Source: https://derechoecuador.com/registro-oficial/2013/07/registro-oficial-no-43---miercoles-24-de-julio-de--2013-primer-suplemento
Timestamp: 2019-10-15 06:41:36
Document Index: 295163253

Matched Legal Cases: ['artículo 18', 'artículo 5', 'artículo10', 'artículo 1', 'artículo 19', 'artículo 1', 'artículo 9', 'artículo 20', 'artículo 1', 'artículo 4', 'artículo 13', 'artículo 31', 'artículo 2', 'artículo 2']

Registro Oficial No 43 - Miércoles 24 de Julio de 2013 Primer Suplemento
Última modificación: Lunes, 05 de agosto de 2013 | 15:05
007-DN-DINARDAP-2013 Expídese la Norma sobre Protección y Seguridad de Información
014-2013 Cantón Rumiñahui: Que pone en vigencia y aplicación el Subsistema de Evaluación de Impactos Ambientales
No. 007-DN-DINARDAP-2013
DE REGISTRO DE DATOS PÚBLICOS
Que, artículo 18 en el numeral segundo de la Constitución de la República del Ecuador dice; ?Todas las personas, en forma individual o colectiva, tienen derecho a: (?) 2. Acceder libremente a la información generada en entidades públicas, o en las privadas que manejen fondos del Estado o realicen funciones públicas. No existirá reserva de información excepto en los casos expresamente establecidos en la ley. En caso de violación a los derechos humanos, ninguna entidad pública negará la información?.
Que, el artículo 5 de la Ley Orgánica de Transparencia y Acceso a la Información dice: ?Se considera información pública, todo documento en cualquier formato, que se encuentre en poder de las instituciones públicas y de las personas jurídicas a las que se refiere esta Ley, contenidos, creados u obtenidos por ellas, que se encuentren bajo su responsabilidad o se hayan producido con recursos del Estado?.
Que, el artículo10 de la citada norma dice: ??Es responsabilidad de las instituciones públicas, personas jurídicas de derecho público y demás entes señalados en el artículo 1 de la presente Ley, crear y mantener registros públicos de manera profesional, para que el derecho a la información se pueda ejercer a plenitud, por lo que, en ningún caso se justificará la ausencia de normas técnicas en el manejo y archivo de la información y documentación para impedir u obstaculizar el ejercicio de acceso a la información pública, peor aún su destrucción. Quienes administren, manejen, archiven o conserven información pública, serán personalmente responsables, solidariamente con la autoridad de la dependencia a la que pertenece dicha información y/o documentación, por las consecuencias civiles, administrativas o penales a que pudiera haber lugar, por sus acciones u omisiones, en la ocultación, alteración, pérdida y/o desmembración de documentación e información pública. Los documentos originales deberán permanecer en las dependencias a las que pertenezcan, hasta que sean transferidas a los archivos generales o Archivo Nacional??.
Que, el artículo 19 de la mencionada Ley determina: ??El interesado a acceder a la información pública que reposa, manejan o producen las personas jurídicas de derecho público y demás entes señalados en el artículo 1 de la presente Ley, deberá hacerlo mediante solicitud escrita ante el titular de la institución. En dicha solicitud deberá constar en forma clara la identificación del solicitante y la ubicación de los datos o temas motivo de la solicitud, la cual será contestada en el plazo señalado en el artículo 9 de esta Ley?.
Que, la Ley en mención en el artículo 20 expresa: ??La solicitud de acceso a la información no implica la obligación de las entidades de la administración pública y demás entes señalados en el artículo 1 de la presente. Ley, a crear o producir información, con la que no dispongan o no tengan obligación de contar al momento de efectuarse el pedido. En este caso, la institución o entidad, comunicará por escrito que la denegación de la solicitud se debe a la inexistencia de datos en su poder, respecto de la información solicitada. Esta Ley tampoco faculta a los peticionarios a exigir a las entidades que efectúen evaluaciones o análisis de la información que posean, salvo aquellos que por sus objetivos institucionales deban producir?.
