¿Se pueden tener varios Documentos de Seguridad?

Tal y como establece el RD1720/2007, el responsable del fichero o tratamiento, deberá elaborar un Documento de Seguridad que recogerá las medidas de índole técnica y organizativas acordes a la normativa de seguridad vigente, y será de obligado cumplimiento para el personal con acceso a los sistemas de información.

El Documento de Seguridad podrá ser único y que comprenda todos los ficheros y tratamientos, o elaborar distintos documentos individualizados por cada fichero o agrupando varios según las características de la organización. Debe ser “manejable”, ya que exige de una actualización regular.  

De esta forma, se podrán elaborar documentos:

• Por fichero o tratamiento.
• Por áreas funcionales.
• Por áreas geográficas.
• Por sistemas de tratamiento. 

En todo caso, el Documento de Seguridad tendrá carácter de documento interno de la organización, y se puede elaborar con el criterio que mejor convenga, pero no podemos olvidar que debe estar actualizado en todo momento. Cuanta más dispersión exista, mayor dificultad presentará su actualización.

El Documento de Seguridad deberá estar a disposición de la AEPD en caso de que llegase a requerirlo.

Sanción por no atender la baja de servicio de comunicaciones por sms

En cada comunicación comercial electrónica que se envíe a un destinatario, debe indicarse el procedimiento para que el usuario pueda darse de baja de la suscripción y dejar de recibir dichas comunicaciones.

El boletín "LOPD en la empresa" recoge un procedimiento sancionador PS/00307/2011 de la Agencia Española de Protección de Datos (AEPD) que ejemplifica la sanción que puede sufrir una entidad por no hacer caso a una revocación del consentimiento prestado para recibir sms.

En este caso, el usuario que presenta la reclamación declara que, tras haber sido usuario de una página de contactos, ha estado recibiendo sms sin autorización. Y, a pesar de haber solicitado reiteradamente no recibir más mensajes, ha continuado recibiéndolos. 

Durante la actuación inspectora de la AEPD ha quedado acreditado que el usuario intentó por varios medios oponerse a la recepción de sms, sin que sus esfuerzos dieran resultado, y pese a haber recibido un mensaje confirmando su baja.

A este respecto, el usuario presentó alegaciones relativas a la carencia de requisitos formales en la solicitud de cancelación realizada por el denunciante, concretamente por la ausencia de acreditación de la identidad. Mientras que la regulación que cita la entidad denunciada se refiere a la normativa de Protección de Datos de Carácter Ppersonal, en este caso, nos encontramos ante un incumplimiento de los derechos de los usuarios de servicios de telecomunicaciones que tutela la Ley de Servicios de la Sociedad de Información (LSSI).

En concreto, ni se ofrecía un medio de oposición en cada comunicación comercial, ni se hizo caso al denunciante cuando manifestó esta oposición por otros medios.

Como resultado, la empresa denunciada obtuvo una sanción de 30.001 euros por una infracción del artículo 21 de la LSSI, tipificada como grave.

En INPD te asesoramos acerca de los requerimientos oportunos para que tu empresa no incumpla ninguna de las normativas vigentes, evitando costes jurídicos y sanciones.

Imagen: boletín "LOPD en la empresa"

Consejos para proteger el acceso a los datos de carácter automatizado (parte II)

 

Hace poco hablábamos de la protección de datos en formato automatizado. Hoy seguimos abordando esta cuestión, recordando que no es suficiente con tener documentados los procedimientos en el Documento de Seguridad, sino que deben cumplirse dichos procedimientos. 

Por tanto, es necesario proteger el acceso a los recursos del servidor, a las aplicaciones y a los puestos de trabajo.

