle, verifique y supervise el correcto funcionamiento de los sistemas informáticos y contrata empresas especializadas el mantenimiento y soporte de sus sistemas informáticos. 8
9 f) Los procedimientos de realización de copias de respaldo y recuperación de datos. Debe establecerse y definirse en el Documento de Seguridad cuándo, cómo y qué se incorpora a las copias de seguridad; y, en caso de que sea necesaria la restauración de los datos, cuál es el procedimiento de actuación a seguir. Es recomendable que las copias de seguridad se realicen con una frecuencia semanal. Por último, el Documento de Seguridad deberá en todo momento mantenerse actualizado y deberá ser revisado siempre que se produzcan cambios relevantes en el sistema de información y en la organización de la empresa. 5.- FORMA DEL DOCUMENTO DE SEGURIDAD Como normativa de obligado cumplimiento para todo el personal de la empresa que accede a los ficheros de datos de carácter personal al establecer y recoger las directivas de seguridad, normas y procedimientos, el Documento de Seguridad deberá quedar recogido por escrito y deberá ser distribuido, en todo o parte, para su conocimiento a todo el personal. El Documento de Seguridad deberá estar a disposición de la Agencia Española de Protección de Datos en caso que la misma lo solicite; en ese caso, la Agencia comprobará que lo establecido y recogido en el Documento de Seguridad responde con veracidad a las medidas efectivamente adoptadas. Encontramos disponibles modelos para la confección del Documento de Seguridad en la página Web de la Agencia Española de Protección de Datos así como en la página de la Agencia de Protección de Datos de la Comunidad de Madrid. a) Funciones y obligaciones del personal (art.9). El Reglamento establece que las funciones y obligaciones de cada una de las personas con acceso a los datos de carácter personal y a los sistemas de información estarán claramente definidas y documentadas; además, el personal deberá conocer las normas de seguridad establecidas y las consecuencias de su incumplimiento. En la práctica, esta medida se consigue a través del establecimiento de privilegios informáticos. A través de los mismos, podemos establecer qué usuarios pueden acceder o no a partes del sistema informático y a los ficheros; y dentro de los que tienen permitido el acceso, cuáles podrán actualizar, modificar, agregar o suprimir datos de carácter personal, así como quienes podrán autorizar el tratamiento, grabación, consulta y exportación de los ficheros. 9
10 Para conseguir que los usuarios conozcan sus funciones y las consecuencias de su incumplimiento, muchas empresas ponen a disposición de los empleados que acceden a los ficheros todo o parte del Documento de Seguridad; en otros casos, entregan un Manual de Tratamiento de Datos de carácter Personal. b) Registro de Incidencias (art.10). El procedimiento de notificación y gestión de incidencias contendrá necesariamente un registro en el que se haga constar: Tipo de incidencia, El momento en que se ha producido, Persona que realiza la notificación, Persona a quien se le comunica, y Efectos que se hubieran derivado de la incidencia. La finalidad de esta medida es, por un lado, establecer un procedimiento de notificación de incidencias: que los usuarios sepan a quién recurrir cuando se produce una incidencia y cómo deben actuar (en muchas ocasiones los usuarios de equipos informáticos tienden a buscar soluciones propias que, más que solucionar el problema, produce una pérdida de datos). Y, por otro lado, a través del Registro de las incidencias acaecidas se persigue aprender a actuar frente a las mismas, proporcionándonos una respuesta rápida y segura al problema. Conocer cómo se actuó y que incidencias se producen en nuestra empresa nos permite adoptar mejores medidas para evitarlas o, por lo menos, saber cómo actuar para que el daño sea menor. En la práctica, los Departamentos de Informática disponen de herramientas administrativas en los sistemas operativos que permiten establecer auditorias de seguridad y registros de actuaciones realizadas frente a sucesos o incidencias informáticas. c) Identificación y autenticación (art.11). El Reglamento establece que el responsable del fichero se encargará de que exista una relación actualizada de usuarios que tengan acceso autorizado al sistema de información y de establecer procedimientos de identificación y autenticación para dicho acceso. La identificación es el procedimiento de reconocimiento de la identidad de un usuario (su nombre de usuario en el sistema) y la autenticación como el procedimiento de comprobación de la identidad del usuario (la contraseña de acceso asociada al nombre de usuario). 10