Que, la Ley del Sistema Nacional de Registro de Datos Públicos en el artículo 4 dice: ?Las instituciones del sector público y privado y las personas naturales que actualmente o en el futuro administren bases o registros de datos públicos, son responsables de la integridad, protección y control de los registros y bases de datos a su cargo. Dichas instituciones responderán por la veracidad, autenticidad, custodia y debida conservación de los registros. La responsabilidad sobre la veracidad y autenticidad de los datos registrados, es exclusiva de la o el declarante cuando esta o este proveen toda la información. Las personas afectadas por información falsa o imprecisa, difundida o certificada por registradoras o registradores, tendrán derecho a las indemnizaciones correspondientes, previo el ejercicio de la respectiva acción legal??.
Que, el artículo 13 del cuerpo normativo anterior, dice: ?son registros de datos públicos: el Registro Civil, de la Propiedad, Mercantil, Societario, Vehicular, de naves y aeronaves, patentes, de propiedad intelectual registros de datos crediticios y los que en la actualidad o en el futuro determine la Dirección Nacional de Registro de Datos Públicos, en el marco de lo dispuesto por la Constitución de la República y las leyes vigentes.
Los Registros son dependencias públicas, desconcentrados, con autonomía registral y administrativa en los términos de la presente ley, y sujetos al control, auditoría y vigilancia de la Dirección Nacional de Registro de Datos Públicos en lo relativo al cumplimiento de políticas, resoluciones y disposiciones para la interconexión e interoperabilidad de bases de datos y de información pública, conforme se determine en el Reglamento que expida la Dirección Nacional?.
Que, el artículo innumerado cuarto de la Ley Orgánica Derogatoria a la Ley de Buros de Información Crediticia y Reformatoria a la Ley del Sistema Nacional del Registro de Datos Públicos, a la Ley Orgánica de la Economía Popular y Solidaria y del Sector Financiero Popular y Solidario y a la Ley de Compañías dice: ?Art. ....- La Dirección Nacional de Registro de Datos Públicos, es el único organismo autorizado para entregar la información contenida en el Registro de Datos Crediticios, al titular de la información crediticia y a quien éste autorice de conformidad con lo establecido en la presente Ley?.
Que, mediante Acuerdo Ministerial No. 126 del 28 de febrero del 2011, el Ministro de Telecomunicaciones y de la Sociedad de la Información designó al infrascrito Dr. Willians Eduardo Saud Reich como Director Nacional de Registro de Datos Públicos.
En ejercicio de las facultades que le otorga el artículo 31 de la Ley del Sistema Nacional de Registro de Datos Públicos, resuelve expedir la siguiente:
NORMA SOBRE PROTECCIÓN Y
Art. 1.- La Norma tiene como objetivos los siguientes:
Asegurar una apropiada salvaguarda de todos los activos de información que se generan, reciben, tratan, transmiten y almacenan en la Dirección Nacional de Registro de Datos Públicos, sus Direcciones Regionales, el Registro de Datos Crediticios; así como la información que se encuentra en las bases de datos de los Registros de Datos Públicos que interoperan en el o con el Sistema Nacional de Registro de Datos Públicos y que brindan los servicios de acceso a la información a través de Dato Seguro e Info Digital (Relaciones de Confianza) y con cualquiera de los servicios que preste el SINARDAP.
Establecer una aplicación consistente de los controles de seguridad de la información que garanticen su protección e integridad.
Reducir y controlar los riesgos legales y tecnológicos a los que se enfrenta la información. 4. Proteger la integridad de la información contenida en documentos, archivos documentales y digitales, bases de datos, sistemas informáticos, sin importar los medios de almacenamiento en que se encuentren, cuya protección es responsabilidad de la Dirección Nacional de Registro de Datos Públicos (DINARDAP), sus Direcciones Regionales y del Registro de Datos Crediticios.
Asegurar toda la información que garantice la marcha de la DINARDAP.
Garantizar que la información y la capacidad de su procesamiento manual y automático esté disponible para los usuarios autorizados y sean resguardados y recuperados eventualmente cuando sea necesario, de tal manera que no se interrumpa significativamente la marcha de los procesos.
En base al acuerdo de confidencialidad, que debe ser suscrito por todos los servidores públicos se propende a garantizar que toda la información esté protegida del uso no autorizado, revelaciones accidentales, espionaje, violación de la privacidad y otras similares originadas de terceros no autorizados.
Crear los mecanismos para que los sistemas informáticos brinden información segura para ser utilizada en cada uno de los procesos.
