Source: http://www.slideshare.net/pagonzalez/avpd-resumen-articulado-seguridad-rd17202007-v2012
Timestamp: 2016-05-24 22:08:34
Document Index: 294197765

Matched Legal Cases: ['Artículo 80', 'Artículo 81', 'artículo 103', 'Artículo 82', 'artículo 88', 'Artículo 84', 'Artículo 85', 'artículo 80', 'Artículo 86', 'Artículo 87', 'artículo 81', 'Artículo 88', 'artículo 12', 'Artículo 88', 'Artículo 91', 'Artículo 92', 'Artículo 97', 'artículo 90', 'artículo 80', 'artículo 81']

Avpd - Resumen del articulado sobre seguridad en el RD-1720-2007 - ve…
Avpd - Resumen del articulado sobre seguridad en el RD-1720-2007 - versión 2014
Cómo legalizar una instalación de v...
by Proytelcom
by TrabajoRRHH
Pedro Alberto Gonzalez, CISA - Responsable del Registro y Auditoría de Ficheros en AVPD
El documento presenta un resumen del articulado sobre seguridad, presentado en forma de tabla para facilitar su consulta. Se cruzan los diferentes puntos de control contra los tres niveles de seguridad, presentando para cada caso el texto de los artículos aplicables.
c/ Beato Tomás de Zumárraga, 71, 3º - 01008 Vitoria – Gasteiz - Tel. 945 016 230 - Fax. 945 016 231 avpd@avpd.es - www.avpd.es
RREESSUUMMEENN DDEE LLAASS
MMEEDDIIDDAASS DDEE SSEEGGUURRIIDDAADD EENN EELL
RREEGGLLAAMMEENNTTOO RRDD--11772200//22000077
revisión : 2014
Datuak Babesteko Euskal Bulegoa / Agencia Vasca de Protección de Datos - c/ Beato Tomás de Zumárraga, 71, 3º - 01008 Vitoria – Gasteiz - Tel. 945 016 230 - Fax. 945 016 231 avpd@avpd.es - www.avpd.es 3
Medidas Medidas de Seguridad en el Reglamento RD-1720/2007 –Articulado de aplicación común
Artículo 80. Niveles de
Artículo 81. Aplicación
2. Deberán implantarse, además de las medidas de seguridad de nivel básico, las medidas de nivel medio, en los siguientes ficheros o tratamientos de datos de
e) Aquéllos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus
competencias. De igual modo, aquellos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad
f) Aquéllos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos
y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos.
4. A los ficheros de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de
comunicaciones electrónicas respecto a los datos de tráfico y a los datos de localización, se aplicarán, además de las medidas de seguridad de nivel básico y medio, la
medida de seguridad de nivel alto contenida en el artículo 103 de este reglamento.
5. En caso de ficheros o tratamientos de datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual bastará la implantación de las
medidas de seguridad de nivel básico cuando:
b) Se trate de ficheros o tratamientos no automatizados en los que de forma incidental o accesoria se contengan aquellos datos sin guardar relación con su
6. También podrán implantarse las medidas de seguridad de nivel básico en los ficheros o tratamientos que contengan datos relativos a la salud, referentes
exclusivamente al grado de discapacidad o la simple declaración de la condición de discapacidad o invalidez del afectado, con motivo del cumplimiento de deberes
7. Las medidas incluidas en cada uno de los niveles descritos anteriormente tienen la condición de mínimos exigibles, sin perjuicio de las disposiciones legales o
reglamentarias específicas vigentes que pudieran resultar de aplicación en cada caso o las que por propia iniciativa adoptase el responsable del fichero.
8. A los efectos de facilitar el cumplimiento de lo dispuesto en este Título, cuando en un sistema de información existan ficheros o tratamientos que en función de su
finalidad o uso concreto, o de la naturaleza de los datos que contengan, requieran la aplicación de un nivel de medidas de seguridad diferente al del sistema principal,
podrán segregarse de este último, siendo de aplicación en cada caso el nivel de medidas de seguridad correspondiente y siempre que puedan delimitarse los datos
afectados y los usuarios con acceso a los mismos, y que esto se haga constar en el documento de seguridad.
