Práctica final: legislación sobre seguridad y protección de datos

1. 1
Práctica final:
legislación sobre
seguridad y
protección de
datos
Víctor Manuel Molina Moreno

2. 2
Contenido
PRIMERA PARTE: REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS Y NUEVA LOPD ............. 3
1.Define el concepto de dato de carácter personal y clasifícalo. Usa todos los ejemplos que
creas convenientes e indica, además, algún ejemplo de dato que no sea considerado de
carácter personal. ..................................................................................................................... 3
2.¿Qué son las autoridades de protección de datos (APD)? ¿Cuál es la de España? Indica,
además, todos sus datos postales y de contacto...................................................................... 5
3. Escribe una breve introducción sobre qué es el REGLAMENTO GENERAL DE PROTECCIÓN
DE DATOS y qué es lo que regula. Escribe, además, algún ejemplo que indique cuándo debe
ser aplicado y cuándo no........................................................................................................... 6
4. Explica las principales novedades de la nueva Ley Orgánica de Protección de Datos y
garantía de los derechos digitales: ¿desde cuándo está activa? ¿qué regula? ¿nuevos
deberes, derechos, obligaciones?............................................................................................. 7
5. De acuerdo con la nueva LOPD, ¿Cuáles son tus derechos a la hora de proteger tus datos
personales? ............................................................................................................................... 9
6. De acuerdo con la nueva LOPD, ¿Qué supone esta ley para el sector privado?................. 10
7. De acuerdo con la nueva LOPD, ¿Cuáles son las obligaciones para el sector público? ...... 11
8. Explica y especifica los enlaces a todos los formularios de la AGPD para poder ejercer tus
derechos con respecto al tratamiento de tus datos de carácter personal............................. 12
SEGUNDA PARTE: LEGISLACIÓN Y NORMAS SOBRE SEGURIDAD ............................................... 13
9. Indica qué son y de qué se encargan los siguientes organismos españoles relacionados
con la seguridad de la información:........................................................................................ 13
10. Explica qué son la Familia de Normas ISO 27000. Además, añade una tabla en la que
expliques brevemente todas las normas ISO/IEC 27000 a ISO/IEC 27007. ............................ 15
Bibliografía .................................................................................................................................. 16

3. 3
PRIMERA PARTE: REGLAMENTO GENERAL DE PROTECCIÓN DE
DATOS Y NUEVA LOPD
1.Define el concepto de dato de carácter personal y clasifícalo. Usa todos los
ejemplos que creas convenientes e indica, además, algún ejemplo de dato que
no sea considerado de carácter personal.
Definición:
Un dato de carácter personal es cualquier información referente a personas físicas que se
puedan identificar, pudiendo ser identificable toda persona cuya identidad pueda
determinarse mediante un identificador (por ejemplo, el DNI) o mediante el uso de uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica,
cultural o social de las personas.
Tipos de datos de carácter personal:
Identificativos: nombre, apellidos, DNI o NIE, número de seguridad social, domicilio, teléfono,
correo electrónico, fotografías o audios de voz.
Circunstancias sociales: propiedades, aficiones y formas de vida, inscripciones en foros, clubes
o asociaciones.
Personales: fecha y lugar de nacimiento, edad, estado civil, datos familiares.
Académicos y de formación: expediente académico, formación y titulaciones.
Profesionales y de empleo: experiencia en el mundo profesional, categoría o puesto a
desarrollar o desarrollado por el trabajador, expediente profesional del trabajador.
Sindical: datos de afiliación sindical, pertenencia de un comité de empresa o agrupación
sindical.
Económico-financieros: datos bancarios, ingresos, rentas, créditos, préstamos, avales, plan de
pensiones, jubilación.
Médicos o de salud: historial clínico de la persona física y controles sanitarios, entre otros.
Administrativos: procedimientos administrativos, reclamaciones y recursos, sanciones,
registros, solicitudes, concesiones.
Judicial: expediente o historial judicial, sanciones, procedimientos judiciales.
Sociales: ayudas o subvenciones, percepción de prestaciones de asistencia social, subsidios,
pensiones.

4. 4
Ejemplos:
Cualquier dato personal sería de los redactados anteriormente (nombre, apellidos, domicilio,
DNI…), el dato no personal sería algo que figurase como anónimo ya que no especifica
información sobre alguien en concreto, otro dato no personal sería el número de registro
mercantil o la dirección de correo electrónico, del tipo info@empresa.com.