Asegurar que toda la información generada por los sistemas de información se encuentre libre de errores y/o irregularidades de cualquier tipo.
Garantizar que todos los accesos a datos y/o transacciones cumplan con los niveles de autorización correspondientes para su utilización y divulgación.
Garantizar que todos los medios de procesamiento y/o conservación de información cuenten con medidas de protección física que eviten el acceso y/o utilización indebida por parte del personal no autorizado.
Asegurar que los derechos de propiedad sobre la información utilizada por los servidores públicos en el desarrollo de sus tareas, estén adecuadamente establecidos a favor de la DINARDAP.
Asegurar el registro e identificación inequívoca de los servidores públicos en el uso de los sistemas, de tal manera que no puedan negarla en ningún momento.
Garantizar que toda acción dentro de un sistema informático (aplicaciones, redes, computadores, bases de datos) sea registrada, con la finalidad de auditarla posteriormente.
Contar con un marco normativo a ser aplicado por todos los servidores públicos y por el personal que mantiene algún tipo de relación laboral, civil o contractual, producto de la cual pueda llegar a conocer, producir, tratar, acceder o almacenar información que la DINARDAP genera, administra y protege.
Art. 2.- La presente Norma será de aplicación general y obligatoria para:
Sub Director Nacional;
Directores Técnicos de Área;
Directores Regionales;
Registro Crediticio;
Servidores públicos y Trabajadores en general;
Guardias de Seguridad; y,
Cualquier persona natural o jurídica en adelante ?usuarios?, que necesiten tener acceso a la información que es producida, tratada, almacenada o administrada por la DINARDAP, sus Direcciones Regionales; Registro de Datos Crediticios o en el Sistema Nacional de Registro de Datos Públicos; mientras desempeñen sus labores en la misma y exista vínculo laboral, civil, comercial o contractual, de acuerdo a convenios, contratos o normatividad específica para cada caso, incluso cuando cesen sus funciones o su relación con la Institución.
Art. 3.- La información que la DINARDAP administra por sí y como rectora del Sistema Nacional de Registros de Datos Públicos es esencial para el desarrollo nacional y enfrenta amenazas crecientes denominadas ?fallos de seguridad? que pueden ser variados, incluyendo fraudes informáticos, fallas electrónicas, espionaje, error humano, sabotaje, vandalismo, acceso no autorizado, catástrofes u otros. Ciertas fuentes de daños como virus informáticos y ataques de intrusión se están tornando cada vez más comunes y sofisticados.
La información sujeta a protección, puede estar impresa o escrita en papel, almacenada electrónicamente, transmitida por correo o por medios electrónicos, mostrada en video o hablada en conversaciones, ésta deberá protegerse.
Art. 4.- Todas las Áreas de la Institución deben adoptar mecanismos de protección necesarios para salvaguardar la integridad, confidencialidad y disponibilidad de los registros físicos, expedientes y registros electrónicos que se encuentran bajo su custodia.
Art. 5.- Los servidores públicos de la DINARDAP, sus Direcciones Regionales; Registro de Datos Crediticios, deben ser conscientes de la importancia que tiene la información que producen, reciben, tratan, interconectan y almacenan; lo que hace necesario adoptar mecanismos normativos que hagan eficiente la gestión de seguridad de la información.
Art. 6.- Para los efectos de la presente normativa, se entenderá por:
Acceso no autorizado: Acceso a un sistema o a la información que este contiene, por parte de alguien no autorizado explícitamente para ello. Se puede tener acceso autorizado a un sistema y no tener derecho a acceder a determinadas áreas del mismo.
Activos de Información: Es toda la información que genera, recibe, trata, almacena y transmite la DINARDAP, sus Direcciones Regionales, el Registro de Datos Crediticios, el Sistema Nacional de Registro de Datos Públicos o cualquiera de los procesos que se generen para brindar servicios al ciudadano, a instituciones o al Estado.
Amenaza: Situación o acontecimiento que pueda causar daños a los activos de información, producidos por una persona, un programa maligno o un suceso natural o de otra índole. Representan los posibles atacantes o factores que inciden negativamente sobre las debilidades del sistema.
Autenticación: Método para comprobar la identificación de un usuario o proceso. Una vez identificado al usuario, es necesario que este demuestre de algún modo la veracidad de su identificación.