Artículo 82. Encargado
1. Cuando el responsable del fichero o tratamiento facilite el acceso a los datos, a los soportes que los contengan o a los recursos del sistema de información que los
trate, a un encargado de tratamiento que preste sus servicios en los locales del primero deberá hacerse constar esta circunstancia en el documento de seguridad de
dicho responsable, comprometiéndose el personal del encargado al cumplimiento de las medidas de seguridad previstas en el citado documento.
Cuando dicho acceso sea remoto habiéndose prohibido al encargado incorporar tales datos a sistemas o soportes distintos de los del responsable, este último deberá
hacer constar esta circunstancia en el documento de seguridad del responsable, comprometiéndose el personal del encargado al cumplimiento de las medidas de
seguridad previstas en el citado documento.
2. Si el servicio fuera prestado por el encargado del tratamiento en sus propios locales, ajenos a los del responsable del fichero, deberá elaborar un documento de
seguridad en los términos exigidos por el artículo 88 de este reglamento o completar el que ya hubiera elaborado, en su caso, identificando el fichero o tratamiento y el
responsable del mismo e incorporando las medidas de seguridad a implantar en relación con dicho tratamiento.
Datuak Babesteko Euskal Bulegoa / Agencia Vasca de Protección de Datos - c/ Beato Tomás de Zumárraga, 71, 3º - 01008 Vitoria – Gasteiz - Tel. 945 016 230 - Fax. 945 016 231 avpd@avpd.es - www.avpd.es 4
servicios sin acceso a
El responsable del fichero o tratamiento adoptará las medidas adecuadas para limitar el acceso del personal a datos personales, a los soportes que los contengan o a
los recursos del sistema de información, para la realización de trabajos que no impliquen el tratamiento de datos personales.
Cuando se trate de personal ajeno, el contrato de prestación de servicios recogerá expresamente la prohibición de acceder a los datos personales y la obligación de
secreto respecto a los datos que el personal hubiera podido conocer con motivo de la prestación del servicio.
Artículo 84. Delegación
de autorizaciones.
Las autorizaciones que en este Título se atribuyen al responsable del fichero o tratamiento podrán ser delegadas en las personas designadas al efecto. En el
documento de seguridad deberán constar las personas habilitadas para otorgar estas autorizaciones así como aquellas en las que recae dicha delegación. En ningún
caso esta designación supone una delegación de la responsabilidad que corresponde al responsable del fichero.
Artículo 85. Acceso a
datos a través de redes
Las medidas de seguridad exigibles a los accesos a datos de carácter personal a través de redes de comunicaciones, sean o no públicas, deberán garantizar un nivel
de seguridad equivalente al correspondiente a los accesos en modo local, conforme a los criterios establecidos en el artículo 80.
(… solo para ficheros automatizados …)
Artículo 86. Régimen de
trabajo fuera de los
locales del responsable
del fichero o encargado
1. Cuando los datos personales se almacenen en dispositivos portátiles o se traten fuera de los locales del responsable de fichero o tratamiento, o del encargado del
tratamiento será preciso que exista una autorización previa del responsable del fichero o tratamiento, y en todo caso deberá garantizarse el nivel de seguridad
correspondiente al tipo de fichero tratado.
2. La autorización a la que se refiere el párrafo anterior tendrá que constar en el documento de seguridad y podrá establecerse para un usuario o para un perfil de
usuarios y determinando un periodo de validez para las mismas.
Artículo 87. Ficheros
temporales o copias de
trabajo de documentos.
1. Aquellos ficheros temporales o copias de documentos que se hubiesen creado exclusivamente para la realización de trabajos temporales o auxiliares deberán cumplir
el nivel de seguridad que les corresponda conforme a los criterios establecidos en el artículo 81.
Artículo 88. El
1. El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a la normativa de
seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información.
2. El documento de seguridad podrá ser único y comprensivo de todos los ficheros o tratamientos, o bien individualizado para cada fichero o tratamiento. También
podrán elaborarse distintos documentos de seguridad agrupando ficheros o tratamientos según el sistema de tratamiento utilizado para su organización, o bien
atendiendo a criterios organizativos del responsable. En todo caso, tendrá el carácter de documento interno de la organización.