• Proteger el acceso a los recursos del servidor. Los recursos (carpetas compartidas, aplicación de gestión, etc.) del servidor donde se ubiquen datos personales no deben tener, por defecto, el acceso permitido a nadie. Posteriormente se irá concediendo acceso a los usuarios autorizados que se den de alta.
• Proteger el acceso a las aplicaciones. Para poder acceder cualquiera de las aplicaciones que utilice la organización en las cuales se traten datos personales, se debe introducir el nombre de usuario la contraseña asociada al mismo.
• Proteger el acceso a los puestos de trabajo. Se debe limitar el acceso al sistema operativo de los puestos de trabajo a los usuarios debidamente autorizados. No se debe poder acceder a ningún sistema sin introducir el correspondiente nombre de usuario y contraseña de acceso o cualquier otro método alternativo que garantice que la persona que está accediendo está autorizada a hacerlo.

¿Cómo trasladar un disco duro con datos de nivel alto?

A la hora de trasladar datos de nivel alto fuera de las instalaciones del responsable del fichero, no es suficiente con tener documentados los procedimientos en el Documento de Seguridad. Han de cumplirse dichos procedimientos. 

Desde el boletín mensual de la Agencia Española de Protección de Datos recomiendan ser especialmente cauto a la hora de llevar a cabo el traslado de este tipo de datos y realizar las siguientes tareas:

• Si el soporte no dispone de etiqueta identificativa, asígnale una utilizando un sistema de etiquetado que sea comprensible y con significado que permita a los usuarios con acceso autorizado a dichos soportes identificar su contenido y que dificulten la identificación para el resto de las personas.
• Dar de alta dicho soporte en el inventario de soportes y documentos.
• Cifrar los datos que se van a trasladar en el soporte, de forma que si por cualquier motivo el soporte se extravía, no se pueda acceder a dichos datos.
• Anotar la salida en el registro de salidas, que deberá incluir la siguiente información: el tipo soporte, la fecha y hora, el receptor del soporte, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega, que deberá estar debidamente autorizada en el Documento de Seguridad.

Niveles de seguridad establecidos en la LOPD

Una correcta identificación del nivel de seguridad de los ficheros que se tratan, es crucial para la correcta implantación de la LOPD en una organización. El artículo 80 de esta norma clasifica las medidas de seguridad aplicables a los ficheros o tratamientos de datos en tres niveles, en función de la naturaleza de los datos a tratar, debiendo adoptarse, en cada caso, el nivel correspondiente.

Estos son los niveles de tratamiento de datos establecidos en la LOPD:

1. Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico.

2. Deberán implantarse, además de las medidas de seguridad de nivel básico, las medidas de nivel medio, en los siguientes ficheros o tratamientos de datos de carácter personal:

• Los relativos a la comisión de infracciones administrativas o penales.
• Aquellos cuyo funcionamiento se rija por el artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre.
• Aquellos de los que sean responsables administraciones tributarias y se relacionen con el ejercicio de sus potestades tributarias.
• Aquellos de los que sean responsables las entidades financieras para finalidades relacionadas con la prestación de servicios financieros.
• Aquellos de los que sean responsables las entidades gestoras y de servicios comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. De igual modo, aquellos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social.
• Aquellos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos.

3. Además de las medidas de nivel básico y medio, las medidas de nivel alto se aplicarán en los siguientes ficheros o tratamientos de datos de carácter personal:

• Los que se refieran a datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual.
• Los que contengan o se refieran a datos recabados para fines policiales sin consentimiento de las personas afectadas.
• Aquellos que contengan datos derivados de actos de violencia de género.

El gestor documental: ventajas para el cumplimiento de la LOPD

Tal como se indica en el boletín 'LOPD en la empresa', un gestor documental aporta la seguridad de que cada persona involucrada en el tratamiento de la información sólo accede a aquella información que necesita para su trabajo, facilitando además la aplicación de las medidas de seguridad adecuadas a los diferentes niveles de datos (básico, medio y alto) dado que además de negar el acceso a determinada información a aquellas personas no autorizadas, guarda un registro muy detallado del uso que aquellos usuarios que tienen acceso hacen de los datos. 