Autorización de usuarios: Proceso de determinación y aprobación de los niveles de acceso de un usuario a los sistemas informáticos o aparte de los mismos.
Control de acceso: Método que garantiza que solo tengan acceso a un sistema o a la información que éste contiene, aquellos debidamente autorizados para ello. Los mecanismos de control de acceso se implementan utilizando técnicas de software y de hardware y por lo general incluyen: identificación y autenticación de usuarios; limitación de acceso a ficheros, monitorización de las acciones de los usuarios y un sistema de auditoría. Chat: Conversación interactiva utilizando diferentes métodos en tiempo real, a través de Internet, entre dos o más usuarios.
DINARDAP: Dirección Nacional de Registro de Datos Públicos.
Disponibilidad: Propiedad que garantiza que los usuarios autorizados tengan acceso a la información y activos asociados cuando lo requieran. Significa que el sistema, tanto hardware como software, se mantienen funcionando y que está en capacidad de recuperarse rápidamente en caso de fallo.
Dispositivo de almacenamiento externo: Cualquier tipo de dispositivo intercambiable que permita la transferencia o almacenamiento de información.
Ente Registral: Entidad con la que se realizará la importación de la información de la(s) Base(s) de Datos.
Identificación de usuarios: En todos los sistemas multiusuario, cada usuario posee un identificador (ID) que define quién es y que lo identifica unívocamente en el sistema, diferenciándolo del resto.
Registro Crediticio: Tiene por finalidad prestar el servicio de referencias crediticias, basado en el análisis de historial de cumplimiento de obligaciones de carácter crediticio de las personas. Este registro permite contar con información individualizada de las personas naturales y jurídicas respecto de sus operaciones crediticias que se hayan contratado con las instituciones del sistema financiero público y privado y con las instituciones comerciales que brinden créditos.
Registro de Datos Públicos: El registro de Datos Públicos comprende: el Registro Civil, de la Propiedad, Mercantil, Societario, Vehicular, de naves y aeronaves, patentes, de propiedad intelectual registros de datos crediticios y los que en la actualidad o en el futuro determine la Dirección Nacional de Registro de Datos Públicos, en el marco de lo dispuesto por la Constitución de la República y las leyes vigentes.
Servicios de Tecnología: Comprende a todos los componentes de hardware y software (servidores, sistemas operativos, equipos de networking y telecomunicaciones, bases de datos, software de terceros, desarrollos internos, equipos de seguridad, equipos de escritorio, medios físicos de almacenamiento, respaldo de información, impresoras, scanner y todo componente que forme parte del parque tecnológico) existentes dentro de la DINARDAP o que de alguna forma estén al servicio de ésta.
SINARDAP: Sistema Nacional de Registro de Datos Públicos.
DE LA INFORMACIÓN, SU PUBLICIDAD
Art. 7.- La Constitución y la Ley de Transparencia y Acceso a la Información determinan que toda información es pública, siempre y cuando se cumplan los procedimientos y procesos establecidos para su publicidad y acceso, por tanto la información que no sea solicitada de conformidad a la Ley o publicitada de conformidad con los mecanismos establecidos en ésta, es información protegida y no es objeto de divulgación.
Art. 8.- La información que se encuentra en las bases de los Registros de Datos Públicos que interoperan con el Sistema Nacional de Registro de Datos Públicos, es información pública de carácter sensible a la cual solo se puede acceder, por mandato legal, con autorización del titular o por orden judicial, por lo tanto la DINARDAP ha establecido procesos y protocolos que garantizan el acceso seguro a esta información a través de Dato Seguro e Info Digital (Relaciones de Confianza) y mediante servicios en línea que están a disposición de los ciudadanos, instituciones y el Estado.
Art. 9.- La información referente a los Datos Crediticios es información a la cual sólo puede acceder el titular de la misma, los terceros debidamente autorizados, por disposición legal expresa y por orden judicial mediante la cual se levante el sigilo bancario.