3 y 4. El documento deberá contener, como mínimo, los siguientes aspectos (… véase en las medidas específicas …)
5. Cuando exista un tratamiento de datos por cuenta de terceros, el documento de seguridad deberá contener la identificación de los ficheros o tratamientos que se
traten en concepto de encargado con referencia expresa al contrato o documento que regule las condiciones del encargo, así como de la identificación del responsable
y del período de vigencia del encargo.
6. En aquellos casos en los que datos personales de un fichero o tratamiento se incorporen y traten de modo exclusivo en los sistemas del encargado, el responsable
deberá anotarlo en su documento de seguridad. Cuando tal circunstancia afectase a parte o a la totalidad de los ficheros o tratamientos del responsable, podrá
delegarse en el encargado la llevanza del documento de seguridad, salvo en lo relativo a aquellos datos contenidos en recursos propios. Este hecho se indicará de
modo expreso en el contrato celebrado al amparo del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, con especificación de los ficheros o tratamientos
7. El documento de seguridad deberá mantenerse en todo momento actualizado y será revisado siempre que se produzcan cambios relevantes en el sistema de
información, en el sistema de tratamiento empleado, en su organización, en el contenido de la información incluida en los ficheros o tratamientos o, en su caso, como
consecuencia de los controles periódicos realizados. En todo caso, se entenderá que un cambio es relevante cuando pueda repercutir en el cumplimiento de las
8. El contenido del documento de seguridad deberá adecuarse, en todo momento, a las disposiciones vigentes en materia de seguridad de los datos de carácter
Datuak Babesteko Euskal Bulegoa / Agencia Vasca de Protección de Datos - c/ Beato Tomás de Zumárraga, 71, 3º - 01008 Vitoria – Gasteiz - Tel. 945 016 230 - Fax. 945 016 231 avpd@avpd.es - www.avpd.es 5
MEDIDAS ESPECÍFICAS DE CADA UNO DE LOS NIVELES
MEDIDAS Nivel BÁSICO Nivel MEDIO Nivel ALTO
Artículo 88. (…)
3. El documento deberá contener, como mínimo, los
a) Ámbito de aplicación del documento con
especificación detallada de los recursos
b) Medidas, normas, procedimientos de
actuación, reglas y estándares encaminados a
garantizar el nivel de seguridad exigido en este
c) Funciones y obligaciones del personal en
relación con el tratamiento de los datos de
carácter personal incluidos en los ficheros.
d) Estructura de los ficheros con datos de
carácter personal y descripción de los sistemas
de información que los tratan.
e) Procedimiento de notificación, gestión y
respuesta ante las incidencias.
f) Los procedimientos de realización de copias de
respaldo y de recuperación de los datos en los
ficheros o tratamientos automatizados.
g) Las medidas que sea necesario adoptar para
el transporte de soportes y documentos, así
como para la destrucción de los documentos y
soportes, o en su caso, la reutilización de estos
4. En caso de que fueran de aplicación a los ficheros las medidas de seguridad de nivel medio o las medidas
de seguridad de nivel alto, previstas en este Título, el documento de seguridad deberá contener además:
b) Los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el
Artículos 95 y 109. Responsable de seguridad.
En el documento de seguridad deberán designarse uno o varios responsables de seguridad encargados de
coordinar y controlar las medidas definidas en el mismo. Esta designación puede ser única para todos los
ficheros o tratamientos de datos de carácter personal o diferenciada según los sistemas de tratamiento
utilizados, circunstancia que deberá hacerse constar claramente en el documento de seguridad.
En ningún caso esta designación supone una exoneración de la responsabilidad que corresponde al
responsable del fichero o al encargado del tratamiento de acuerdo con este Reglamento.
Artículos 96 y 110. Auditoria.
1. A partir del nivel medio, los sistemas de información e instalaciones de tratamiento y almacenamiento de
datos se someterán, al menos cada dos años, a una auditoria interna o externa que verifique el cumplimiento
Con carácter extraordinario deberá realizarse dicha auditoria siempre que se realicen modificaciones
sustanciales en el sistema de información que puedan repercutir en el cumplimiento de las medidas de
seguridad implantadas con el objeto de verificar la adaptación, adecuación y eficacia de las mismas. Esta
auditoria inicia el cómputo de dos años señalado en el párrafo anterior.