5. 5
2.¿Qué son las autoridades de protección de datos (APD)? ¿Cuál es la de España?
Indica, además, todos sus datos postales y de contacto.
Las APD son autoridades públicas independientes que supervisan, mediante poderes de
investigación y correctivos, la aplicación de la ley de protección de datos. Ofrecen
asesoramiento experto sobre cuestiones de protección de datos y gestionan las reclamaciones
presentadas contra las infracciones del Reglamento general de protección de datos y las leyes
nacionales pertinentes. Hay uno en cada Estado miembro de la UE.
En términos generales, el principal punto de contacto para preguntas sobre protección de
datos es el DPA en el Estado miembro de la UE donde se encuentra su empresa / organización.
Sin embargo, si su empresa / organización procesa datos en diferentes Estados miembros de la
UE o forma parte de un grupo de empresas establecidas en diferentes Estados miembros de la
UE, ese punto de contacto principal puede ser un DPA en otro Estado miembro de la UE.

6. 6
3. Escribe una breve introducción sobre qué es el REGLAMENTO GENERAL DE
PROTECCIÓN DE DATOS y qué es lo que regula. Escribe, además, algún ejemplo
que indique cuándo debe ser aplicado y cuándo no.
El Reglamento General de Protección de Datos es el reglamento europeo relativo a la
protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a
la libre circulación de estos datos. Es una normativa a nivel de la Unión Europea, por lo que
cualquier empresa de la unión, o aquellas empresas que tengan negocios en la Unión Europea,
que manejen información personal de cualquier tipo, deberán acogerse a la misma. Las multas
por el no cumplimiento del RGPD pueden llegar a los 20 millones de euros.
Regula el tratamiento que realizan personas, empresas u organizaciones de los datos
personales relacionados con personas en la Unión Europea (UE).
No se aplica al tratamiento de datos personales de personas fallecidas o jurídicas.
Las normas no se aplican a los datos que trate una persona por motivos exclusivamente
personales o en el marco de una actividad doméstica, siempre que no guarden relación con
ninguna actividad profesional o comercial. Cuando una persona utilice los datos personales
fuera de la «esfera personal», por ejemplo, para actividades socioculturales o financieras,
dicha persona deberá respetar el Reglamento en materia de protección de datos.
Ejemplos:
-Cuando se aplica:
Una empresa con un establecimiento en la UE ofrece servicios de viaje a clientes de los países
bálticos y, en ese contexto, trata datos personales de personas físicas.
-Cuando no se aplica:
Una persona utiliza su propia libreta de direcciones para invitar por correo electrónico a
amigos a una fiesta que está organizando (excepción doméstica).

7. 7
4. Explica las principales novedades de la nueva Ley Orgánica de Protección de
Datos y garantía de los derechos digitales: ¿desde cuándo está activa? ¿qué
regula? ¿nuevos deberes, derechos, obligaciones?
Novedades LOPDGDD:
-Legitimación de las Administraciones Públicas
-Utilización de datos personales en actividades electorales
-La figura del Delegado de Protección de Datos
-Protección de Datos en Medios Sociales
-Principio de Transparencia
-Datos referidos a las personas fallecidas
-Consentimiento y derecho de los menores
-Régimen jurídico de los empleados
-Incorporación de los Derechos Digitales
-Modificación de normas vigentes
La LOPDGDD está activa desde el 07 de diciembre de 2018.
Esta regula el tratamiento de los datos de carácter personal. Garantiza que todas las personas
puedan tener un mayor control sobre el uso que se hace de los datos que tienen que
proporcionar a empresas, asociaciones, autónomos e incluso a organismos oficiales. Nace
como una adaptación a un reglamento europeo que trata de unificar el tratamiento de los
datos en toda la Unión Europea y con ella se derogan otras leyes anteriores.
Las nuevas garantías de los derechos digitales:
-Neutralidad y acceso universal a Internet
-Seguridad digital
-Educación digital
-Protección de menores
-Rectificación
-Informaciones en medios digitales
-Protección de datos de menores en Internet

8. 8
-Olvido en buscadores
-Olvido en redes sociales
-Derecho a la portabilidad en redes sociales
-Testamento digital
-Políticas de impulso
Derechos digitales en el ámbito laboral:
-Uso de dispositivos en el ámbito laboral
-Desconexión digital
-Videovigilancia en el lugar de trabajo
-Sistemas de geolocalización
-Negociación colectiva
Nuevas obligaciones para el sector privado:
-Obligación de información a los ciudadanos sobre el tratamiento de sus datos y sobre el
ejercicio de sus derechos.
-Designación de un Delegado de Protección de Datos (DPD) y comunicación de la designación a
la Agencia Española de Protección de Datos (AEPD).
-Tratamiento de datos de menores de edad.
-Limitación de la actividad publicitaria: las “listas Robinson”.
-Derechos de los empleados: mayor intimidad.
-Datos de contacto profesionales: legitimación de su tratamiento.
Nuevas obligaciones para el sector público:
-Publicación del Registro de actividades de tratamiento del órgano u organismo del Sector
Público.
-Obligación de información a los ciudadanos sobre el ejercicio de sus derechos.
-Potestad de verificación de los datos personales de los ciudadanos.
-Designación de un Delegado de Protección de Datos (DPD) y comunicación de la designación a
la AEPD.
-Nueva regulación de la aportación de documentación por parte de los ciudadanos:
modificación del artículo 28 de la Ley 39/2015.