Art. 10.- La presente Norma, amparada en lo que determina la Constitución del Ecuador y las Leyes vigentes, establece que son activos de información de la Dirección Nacional de Registro de Datos Públicos, toda la información que se genera, recibe, trata, transmite y almacena en la Institución, sus Direcciones Regionales o el Registro de Datos Crediticios, la misma que se clasifica en:
1. Información Pública.- Es todo documento en cualquier formato, que se encuentre en poder de la DINARDAP, sin embargo para su publicidad o acceso se debe cumplir con los procedimientos establecidos en la Ley, estos son:
Proceso para Publicitar la Información Pública.- La información administrad por la DINARDAP solo puede ser publicitada por la Institución, mediante la publicación de la información en el portal de la misma o cuando exista una petición expresa de autoridad competente o de cualquier ciudadano.
En lo referente a los Procesos Precontractuales y Contractuales, éstos se publicitan en el Portal de Compras Públicas y en el Portal de la Institución.
Proceso de Acceso a Información Pública.- La Ley dispone que toda la información que emana o se encuentra en las instituciones públicas es pública, sin embargo su acceso está sujeto a:
Un mandato legal;
Petición del titular de la información;
Autorización del titular de la información en favor de un tercero; y,
2. Información Protegida y no Sujeta a Divulgación.- Es toda la información pública respecto a la cual no se ha cumplido con los procedimientos establecidos en la Ley para su publicidad y acceso.
Proceso de Acceso a Información Protegida y no Sujeta a Divulgación.- Para publicitar y acceder a este tipo de información se deberá cumplir con lo dispuesto en el numeral uno.
3. Información Protegida Sensible.- Es la información que se encuentra en las Bases de Datos de los Registros de Datos Públicos y Registro Crediticio que interoperan con el SINARDAP, así como toda información que pueda presentar riesgos de seguridad para la DINARDAP, sus Regionales y para los sistemas que interoperan en Dato Seguro e Info Digital (Relaciones de Confianza).
Proceso de Acceso a Información Protegida Sensible.- Para publicitar y acceder a este tipo de información se deberá cumplir con lo dispuesto en el numeral uno.
4. Información Confidencial.- Es aquella información pública personal, que no está sujeta al principio de publicidad y comprende derechos personalísimos y fundamentales como son: la condición médica, filiación política, preferencia sexual, creencias religiosas y condición migratoria.
Proceso de Acceso a Información Confidencial.- Para publicitar y acceder a este tipo de información se deberá cumplir con lo dispuesto en el numeral uno.
DE LA RECOLECCIÓN, CONOCIMIENTO
Y ADMINISTRACIÓN DE INFORMACIÓN
Art. 11.- La recolección de datos personales no puede hacerse por medios desleales, fraudulentos, en forma contraria a las disposiciones constitucionales y legales, o sin el consentimiento del titular. Todos los datos personales, como es el caso de condición de salud, filiación política, preferencia sexual, creencias religiosas, condición migratoria, son considerados confidenciales y sólo podrán ser utilizados para los fines que han sido recolectados y ser objeto de tratamiento, cuando la ley lo autorice o exista mandato judicial o consentimiento del titular o cuando sean datos necesarios para la determinación u otorgamiento de beneficios de salud que correspondan a sus titulares.
Art. 12.- En caso de que la DINARDAP o cualquiera de sus áreas o servidores públicos conozcan, accedan o almacenen por cualquier medio o en cualquier formato, información sobre datos confidenciales serán responsables de cumplir con los siguientes procedimientos:
Los datos personales deben ser almacenados en áreas seguras y de acceso restringido al personal no autorizado; haciendo uso de mecanismos de protección que garanticen su privacidad, legitimidad, confidencialidad e integridad.
Cada Coordinador y Director Técnico de Área, es responsable de presentar al Comité de Seguridad un informe detallado de la información que se encuentra bajo la responsabilidad de su área; el informe deberá ser elaborado con los parámetros que determine el Comité.
Art. 13.- La Dirección de Talento Humano es responsable del registro de los datos personales de los servidores públicos, así como de supervisar la implantación de medidas técnicas y organizativas que resulten necesarias para garantizar la integridad y confidencialidad de los datos personales, de modo que se evite su mal uso, adulteración, pérdida, así como consultas o tratamiento no autorizado.
Art. 14.- Los datos personales confidenciales o reservados, que llegaren a ser administrados por la DINARDAP, sólo podrán ser revelados por mandato judicial y/o cuando medien razones fundadas relativas a la seguridad pública, defensa nacional o salud pública.