2. El informe de auditoria deberá dictaminar sobre la adecuación de las medidas y controles a la Ley y su
desarrollo reglamentario, identificar sus deficiencias y proponer las medidas correctoras o complementarias
necesarias. Deberá, igualmente, incluir los datos, hechos y observaciones en que se basen los dictámenes
alcanzados y las recomendaciones propuestas.
3. Los informes de auditoria serán analizados por el responsable de seguridad competente, que elevará las
conclusiones al responsable del fichero o tratamiento para que adopte las medidas correctoras adecuadas y
quedarán a disposición de la Agencia Española de Protección de Datos o, en su caso, de las autoridades de
1. Las funciones y obligaciones de cada uno de los usuarios o perfiles de usuarios con acceso a los datos de carácter personal y a los sistemas de información estarán
claramente definidas y documentadas en el documento de seguridad.
2. El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que
afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento.
Datuak Babesteko Euskal Bulegoa / Agencia Vasca de Protección de Datos - c/ Beato Tomás de Zumárraga, 71, 3º - 01008 Vitoria – Gasteiz - Tel. 945 016 230 - Fax. 945 016 231 avpd@avpd.es - www.avpd.es 6
1. El responsable del fichero o tratamiento deberá adoptar
las medidas que garanticen la correcta identificación y
2. El responsable del fichero o tratamiento establecerá
un mecanismo que permita la identificación de forma
inequívoca y personalizada de todo aquel usuario que
intente acceder al sistema de información y la
verificación de que está autorizado.
3. Cuando el mecanismo de autenticación se base en la
existencia de contraseñas existirá un procedimiento de
asignación, distribución y almacenamiento que garantice
su confidencialidad e integridad.
4. El documento de seguridad establecerá la periodicidad,
que en ningún caso será superior a un año, con la que
tienen que ser cambiadas las contraseñas que, mientras
estén vigentes, se almacenarán de forma ininteligible.
establecerá un mecanismo que limite la
posibilidad de intentar reiteradamente el acceso
no autorizado al sistema de información.
1. De cada intento de acceso se guardarán, como
mínimo, la identificación del usuario, la fecha y hora en
que se realizó, el fichero accedido, el tipo de acceso y si
ha sido autorizado o denegado.
2. En el caso de que el acceso haya sido autorizado,
será preciso guardar la información que permita
identificar el registro accedido.
3. Los mecanismos que permiten el registro de accesos
estarán bajo el control directo del responsable de
seguridad competente sin que deban permitir la
desactivación ni la manipulación de los mismos.
4. El período mínimo de conservación de los datos
registrados será de dos años.
5. El responsable de seguridad se encargará de revisar
al menos una vez al mes la información de control
registrada y elaborará un informe de las revisiones
6. No será necesario el registro de accesos definido en
este artículo en caso de que concurran las siguientes
a) Que el responsable del fichero o del tratamiento sea
b) Que el responsable del fichero o del tratamiento
garantice que únicamente él tiene acceso y trata los
La concurrencia de las dos circunstancias a las que se
refiere el apartado anterior deberá hacerse constar
expresamente en el documento de seguridad.
Control de acceso Artículo 91. Control de acceso.
1. Los usuarios tendrán acceso únicamente a aquellos
recursos que precisen para el desarrollo de sus funciones.
2. El responsable del fichero se encargará de que exista
una relación actualizada de usuarios y perfiles de
usuarios, y los accesos autorizados para cada uno de
3. El responsable del fichero establecerá mecanismos
para evitar que un usuario pueda acceder a recursos con
4. Exclusivamente el personal autorizado para ello en el
documento de seguridad podrá conceder, alterar o anular
el acceso autorizado sobre los recursos, conforme a los
criterios establecidos por el responsable del fichero.
5. En caso de que exista personal ajeno al responsable
del fichero que tenga acceso a los recursos deberá estar
sometido a las mismas condiciones y obligaciones de
seguridad que el personal propio.