11 En la práctica esta medida de seguridad está adoptada por la mayoría de las empresas, principalmente debido a que los sistemas operativos permiten la creación de cuentas de usuario personalizadas; aunque en ciertos casos las empresas optan por implantar una identificación y autenticación por grupos de usuarios (una única cuenta que es utilizada por varios usuarios) en vez de utilizar una identificación y autenticación de forma inequívoca y personalizada que es más recomendable a efectos de seguridad, tanto para la empresa como para los usuarios. Establece el Reglamento que, cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. Además, las contraseñas se cambiarán con la periodicidad que se determine en el Documento de Seguridad y mientras estén vigentes se almacenarán de forma ininteligible. La contraseña es uno de los medios existentes para validar la identidad de un usuario en su acceso al sistema, aunque la tecnología nos permite actualmente que la identificación y autenticación se produzca por otros datos biométricos. Pero al ser las contraseñas de acceso el mecanismo más utilizado, debemos adoptar e implantar procedimientos para una adecuada gestión, fijando directrices como las siguientes: Si la contraseña es generada por el Administrador del Sistema y luego es cambiada, en el primer acceso al sistema, por una contraseña personal por parte del usuario, o por el contrario no podrá ser modificada por el usuario. Si la contraseña debe tener una longitud mínima o debe contener requisitos de complejidad (letras y números). Si se establecen límites de frecuencia en la utilización de contraseñas; es decir, si no podemos repetir las últimas contraseñas que hemos utilizado. Fijar la duración mínima/máxima de vigencia de la contraseña. Establecer los procedimientos para el cambio de contraseña y los casos en los que deberá procederse a su cambio por haberse visto comprometida. Establecer los procedimientos de bloqueo y desbloqueo de cuenta por utilización reiterada de contraseñas incorrectas. Establecer los procedimientos de generación, conservación y almacenamiento seguro de contraseñas. 11
12 d) Control de Acceso (art.12). Fija el Reglamento que los usuarios tendrán acceso autorizado únicamente a aquellos datos y recursos que precisen para el desarrollo de sus funciones; que el responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a datos o recursos con derechos distintos de los autorizados. Aunque el Reglamento no fija o determina cuáles serán los mecanismos ha implantar, los sistemas operativos permiten el establecimiento de privilegios de acceso asociados a usuarios/grupos de usuarios, permitiéndonos controlar que tipo de acciones podrán ser realizadas por el usuario: desde el acceso a recursos, aplicaciones, carpetas y/o documentos, como la posibilidad de instalar y/o desinstalar programas, eliminar archivos, etc... Así, al establecer privilegios de acceso a los usuarios podemos asegurar la confidencialidad y disponibilidad de la información; pero, además, podemos: Que sólo las personas autorizadas podrán acceder a ciertos recursos (sistemas, equipos, programas, aplicaciones, bases de datos, redes, etc ) por sus funciones laborales. Nos permiten identificar y auditar los accesos realizados, estableciendo controles de seguridad internos. Documentar los procedimientos de acceso a las diferentes aplicaciones que tratan datos personales. En definitiva, controlar los accesos desde diferentes vertientes: red, sistemas y aplicaciones. Además, establece el Reglamento que la relación de usuarios a la que se refiere el art.11.1 contendrá el acceso autorizado para cada uno de ellos; y que exclusivamente el personal autorizado para ello en el Documento de Seguridad podrá conceder, alterar o anular el acceso autorizado sobre los datos y recursos, conforme a los criterios establecidos por el responsable del fichero. e) Gestión de Soportes (art.13). El Reglamento establece que los soportes informáticos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y almacenarse en un lugar con acceso restringido al personal autorizado para ello en el Documento de Seguridad. Además, la salida de soportes informáticos que contengan datos de carácter personal, fuera de los locales en los que está ubicado el fichero, únicamente podrá ser autorizada, por el responsable del fichero. 12
13 Para todas las empresas es lógico que los soportes que contienen datos de carácter personal o cualquier otro tipo de documentación esté claramente identificada y almacenada, por razones obvias; pero, es ésta es una de las medidas de seguridad sobre la que menos diligencia se pone por parte de los usuarios de los ficheros. Cada año la Agencia Española de Protección de Datos abre expedientes sancionadores por encontrar soportes (principalmente, disketes, discos duros y papel) que aparecen en lugares donde no deberían encontrarse. Para evitar este tipo de casos, debe establecerse por las empresas procedimientos de gestión de soportes y normas de utilización para todos los usuarios, en los que se establezcan directrices mínimas básicas como las siguientes: Inventariado y almacenamiento de todos los soportes informáticos. Modelo de autorización y registro de salida de soportes informáticos. Conservación y almacenamiento de soportes papel /documentación en armarios/archivadores. Cada vez que un usuario accede a documentos y/o soportes (informáticos y/o en papel) que contengan datos de carácter personal, una vez finalizado su uso deberá devolverlo a su armario/archivador. Inventariado y almacenamiento con acceso restringido a documentos y soportes calificados como confidenciales. f) Copias de Respaldo y Recuperación (art.14). El Reglamento establece en cuanto a la realización de copias de seguridad de los datos que el responsable del fichero deberá: Verificar la definición y correcta aplicación de los procedimientos de ejecución de copias de respaldo y recuperación de los datos. Los procedimientos de backup deberán garantizar la reconstrucción de los datos al estado en que se encontraban al momento anterior de producirse la pérdida o destrucción. Deberán realizarse copias de respaldo al menos semanalmente. Casi todas las empresas, independientemente de su tamaño y estructura informática, cuentan actualmente con los medios necesarios para poder realizar copias de seguridad de sus documentos y archivos informáticos (CDRW, DVDRW, dispositivos de almacenamiento USB, etc...); por ello, lo que se ha de destacar como obligación fijada por el Reglamento es: 13