LOS CONVENIOS DE CONFIDENCIALIDAD
Art. 15.- En los términos y condiciones del contrato de trabajo se incluirá una cláusula que estipule la responsabilidad que tiene el servidor público y demás personas mencionadas en el artículo 2 de la presente Norma, de guardar secreto y reserva sobre la información que va a producir, conocer o administrar durante sus funciones y una vez finalizada la relación contractual.
DE INFORMACIÓN AMPARADOS POR
LAS NORMAS DE PROPIEDAD INTELECTUAL
Art. 16.- Todas las creaciones, invenciones, obras, normativas, símbolos, nombres, imágenes, dibujos, desarrollo de sistemas informáticos, de hardware o software, modelos utilizados y creados por los servidores públicos de la Institución y demás personas mencionadas en el artículo 2 de la presente Norma, durante el ejercicio de sus funciones, son de propiedad y uso exclusivo de la DINARDAP.
SERVIDORES PÚBLICOS DE LA DINARDAP
Art. 17.- Los activos de información, tanto generales como específicos, serán documentados y se incluirán dentro de las responsabilidades laborales de los servidores. Todos los servidores públicos de la DINARDAP, sin distinción a la dirección o área a la que pertenezcan están en la obligación de acatar estas disposiciones.
Art. 18.- Al determinar las responsabilidades que se asignan al personal de la DINARDAP se tendrá en cuenta el principio de separación de funciones, considerando aquellas tareas que no deben ser realizadas por una misma persona, a fin de reducir oportunidades de modificación no autorizada o mal uso de los sistemas informáticos.
Art. 19.- Cada servidor público deberá contar con la autorización para poder hacer uso de cualquiera de los activos de información o servicios de tecnología de la DINARDAP.
Art. 20.- No se permitirá usar los servicios de tecnología de la DINARDAP para ver, descargar, guardar, recibir o enviar material relacionado con:
Contenido ofensivo de cualquier clase, incluyendo material pornográfico, profano, erótico y otros similares.
Promover cualquier tipo de discriminación, sea ésta basada en la raza, el género, la nacionalidad, la edad, el estado civil, la orientación o preferencia sexual, la religión y/o discapacidad.
Comportamiento violento o intimidante, apuestas, juegos o beneficio económico personal.
Archivos en cualquier formato cuyo contenido no tenga relación con las actividades propias que realiza el servidor público y/o la DINARDAP.
Los servidores públicos deben utilizar el servicio de Internet con que cuenta la DINARDAP exclusivamente para el cumplimiento de sus funciones. Sólo en casos extraordinarios, en que no se disponga del servicio de Internet de la DINARDAP, la Coordinación de Infraestructura será la responsable de coordinar un canal alternativo para el servicio de internet.
Los servidores públicos no deben descargar o abrir archivos provenientes de Internet u otras redes externas sin tener activo y actualizado el software antivirus. La actualización del software antivirus, estará a cargo de la Coordinación de Infraestructura y Seguridad Informática.
Art. 21.- Está prohibido que los servidores públicos traten de violar la seguridad de las estaciones de trabajo, servidores o cualquier servicio de tecnología de la DINARDAP.
Art. 22.- Los servidores públicos están obligados a tratar con el mayor cuidado los documentos físicos y magnéticos que contengan información concerniente a la DINARDAP evitando la perdida de hojas, ocultamiento, que estas se manchen, o cualquier forma que provoque su deterioro.
Art. 23.- Por ningún motivo y bajo ninguna excusa los servidores públicos de la DINARDAP, pueden hacer uso indiscriminado de la información contenida en los documentos físicos y magnéticos. Así mismo se encuentran impedidos de alterar esta documentación, hacer tachones, usar tinta correctora o cualquier otro método que pueda alterar el contenido de la información.
Art. 24.- Los servidores públicos de la DINARDAP, no pueden sacar de la institución los activos de información de forma parcial o completa, salvo por cuestiones de trabajo y previa autorización del Coordinador de cada área.
Art. 25.- Es responsabilidad del servidor público proteger los activos de información de su área y los asignados a este dentro de sus funciones; el servidor público que oculte o pierda de forma total o parcial algún documento será responsable de dicha perdida.
Art. 26.- Los servidores públicos no deben dejar mensajes grabados con información confidencial, crítica o sensible, en máquinas contestadoras o sistemas de correo de voz.