Exclusivamente el personal autorizado en el
documento de seguridad podrá tener acceso a los
lugares donde se hallen instalados los equipos
físicos que den soporte a los sistemas de
Datuak Babesteko Euskal Bulegoa / Agencia Vasca de Protección de Datos - c/ Beato Tomás de Zumárraga, 71, 3º - 01008 Vitoria – Gasteiz - Tel. 945 016 230 - Fax. 945 016 231 avpd@avpd.es - www.avpd.es 7
Gestión de soportes Artículo 92. Gestión de soportes y documentos.
1. Los soportes y documentos que contengan datos de
carácter personal deberán permitir identificar el tipo de
información que contienen, ser inventariados y solo
deberán ser accesibles por el personal autorizado para
ello en el documento de seguridad.
Se exceptúan estas obligaciones cuando las
características físicas del soporte imposibiliten su
cumplimiento, quedando constancia motivada de ello en el
2. La salida de soportes y documentos que contengan
datos de carácter personal, incluidos los comprendidos y/o
anejos a un correo electrónico, fuera de los locales bajo el
control del responsable del fichero o tratamiento deberá
ser autorizada por el responsable del fichero o
encontrarse debidamente autorizada en el documento de
3. En el traslado de la documentación se adoptarán las
medidas dirigidas a evitar la sustracción, pérdida o acceso
indebido a la información durante su transporte.
4. Siempre que vaya a desecharse cualquier documento o
soporte que contenga datos de carácter personal deberá
procederse a su destrucción o borrado, mediante la
adopción de medidas dirigidas a evitar el acceso a la
información contenida en el mismo o su recuperación
5. La identificación de los soportes que contengan datos
de carácter personal que la organización considerase
especialmente sensibles se podrá realizar utilizando
sistemas de etiquetado comprensibles y con significado
que permitan a los usuarios con acceso autorizado a los
citados soportes y documentos identificar su contenido, y
que dificulten la identificación para el resto de personas.
Artículo 97. Gestión de soportes y
1. Deberá establecerse un sistema de registro de
entrada de soportes que permita, directa o
indirectamente, conocer el tipo de documento o
soporte, la fecha y hora, el emisor, el número de
documentos o soportes incluidos en el envío, el
tipo de información que contienen, la forma de
envío y la persona responsable de la recepción
que deberá estar debidamente autorizada.
2. Igualmente, se dispondrá de un sistema de
registro de salida de soportes que permita, directa
o indirectamente, conocer el tipo de documento o
soporte, la fecha y hora, el destinatario, el número
de documentos o soportes incluidos en el envío,
el tipo de información que contienen, la forma de
envío y la persona responsable de la entrega que
deberá estar debidamente autorizada.
1. La identificación de los soportes se deberá realizar
utilizando sistemas de etiquetado comprensibles y con
significado que permitan a los usuarios con acceso
autorizado a los citados soportes y documentos
identificar su contenido, y que dificulten la identificación
para el resto de personas.
2. La distribución de los soportes que contengan datos
de carácter personal se realizará cifrando dichos datos o
bien utilizando otro mecanismo que garantice que dicha
información no sea accesible o manipulada durante su
Asimismo, se cifrarán los datos que contengan los
dispositivos portátiles cuando éstos se encuentren fuera
de las instalaciones que están bajo el control del
3. Deberá evitarse el tratamiento de datos de carácter
personal en dispositivos portátiles que no permitan su
cifrado. En caso de que sea estrictamente necesario se
hará constar motivadamente en el documento de
seguridad y se adoptarán medidas que tengan en cuenta
los riesgos de realizar tratamientos en entornos
Datuak Babesteko Euskal Bulegoa / Agencia Vasca de Protección de Datos - c/ Beato Tomás de Zumárraga, 71, 3º - 01008 Vitoria – Gasteiz - Tel. 945 016 230 - Fax. 945 016 231 avpd@avpd.es - www.avpd.es 8
de respaldo y de
1. Deberán establecerse procedimientos de actuación para la realización como mínimo semanal de copias de
respaldo, salvo que en dicho período no se hubiera producido ninguna actualización de los datos.
2. Asimismo, se establecerán procedimientos para la recuperación de los datos que garanticen en todo
momento su reconstrucción en el estado en que se encontraban al tiempo de producirse la pérdida o
Únicamente, en el caso de que la pérdida o destrucción afectase a ficheros o tratamientos parcialmente
automatizados, y siempre que la existencia de documentación permita alcanzar el objetivo al que se refiere el
párrafo anterior, se deberá proceder a grabar manualmente los datos quedando constancia motivada de este
hecho en el documento de seguridad.