 
De esta forma podemos saber quién ha accedido a un dato, quién lo ha impreso, copiado, duplicado o borrado, por ejemplo. 

 
En este sentido, supone una solución para aquellas empresas que manejan datos en papel de nivel medio o alto, que muchas veces se enfrentan a un dilema para conciliar las medidas de seguridad obligatorias con el uso en el día a día de la información.

 
Otra gran ventaja de un gestor documental es su gran capacidad para localizar cualquier información entre todos los documentos introducidos.

 
Por último, se puede destacar otra ventaja que el gestor documental aporta a cualquier empresa en relación con la LOPD y la propia seguridad de su negocio: dado que toda la información está en formato electrónico, es posible incluir la totalidad de los datos en la copia de seguridad; algo que es totalmente impensable con la información en papel almacenada en los tradicionales archivadores, que están expuestos a riesgos como incendios, goteras, extravíos o robos.

Desde el Instituto Nacional de Protección de Datos, INPD, te ayudamos a cumplir todos los requisitos especificados en la LOPD, evitando cualquier tipo de sanción a tu empresa.

Las reclamaciones sobre protección de datos crecieron un 50% en 2011

El número de reclamaciones recibidas por la Agencia Española de Protección de Datos (AEPD) ha aumentado en un 50 % durante el último año, en especial en los ámbitos de la privacidad en temas de morosidad y video-vigilancia. Así lo manifestó el director de la AEPD, José Luis Rodríguez Álvarez, durante una jornada, celebrada con motivo del Día europeo de la Protección de Datos (28 de enero), con el objetivo de impulsar el conocimiento de los derechos de los ciudadanos. Según los datos de la AEPD correspondientes al ejercicio de 2011, el número de solicitudes de tutelas de derechos recibidas por la AEPD también aumentó en un 34,5 %.

En el ámbito de las reclamaciones, aparte de la morosidad y la videovigilancia, los ciudadanos están especialmente preocupados por ver garantizada su privacidad en asuntos relacionados con servicios prestados a través de internet. En especial, los relativos a la falta de medidas de seguridad y la difusión no autorizada de datos.

Desde la AEPD aseguran que, detrás de estos datos se encuentran los efectos de la crisis económica, como pone de relieve el alto porcentaje de asuntos relacionados con la inclusión en ficheros comunes de morosidad, o con las denuncias por fraude o suplantación.

Un primer balance de la aplicación del nuevo régimen sancionador, introducido el pasado mes de marzo, desvela que, desde entonces hasta el 31 de diciembre, se han dictado 394 resoluciones sancionadoras y 284 apercibimientos. Es decir, el 42% de los asuntos en los que se apreció una infracción, acabó en apercibimiento, sin imposición de sanciones.

 
Según el director de la Agencia Española de Protección de Datos, este nuevo régimen sancionador ha favorecido «respuestas más proporcionadas a la gravedad de las conductas infractoras y criterios de modulación más adecuados».

 
La jornada se centró en la procesamiento de datos en la nube, un sistema con muchas ventajas técnicas y económicas, aunque todavía con varios aspectos pendientes de clarificar en materia de protección de datos. Cuestiones como cuál es la ley aplicable, cómo se configura la relación entre el proveedor de los servicios y los clientes, qué garantías y medidas de seguridad son exigibles, o cómo se respeta el régimen de transferencias internacionales, están aún por determinar.

Por otra parte, el director de la AEPD también destacó el importante paso dado por la Comisión Europea para el fortalecimiento de los derechos ciudadanos en el territorio de la UE, con la presentación de un nuevo marco europeo relacionado con este ámbito.

En cuanto al reconocimiento expreso del derecho al olvido en internet impulsado por la UE, la AEPD manifestó una especial satisfacción ya que se trata de una reivindicación que la venía defendiendo e intentando materializar en los últimos años.

Fuente: abc.es