14 Por una lado, la necesidad de realizar las copias de seguridad con al menos una frecuencia semanal; aunque esta frecuencia deberá variar en función principalmente del tipo de actividad y del volumen de datos y documentos informáticos generados entre copias de seguridad. Por otro lado, la necesidad de contar con un procedimiento de restauración de datos, que garantice: La reconstrucción del Sistema Operativo y su configuración (particiones, usuarios, file systems, etc...). La reinstalación de software base y programas necesarios para la ejecución de aplicaciones (entre ellos el software de backup). La reinstalación de aplicaciones informáticas necesarias para el tratamiento de los datos. Los archivos, documentos y bases de datos. Y, por último, es muy recomendable proceder al almacenamiento y conservación, en una ubicación de acceso restringido, de las copias de seguridad junto a una copia del procedimiento de restauración de datos y los programas, aplicaciones informáticas, datos de configuración y sistema operativo utilizados Cuál es el contenido del documento de seguridad de nivel básico? Artículo 8 R.D 994/1999. El documento deberá contener, como mínimo, los siguientes aspectos: Ámbito de aplicación del documento con especificación detallada de los recursos protegidos. Medidas, normas, procedimientos, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este Reglamento. Funciones y obligaciones del personal. Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan. Procedimiento de notificación, gestión y respuesta ante las incidencias. Los procedimientos de realización de copias de respaldo y de recuperación de los datos. El documento deberá mantenerse en todo momento actualizado y deberá ser revisado siempre que se produzcan cambios relevantes en el sistema de información o en la organización del mismo. 14
15 El contenido del documento deberá adecuarse, en todo momento, a las disposiciones vigentes en materia de seguridad de los datos de carácter personal. Las medidas de seguridad de nivel básico son exigibles en todos los casos. Las medidas de nivel medio complementan a la anteriores en el caso de ficheros clasificados en este nivel, y las de nivel alto, cuando deban adoptarse, incluyen también las de nivel básico y medio Es obligatorio que los empleados conozcan la existencia y contenido del documento de seguridad o sólo concierne al responsable del fichero? Toda persona con acceso a datos personales, o que intervenga en alguna fase del tratamiento de los mismos, debe ceñirse a lo establecido en el documento de seguridad, en el cual se establecerán claramente las funciones y obligaciones del personal. Artículo 9.1 R.D 994/1999. Sin embargo, es responsabilidad del responsable del fichero adoptar las medidas necesarias para que el personal conozca las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento. Artículo 9.2 R.D 994/ Cuál es el contenido del documento de seguridad de nivel medio? Artículo 15 R.D 994/1999. El documento de seguridad deberá contener, además de lo dispuesto en el artículo 8 del presente Reglamento: La identificación del responsable o responsables de seguridad: El responsable del fichero designará uno o varios responsables de seguridad encargados de coordinar y controlar las medidas definidas en el documento de seguridad. En ningún caso esta designación supone una delegación de la responsabilidad que corresponde al responsable del fichero de acuerdo con este Reglamento. Artículo 16 R.D 994/1999. Los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento. Los sistemas de información e instalaciones de tratamiento de datos se someterán a una auditoria interna o externa, que verifique el cumplimiento del presente Reglamento, de los procedimientos e instrucciones vigentes en materia de seguridad de datos, al menos, cada dos años. Artículo 17.1 R.D 994/
16 Las medidas que sea necesario adoptar cuando un soporte vaya a ser desechado o reutilizado. Deberá establecerse un sistema de registro de entrada y salida de soportes informáticos. Cuando un soporte vaya a ser desechado o reutilizado, se adoptarán las medidas necesarias para impedir cualquier recuperación posterior de la información almacenada en él, previamente a que se proceda a su baja en el inventario. Artículo 20 R.D 994/ Cuál es el contenido del documento de seguridad de nivel alto? Además de las medidas de nivel básico y medio, se adoptarán las siguientes: La distribución de los soportes que contengan datos de carácter personal se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que dicha información no sea inteligible ni manipulada durante su transporte. Artículo 23 R.D 994/1999. Registro de accesos. Artículo 24 R.D 994/1999. De cada acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido. Los mecanismos que permiten el registro de los datos detallados en los párrafos anteriores estarán bajo el control directo del responsable de seguridad competente sin que se deba permitir, en ningún caso, la desactivación de los mismos. El período mínimo de conservación de los datos registrados será de dos años. El responsable de seguridad competente se encargará de revisar periódicamente la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados al menos una vez al mes. Copias de respaldo y recuperación. Artículo 25 R.D 994/1999. Deberá conservarse una copia de respaldo y de los procedimientos de recuperación de los datos en un lugar diferente de aquél en que se encuentren los equipos informáticos que los tratan cumpliendo en todo caso, las medidas de seguridad exigidas en este Reglamento. 16