3. El responsable del fichero se encargará de verificar cada seis meses la correcta definición, funcionamiento
y aplicación de los procedimientos de realización de copias de respaldo y de recuperación de los datos.
4. Las pruebas anteriores a la implantación o modificación de los sistemas de información que traten ficheros
con datos de carácter personal no se realizarán con datos reales, salvo que se asegure el nivel de seguridad
correspondiente al tratamiento realizado y se anote su realización en el documento de seguridad.
Si está previsto realizar pruebas con datos reales, previamente deberá haberse realizado una copia de
Deberá conservarse una copia de respaldo de los datos
y de los procedimientos de recuperación de los mismos
en un lugar diferente de aquel en que se encuentren los
equipos informáticos que los tratan, que deberá cumplir
en todo caso las medidas de seguridad exigidas en este
Título, o utilizando elementos que garanticen la
integridad y recuperación de la información, de forma
que sea posible su recuperación.
notificación, gestión y
respuesta ante las
Deberá existir un procedimiento de notificación y gestión
de las incidencias que afecten a los datos de carácter
personal y establecer un registro en el que se haga
constar el tipo de incidencia, el momento en que se ha
producido, o en su caso, detectado, la persona que realiza
la notificación, a quién se le comunica, los efectos que se
hubieran derivado de la misma y las medidas correctoras
1. En el registro regulado en el artículo 90 deberán consignarse, además, los procedimientos realizados de
recuperación de los datos, indicando la persona que ejecutó el proceso, los datos restaurados y, en su caso,
qué datos ha sido necesario grabar manualmente en el proceso de recuperación.
2. Será necesaria la autorización del responsable del fichero para la ejecución de los procedimientos de
Las medidas de seguridad exigibles a los accesos a datos de carácter personal a través de redes de
comunicaciones, sean o no públicas, deberán garantizar un nivel de seguridad equivalente al correspondiente
a los accesos en modo local, conforme a los criterios establecidos en el artículo 80.
Cuando, conforme al artículo 81.3 deban implantarse las
medidas de seguridad de nivel alto, la transmisión de
datos de carácter personal a través de redes públicas o
redes inalámbricas de comunicaciones electrónicas se
realizará cifrando dichos datos o bien utilizando cualquier
otro mecanismo que garantice que la información no sea
inteligible ni manipulada por terceros.
Datuak Babesteko Euskal Bulegoa / Agencia Vasca de Protección de Datos - c/ Beato Tomás de Zumárraga, 71, 3º - 01008 Vitoria – Gasteiz - Tel. 945 016 230 - Fax. 945 016 231 avpd@avpd.es - www.avpd.es 9
El archivo de los soportes o documentos se realizará de acuerdo con los criterios previstos en su respectiva
legislación. Estos criterios deberán garantizar la correcta conservación de los documentos, la localización y
consulta de la información y posibilitar el ejercicio de los derechos de oposición al tratamiento, acceso,
En aquellos casos en los que no exista norma aplicable, el responsable del fichero deberá establecer los
criterios y procedimientos de actuación que deban seguirse para el archivo.
1. Los armarios, archivadores u otros elementos en los
que se almacenen los ficheros no automatizados con
datos de carácter personal deberán encontrarse en áreas
en las que el acceso esté protegido con puertas de
acceso dotadas de sistemas de apertura mediante llave
u otro dispositivo equivalente. Dichas áreas deberán
permanecer cerradas cuando no sea preciso el acceso a
los documentos incluidos en el fichero.
2. Si, atendidas las características de los locales de que
dispusiera el responsable del fichero o tratamiento, no
fuera posible cumplir lo establecido en el apartado
anterior, el responsable adoptará medidas alternativas
que, debidamente motivadas, se incluirán en el
Los dispositivos de almacenamiento de los documentos que contengan datos de carácter personal deberán
disponer de mecanismos que obstaculicen su apertura. Cuando las características físicas de aquéllos no
permitan adoptar esta medida, el responsable del fichero o tratamiento adoptará medidas que impidan el
acceso de personas no autorizadas.