9. 9
5. De acuerdo con la nueva LOPD, ¿Cuáles son tus derechos a la hora de proteger
tus datos personales?
1.Derecho de Acceso.
Se configura como el derecho de acceso a toda la información de forma gratuita.
2. Derecho de Rectificación.
Es el derecho que asiste al interesado para exigir que se corrijan errores, inexactitudes o
cuando no estén completos los datos personales, para garantizar la certeza de la información
que se esté tratando.
3. Derecho de Supresión y Derecho al Olvido.
Es el derecho que garantiza al interesado que se supriman los datos en determinados casos.
4. Derecho a la limitación del Tratamiento.
Es el derecho de los interesados a que no se apliquen las operaciones de tratamiento que
corresponderían a sus datos personales.
5. Derecho a la Portabilidad de los datos.
Este significa que el interesado tiene derecho a recibir los datos que le incumben y podrá
solicitar que sus datos se transmitan directamente de un responsable a otro sin necesidad de
que le sean transmitidos previamente a él, si fuera posible técnicamente.
6. Derecho de Oposición y decisiones individuales automatizadas.
Es el derecho a oponerse a que se traten tus datos, por lo que el responsable solo podrá seguir
si acredita algún motivo que lo legitime.

10. 10
6. De acuerdo con la nueva LOPD, ¿Qué supone esta ley para el sector privado?
-Obligación de información a los ciudadanos sobre el tratamiento de sus datos y sobre el
ejercicio de sus derechos.
-Designación de un Delegado de Protección de Datos (DPD) y comunicación de la designación a
la Agencia Española de Protección de Datos (AEPD)
-Intervención del Delegado de Protección de Datos en la resolución de reclamaciones
-Las bases jurídicas que legitiman el tratamiento de datos personales de los ciudadanos por
parte de las organizaciones
-Tratamiento de datos de menores de edad
-Limitación de la actividad publicitaria: las “listas Robinson”
-Derechos de los empleados: mayor intimidad
-Datos de contacto profesionales: legitimación de su tratamiento
-Sistemas de denuncias internas: exención de responsabilidad penal de las organizaciones
-Inclusión en sistemas de información de solvencia crediticia (“ficheros de morosos”)
-Novedades sobre videovigilancia
-Operaciones mercantiles
-La obligación de bloqueo de los datos personales tras el ejercicio de los derechos de
rectificación o supresión
-Tratamiento de datos personales en la notificación de incidentes de seguridad
-Adaptación a la Ley Orgánica de los contratos de encargo de tratamiento de datos personales
-Tratamiento de datos personales en investigación sanitaria
-Modificación de la Ley 3/1991, de 10 de enero, de Competencia Desleal: prácticas agresivas

11. 11
7. De acuerdo con la nueva LOPD, ¿Cuáles son las obligaciones para el sector
público?
-Publicación del Registro de actividades de tratamiento del órgano u organismo del Sector
Público
-Obligación de información a los ciudadanos sobre el ejercicio de sus derechos
-Potestad de verificación de los datos personales de los ciudadanos
-Nueva regulación de la aportación de documentación por parte de los ciudadanos:
modificación del artículo 28 de la Ley 39/2015
-Notificación de actos administrativos: identificación de los ciudadanos
-Comunicación de datos personales de los administrados a sujetos privados
-Designación de un Delegado de Protección de Datos (DPD) y comunicación de la designación a
la AEPD
-Intervención del Delegado de Protección de Datos en la resolución de reclamaciones en el
Sector Público
-Mayor transparencia de las sanciones impuestas al Sector Público
-Tratamiento de datos personales en la notificación de incidentes de seguridad
-Registros de personal del sector público: legitimación del tratamiento
-Derechos de los empleados públicos: mayor intimidad
-Adaptación a la Ley Orgánica de los contratos de encargo de tratamiento de datos personales
-Tratamiento de datos personales por concesionarios de servicios públicos
-Educación para la digitalización
-Tratamiento de datos personales en investigación sanitaria