17 6.- RESUMEN La principal obligación es el establecimiento de un "Documento de Seguridad" donde se llevarán todos los registros oportunos en materia de Protección de Datos. Cada documento es distinto según el nivel de seguridad que se deba adoptar. Dicho documento deberá estar siempre disponible por si se lo requiere la Agencia de Protección de Datos, y no ha de estar inscrito: lo que se inscribe es el fichero -nos referimos a los datos que sobre el fichero se le pidan-, no el documento. Por cada fichero debe de existir un Documento de Seguridad, sin embargo, pensamos que es más flexible agrupar todos los ficheros según el nivel de seguridad de éstos y realizar un Documento de Seguridad para cada uno de ellos (por ejemplo, un Documento de Seguridad para todos los ficheros que contengan Medidas de Seguridad de nivel básico). El documento está compuesto de dos partes: un texto explicativo donde redactaremos las obligaciones del personal, obligaciones generales, medidas a adoptar, etc, y un libro de registros donde llevaremos los registros oportunos. La Ley advierte que ha de ser el Responsable del Fichero (en nivel básico) o el Responsable de Seguridad quien proceda a la cumplimentación pero creemos necesaria la ayuda de todo el colectivo de la entidad en cuestión. Haga varias copias del Documento de Seguridad y manténgalas a mano. A tenor del artículo 44.3 h) LOPD se considera infracción grave mantener los ficheros sin las debidas Medidas de Seguridad pertinentes establecidas en el Reglamento. 7.- BIBLIOGRAFÍA EMILIO DEL PESO NAVARRO (coor) (2004). El Documento de seguridad. Análisis técnico y jurídico. Modelo. Diez de Santos-IEE. Madrid. 17
18 8.- GLOSARIO Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados. Tercero: la persona física o jurídica, pública o privada u órgano administrativo distinto del afectado o interesado, del responsable del tratamiento, del responsable del fichero, del encargado del tratamiento y de las personas autorizadas para tratar los datos bajo la autoridad directa del responsable del tratamiento o del encargado del tratamiento. Podrán ser también terceros los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados. Tratamiento de datos: cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. Accesos autorizados: autorizaciones concedidas a un usuario para la utilización de los diversos recursos. En su caso, incluirán las autorizaciones o funciones que tenga atribuidas un usuario por delegación del responsable del fichero o tratamiento o del responsable de seguridad. Autenticación: procedimiento de comprobación de la identidad de un usuario. Contraseña: información confidencial, frecuentemente constituida por una cadena de caracteres, que puede ser usada en la autenticación de un usuario o en el acceso a un recurso. Control de acceso: mecanismo que en función de la identificación ya autenticada permite acceder a datos o recursos. Copia de respaldo: copia de los datos de un fichero automatizado en un soporte que posibilite su recuperación. Documento: todo escrito, gráfico, sonido, imagen o cualquier otra clase de información que puede ser tratada en un sistema de información como una unidad diferenciada. 18
19 Ficheros temporales: ficheros de trabajo creados por usuarios o procesos que son necesarios para un tratamiento ocasional o como paso intermedio durante la realización de un tratamiento. Identificación: procedimiento de reconocimiento de la identidad de un usuario. Incidencia: cualquier anomalía que afecte o pudiera afectar a la seguridad de los datos. Perfil de usuario: accesos autorizados a un grupo de usuarios. Recurso: cualquier parte componente de un sistema de información. Responsable de seguridad: persona o personas a las que el responsable del fichero ha asignado formalmente la función de coordinar y controlar las medidas de seguridad aplicables. Sistema de información: conjunto de ficheros, tratamientos, programas, soportes y en su caso, equipos empleados para el tratamiento de datos de carácter personal. Sistema de tratamiento: modo en que se organiza o utiliza un sistema de información. Atendiendo al sistema de tratamiento, los sistemas de información podrán ser automatizados, no automatizados o parcialmente automatizados. Soporte: objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos. Transmisión de documentos: cualquier traslado, comunicación, envío, entrega o divulgación de la información contenida en el mismo. Usuario: sujeto o proceso autorizado para acceder a datos o recursos. Tendrán la consideración de usuarios los procesos que permitan acceder a datos o recursos sin identificación de un usuario físico. 19