Gestión de soportes y
Mientras la documentación con datos de carácter personal no se encuentre archivada en los dispositivos de
almacenamiento establecidos en el artículo anterior, por estar en proceso de revisión o tramitación, ya sea
previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir
en todo momento que pueda ser accedida por persona no autorizada.
1. La generación de copias o la reproducción de los
documentos únicamente podrá ser realizada bajo el
control del personal autorizado en el documento de
2. Deberá procederse a la destrucción de las copias o
reproducciones desechadas de forma que se evite el
acceso a la información contenida en las mismas o su
1. El acceso a la documentación se limitará
exclusivamente al personal autorizado.
2. Se establecerán mecanismos que permitan identificar
los accesos realizados en el caso de documentos, que
puedan ser utilizados por múltiples usuarios.
3. El acceso de personas no incluidas en el párrafo
anterior deberá quedar adecuadamente registrado de
acuerdo con el procedimiento establecido al efecto en el
Siempre que se proceda al traslado físico de la
documentación contenida en un fichero, deberán
adoptarse medidas dirigidas a impedir el acceso o
manipulación de la información objeto de traslado.
Datuak Babesteko Euskal Bulegoa / Agencia Vasca de Protección de Datos - c/ Beato Tomás de Zumárraga, 71, 3º - 01008 Vitoria – Gasteiz - Tel. 945
016 230 - Fax. 945 016 231 avpd@avpd.es - www.avpd.es
Resumen Medidas Seguridad RD 1720/2007
Nivel básico: ficheros o tratamientos de datos de carácter
Nivel medio: ficheros o tratamientos de datos relativos a infracciones administrativas o penales, los
que informen de servicios de solvencia patrimonial y crédito, los que sean de Administraciones
tributarias, los de prestación de servicios financieros, los de las Entidades Gestoras y Servicios
Comunes de la Seguridad Social, los de las mutuas de accidentes de trabajo y los que permitan
Nivel alto: ficheros o tratamientos de datos relativos a ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual así como los
que contengan datos recabados para fines policiales sin consentimiento de las personas afectadas y los que contengan datos derivados de actos de
- Implanta la normativa de seguridad concretando el
ámbito de aplicación del mismo, las medidas, normas,
procedimientos y estándares de seguridad, las funciones y
obligaciones del personal, la descripción de los ficheros y
de los SSII y los procedimientos de gestión de incidencias,
soportes y documentos y copias de seguridad
- Establece las medidas a adoptar en caso de transporte,
reutilización o desecho de soportes y documentos
- Identifica al encargado del tratamiento y los ficheros
afectados y esto se expresa en el DS y en el contrato
- Se debe mantener actualizado tanto en lo relativo a la
organización como a la legislación vigente
- Identifica al o los responsables de seguridad
- Establece los controles periódicos de cumplimiento del documento
- Es el encargado de coordinar y controlar las medidas de seguridad del documento
- Esto no supone exoneración de la responsabilidad del responsable del fichero
- Una interna o externa al menos cada 2 años o cuando se realicen cambios
sustanciales en los SSII
- Da lugar a un informe de auditoría sobre la adecuación a las medidas, las
deficiencias identificadas y propone medidas correctoras
- Es analizado por el responsable de seguridad
- Queda a disposición de la AVPD
- El Documento de Seguridad especifica las funciones y obligaciones de un modo claro y documentado
- Se difunden entre el personal las normas que les afecten y las consecuencias por incumplimiento
- Existen medidas para la identificación y autenticación de
- Se identifica unívoca y personalmente a cada usuario
- Existe un procedimiento de gestión, almacenamiento y
distribución de contraseñas
- Existe un procedimiento para controlar la caducidad de
contraseñas y el almacenamiento ininteligible de las
- Se establece un mecanismo que limite el número de intentos reiterados de acceso
- Cada usuario accede únicamente a los datos y recursos
- Existe una relación actualizada de usuarios, perfiles y
- Existen mecanismos para controlar los derechos con que
se accede a los recursos
- Existen mecanismos que gestionen la concesión de
permisos de acceso sólo por personal autorizado en el
- Se realiza un control de acceso físico
a los locales donde se encuentren
ubicados los sistemas de información
