Source: http://diariolaley.laley.es/home/DT0000243448/20170317/El-esquema-nacional-de-seguridad-como-mecanismo-de-certificacion-del-reglamento-
Timestamp: 2017-11-20 13:38:11
Document Index: 206315253

Matched Legal Cases: ['artículo 32', 'artículo 32', 'artículo 40', 'artículo 42', 'artículo 42', 'artículo 156', 'artículo 43', 'artículo 70']

El esquema nacional de seguridad como...
- Documentos visitados -Grave machismo sexual de un trabajador hacia sus nuevas co...Tercer Congreso Enatic; Adaptados al cambio y mirando al f...Un año de «Érase una vez los Derechos de la Infancia»Banco del Tiempo en clave jurídica y de géneroEl concepto jurídico "volumen elevado" de la música en los...La DGRN se inclina por considerar que corresponde al consu...Responsabilidad patrimonial del Ayuntamiento por lesiones ...Impugnación judicial o arbitral de fusiones y escisionesEl juez ve violencia en la amenaza de los independentistas...La Fiscalía Superior de Cataluña dicta una Instrucción dir...
ResultadoUn puntoUn puntoUn puntoUn puntoMedio punto"24 votos"
LA LEY 2813/2017
RD 3/2010 de 8 Ene. (Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica)
Esto es lo que parece indicar el artículo 32.1 del RGPD, (LA LEY 6637/2016) cuando señala:
a) "La seudonimización y el cifrado de datos personales".»
De la misma manera, el artículo 32.2 (LA LEY 6637/2016) deja claro que, a la hora de evaluar la seguridad del sistema de información, se pondrá especial atención a los riesgos a los que puede verse sometido, como, por ejemplo, la destrucción, pérdida o deterioro de la información, o la comunicación no autorizada, situaciones todas ellas ligadas a las antedichas dimensiones de la seguridad.
• Protección de Datos desde el diseño, lo que significa que el proceso de desarrollo de software debe contemplar la seguridad de la información tratada.
• Protección de Datos por defecto, consiste en aplicar todas las medidas necesarias para garantizar que la información almacenada en el sistema no es puesta en peligro, intentando reducir al máximo la superficie de ataque.
• Medidas de Seguridad, lo que significa adoptar las medidas de seguridad que sean necesarias en relación con los riesgos razonables a los que el sistema de información está expuesto.
• Mantenimiento de un Registro de Tratamientos, consiste en saber a cada momento quien puede hacer qué y mantener actualizado de forma permanente ese registro.
• Evaluaciones de Impacto sobre la protección de datos, lo que implica la realización de análisis periódicos en relación con las consecuencias que tendrían los ciberincidentes.
• Nombramiento de Delegado de Protección de Datos, una nueva figura, entre cuyas obligaciones destaca la de cooperar con las «autoridades de control» (la AEPD, en España), informar y asesorar a los Responsables y Encargados del tratamiento de sus obligaciones, supervisar el cumplimiento de la legislación de referencia y de la política corporativa.
• Notificación de violaciones de la seguridad de los datos, en virtud de la cual cada organismo deberá notificar todos aquellos incidentes en los que se haya podido ver afectada la información de carácter personal que trate.
• Promoción de Códigos de Conducta y Esquemas de Certificación, posibilitando que las organizaciones utilicen tales herramientas como garantía de conformidad con lo dispuesto en el RGPD.
La conveniencia de disponer de mecanismos de certificación en relación con las obligaciones emanadas del RGPD queda especialmente clara en la redacción del Considerando 100, (LA LEY 6637/2016) que señala:
No es este el único fragmento del texto europeo que alienta la adopción de tales mecanismos de certificación. Así, el art. 24.3 del RGPD (LA LEY 6637/2016) señala que «La adhesión a un código de conducta aprobado a tenor del artículo 40 (LA LEY 6637/2016) o a un mecanismo de certificación aprobado a tenor del artículo 42 (LA LEY 6637/2016) podrá servir de elemento para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento».
Esta posibilidad de adoptar modelos existentes queda claramente de manifiesto en la potestad que se autootorga la UE —en el Considerando 77 (LA LEY 6637/2016)— para publicar directrices de aplicación de las medidas oportunas y para demostrar el cumplimiento por parte de los obligados, especialmente con respecto a la identificación del riesgo relacionado con el tratamiento, a su evaluación en términos de origen, naturaleza, probabilidad y gravedad y a la identificación de buenas prácticas para mitigar el riesgo, que revistan, en particular, la forma de códigos de conducta aprobados, certificaciones aprobadas, directrices dadas por el Comité o indicaciones proporcionadas por un delegado de protección de datos.
La necesidad de contar con sellos o distintivos normalizados que exhiban erga omnes la conformidad con un mecanismo de certificación concreto se recoge también en el RGPD, cuyo artículo 42.1 (LA LEY 6637/2016)señala: «Los Estados miembros, las autoridades de control, el Comité y la Comisión promoverán, en particular a nivel de la Unión, la creación de mecanismos de certificación en materia de protección de datos y de sellos y marcas de protección de datos a fin de demostrar…».
Obviamente, como señala el art. 42.4 (LA LEY 6637/2016), la obtención de una determinada Certificación no limita la responsabilidad del responsable o encargado del tratamiento en cuanto al cumplimiento del RGPD.
Como es sabido, el ENS es un instrumento legal regulado por el Real Decreto 3/2010, que desarrolla lo previsto sobre seguridad de la información en el artículo 156.2 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LA LEY 15011/2015) (en adelante, LRJSP), que señala: «El Esquema Nacional de Seguridad tiene por objeto establecer la política de seguridad en la utilización de medios electrónicos en el ámbito de la presente Ley, y está constituido por los principios básicos y requisitos mínimos que garanticen adecuadamente la seguridad de la información tratada. Será aplicado por las Administraciones públicas para asegurar el acceso, integridad, disponibilidad, autenticidad, confidencialidad, trazabilidad y conservación de los datos, informaciones y servicios utilizados en medios electrónicos que gestionen en el ejercicio de sus competencias».