- Se registran los datos de cada intento de
- Los datos se conservan 2 años
- Está bajo control del responsable de
- El responsable de seguridad realiza un
- Existe una excepción: persona física y
acceso unipersonal
- Se identifica el tipo de información que contienen
- Se mantiene un inventario
- Se almacenan con acceso restringido
- El responsable del fichero autoriza la salida de soportes
- Se adoptan medidas en caso de desecho de soportes
- Existe un registro de entrada y salida
de soportes que permite conocer el
tipo de soporte o documento, la fecha
y hora, el emisor o receptor, el tipo de
información, la forma de envío y la
- Existe un sistema de etiquetado solo
comprensible para los usuarios
- Se cifran los datos en la distribución de
soportes y en los dispositivos portátiles
- Debe existir un procedimiento de copias de respaldo y recuperación de datos
- El procedimiento garantiza la reconstrucción de los datos en el estado en que se encontraban en el
momento de producirse la pérdida o destrucción
- Se realiza una copia de respaldo, al menos semanal
- El responsable del fichero verifica semestralmente los procedimientos de copia
- Se trabaja sólo con datos reales si se asegura el nivel de seguridad correspondiente al tipo de fichero
tratado y se ha hecho una copia
- Debe existir una copia de respaldo y de
los procedimientos de recuperación en
lugar diferente del que se encuentren los
- Se debe registrar tipo de incidencia, momento en que se
ha producido, persona que la notifica, persona a la que se
comunica y efectos derivados
- Se debe registrar la realización de procedimientos de recuperación de los datos,
persona que los ejecuta, datos restaurados y grabados manualmente
- El responsable del fichero autoriza la ejecución de los procedimientos de
- Las medidas de seguridad exigibles a los accesos a través de redes de comunicaciones deben
garantizar un nivel de seguridad equivalente a los accesos en modo local
- La transmisión de datos a través de
redes públicas o de redes inalámbricas
debe ser cifrada
Nivel básico: ficheros o tratamientos de datos de
Nivel medio: ficheros o tratamientos de datos relativos a infracciones administrativas o penales,
los que informen de servicios de solvencia patrimonial y crédito, los que sean de Administraciones
Nivel alto: ficheros o tratamientos de datos relativos a ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual así
como los que contengan datos recabados para fines policiales sin consentimiento de las personas afectadas y los que contengan datos
- Implanta la normativa de seguridad concretando el ámbito de aplicación del mismo, las medidas, normas, procedimientos y estándares de
seguridad, las funciones y obligaciones del personal, la descripción de los ficheros y de los SSII y los procedimientos de gestión de
incidencias, soportes y documentos y copias de seguridad
- Establece las medidas a adoptar en caso de transporte, reutilización o desecho de soportes y documentos
- Identifica al encargado del tratamiento y los ficheros afectados y esto se expresa en el DS y en el contrato
- Se debe mantener actualizado tanto en lo relativo a la organización como a la legislación vigente
Se debe registrar tipo de incidencia, momento en que se ha producido, persona que la notifica, persona a la que se comunica y efectos
- Cada usuario accede únicamente a los datos y recursos necesarios para el desarrollo de sus funciones
- Existe una relación actualizada de usuarios, perfiles y accesos autorizados
- Existen mecanismos para controlar los derechos con que se accede a los recursos
- Existen mecanismos que gestionen la concesión de permisos de acceso sólo por personal autorizado en el Documento de Seguridad
Se debe garantizar la correcta conservación, localización y consulta de los documentos y posibilitar el ejercicio de los derechos ARCO
Deben disponer de mecanismos que obstaculicen su apertura
Se debe custodiar la documentación cuando no se encuentre archivada en los dispositivos de almacenamiento
- Es el encargado de coordinar y controlar las medidas de seguridad del
Archivadores en áreas de acceso
protegido con llave u otro sistema
- Sólo personal autorizado en el DS
- Las copias desechadas se deben
- Sólo personal autorizado
- Existen mecanismos de identificación
- Existe un registro de accesos no
Se adoptan medidas para impedir el
acceso o manipulación
Cómo legalizar una instalación de videovigilancia paso a paso PARTE I
TrabajoRRHH