1) Elaborar y aprobar la Política de Seguridad (art. 11 (LA LEY 630/2010)).
2) Definir roles y asignar personas a las responsabilidades señaladas en el ENS, entre ellos, al Responsable de Seguridad (art. 10 (LA LEY 630/2010)).
3) Categorizar los sistemas de información (Básica, Media o Alta, art. 27 (LA LEY 630/2010)).
5) Seleccionar las medidas y elaborar la Declaración de Aplicabilidad, implantando tales medidas (Anexo II (LA LEY 630/2010)).
6) Auditar la seguridad (art. 34 (LA LEY 630/2010)).
7) Publicar la Conformidad (art. 41 (LA LEY 630/2010)).
8) Informar del Estado de la Seguridad (art. 35 (LA LEY 630/2010)).
Como hemos visto, el art. 32.1.b) del RGPD (LA LEY 6637/2016), menciona explícitamente las dimensiones de seguridad que han de aplicar el Responsable y Encargado de tratamiento (Disponibilidad, Autenticidad, Trazabilidad, Confidencialidad e Integridad), todas ellas están comprendidas en las garantías tratadas por el ENS, este esquema de seguridad se erige en un mecanismo de certificación especialmente idóneo, también para atender las exigencias en materia de Protección de Datos. La idoneidad del ENS como Mecanismo de Certificación es predicable, además, de la obligación que impone a sus destinatarios de realizar la lista de acciones que hemos señalado en el epígrafe anterior y, muy especialmente, y por la parte que ahora interesa:
• Analizar los riesgos y mantener dicho análisis actualizado: aplicando las medidas de seguridad indicadas en el Anexo II del ENS (LA LEY 630/2010), y teniendo en cuenta los activos que constituyen el sistema, la categoría del sistema y las decisiones que se adopten para gestionar los riesgos identificados.
Respecto de los dos últimos puntos, hay que tener en cuenta que los Organismos de Evaluación del RGPD (Entidades de Certificación, en terminología del ENS) encargados de auditar los sistemas afectados son a su vez evaluados y acreditados por la Entidad Nacional de Acreditación (ENAC). El Art 42.5 del RGPD (LA LEY 6637/2016)refleja también complementa este principio: «La certificación en virtud del presente artículo será expedida por los organismos de certificación a que se refiere el artículo 43 (LA LEY 6637/2016)o por la autoridad de control competente…», estando en cualquier caso sometidos al control de la autoridad competente (AEPD, en España), a la que el RGPD otorga las siguientes funciones: Elaborar y publicar los criterios de acreditación de las Entidades de Certificación (art. 57.1.p (LA LEY 6637/2016)), en su caso, acreditar a tales entidades (arts. 43.1.a (LA LEY 6637/2016)y 57.1.q (LA LEY 6637/2016)), aprobar los criterios de certificación (art. 57.1.n (LA LEY 6637/2016)), expedir (art. 42.5 (LA LEY 6637/2016)) y, revisar periódicamente los certificados expedidos (art. 57.1.o (LA LEY 6637/2016)), todo ello dentro de sus funciones esenciales de promoción y fomento de los mecanismos de certificación, recogidas en los artículos 42.1 (LA LEY 6637/2016) y 57.1.n (LA LEY 6637/2016), respectivamente, del RGPD.
Finalmente, el artículo 70.1.o) (LA LEY 6637/2016)prevé que el Comité Europeo de Protección de Datos llevará un registro de todos los mecanismos de certificación y sellos y marcas de protección de datos y estarán por los medios apropiados a disposición pública.
Así, por ejemplo, la utilización de los Sellos de Prestador Cualificado de Servicios de Confianza, a tenor de lo dispuesto en el Reglamento (UE) n.o 910/2014 (LA LEY 13356/2014)del Parlamento Europeo y del Consejo relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE (LA LEY 10272/1999).
Javier del Pozo|03/04/2017 13:36:29
El artículo me ha parecido bastante interesante. Entiendo que la Protección de Datos es una materia multidisciplinar y uno de los aspectos más relevantes para mí es la necesidad de impulsar un Delegado de Protección de Datos a nivel organizacional. Esa figura es imprescindible hoy en día tanto para las administraciones públicas como privadas, y si bien a través de las diferentes leyes se establecen los procedimientos por los que regular y actuar en beneficio de la seguridad en torno a la información, creo que es fundamental impulsar una cultura “general” de Protección de Datos. ¿Cómo puede ser compatible regular y subrayar la importancia de la Protección de Datos en una sociedad en la que te “anima” a compartir tú día a día en los perfiles sociales dejando al alcance de cualquier información sensible? Esa cultura de transparencia y visibilidad se puede volver en contra de las organizaciones si no se fomenta una cultura de Protección de Datos tanto entre los empleados que tienen acceso a información sensible como entre el resto de la plantilla, y el Delgado de Protección de Datos es el candidato perfecto para ocupar esa tarea tan necesaria. Muy buen artículo.Notificar comentario inapropiado
María León|31/03/2017 11:24:47
Muy interesante el artículo, estoy totalmente de acuerdo con la idea de que no es necesario buscar o crear nuevos procedimientos para cumplir con las exigencias del nuevo reglamento de protección de datos, puesto que disponemos de herramientas suficientes en nuestro sistema como para completar de manera eficaz y segura el reglamento. Y me parece una fantástica idea utilizar el Esquema Nacional de Seguridad como mecanismo de certificación del RGPD.Notificar comentario inapropiado