12. 12
8. Explica y especifica los enlaces a todos los formularios de la AGPD para poder
ejercer tus derechos con respecto al tratamiento de tus datos de carácter
personal.
Derecho de acceso
https://www.aepd.es/sites/default/files/2019-09/formulario-derecho-de-acceso.pdf
Derecho de supresión
https://www.aepd.es/sites/default/files/2019-09/formulario-derecho-de-supresion.pdf
Derecho de oposición
https://www.aepd.es/sites/default/files/2019-09/formulario-derecho-de-oposicion.pdf
Derecho de limitación
https://www.aepd.es/sites/default/files/2019-09/formulario-derecho-de-limitacion.pdf
Derecho de rectificación
https://www.aepd.es/sites/default/files/2019-09/formulario-derecho-de-rectificacion.pdf
Derecho de portabilidad
https://www.aepd.es/sites/default/files/2019-09/formulario-derecho-de-portabilidad.pdf
(Cada derecho está explicado en el ejercicio 5)

13. 13
SEGUNDA PARTE: LEGISLACIÓN Y NORMAS SOBRE SEGURIDAD
9. Indica qué son y de qué se encargan los siguientes organismos españoles
relacionados con la seguridad de la información:
a. CCN-CERT (https://www.ccn-cert.cni.es )
El Centro Criptológico Nacional Computer Emergency Response Team es el organismo español,
creado en 2006, encargado de contribuir a la ciberseguridad de la administración pública, los
organismos públicos y empresas estratégicas del país. CCN-CERT depende directamente del
Centro Criptológico Nacional, del que toma parte del nombre.
Su misión, por tanto, es contribuir a la mejora de la ciberseguridad española, siendo el centro
de alerta y respuesta nacional que coopere y ayude a responder de forma rápida y eficiente a
los ciberataques y a afrontar de forma activa las ciberamenazas, incluyendo la coordinación a
nivel público estatal de las distintas Capacidades de Respuesta a Incidentes o Centros de
Operaciones de Ciberseguridad existentes.
Todo ello, con el fin último de conseguir un ciberespacio más seguro y confiable, preservando
la información clasificada (tal y como recoge el art. 4. F de la Ley 11/2002) y la información
sensible, defendiendo el Patrimonio Tecnológico español, formando al personal experto,
aplicando políticas y procedimientos de seguridad y empleando y desarrollando las tecnologías
más adecuadas a este fin.
De acuerdo con esta normativa y la Ley 40/2015 de Régimen Jurídico del Sector Público es
competencia del CCN-CERT la gestión de ciberincidentes que afecten a cualquier organismo o
empresa pública. En el caso de operadores críticos del sector público la gestión de
ciberincidentes se realizará por el CCN-CERT en coordinación con el CNPIC.
b. INTECO-CERT (http://cert.inteco.es )
INTECO, el Instituto Nacional de Tecnologías de la Comunicación, ha puesto en marcha un
centro donde dar respuesta a los incidentes de seguridad informáticos de las PYMES
españolas. CERT (Equipo de Respuesta ante Emergencias Informáticas) es un grupo de
personas dedicadas a preparar medidas activas y pasivas ante problemas de seguridad en los
sistemas informáticos.
Objetivos de INTECO-CERT:
-Proporcionar información clara y concisa acerca de la tecnología, su utilización y la seguridad
que mejore su comprensión.
-Concienciar a las PYMEs y ciudadanos de la importancia de contemplar y abordar
adecuadamente todos los aspectos relacionados con la seguridad informática y de las redes de
comunicación.

14. 14
-Proporcionar guías de buenas prácticas, recomendaciones y precauciones a tener en cuenta
para mejorar la seguridad.
-Proporcionar mecanismos y servicios de divulgación, formación, prevención y reacción ante
incidencias en materia de seguridad de la información.
-Actuar como enlace entre las necesidades de PYMEs y ciudadanos y las soluciones que ofertan
las empresas del sector de la seguridad de las tecnologías de la información.
c. IRIS-CERT (https://www.rediris.es/cert )
El servicio de seguridad de RedIRIS (IRIS-CERT) tiene como finalidad la detección de problemas
que afecten a la seguridad de las redes de centros de RedIRIS, así como la actuación
coordinada con dichos centros para poner solución a estos problemas. También se realiza una
labor preventiva, avisando con tiempo de problemas potenciales, ofreciendo asesoramiento a
los centros, organizando actividades de acuerdo con los mismos, y ofreciendo servicios
complementarios.
IRIS-CERT presta servicio a las instituciones afiliadas a RedIRIS. IRIS-CERT también da soporte
(coordinación de incidentes) a centros ajenos a RedIRIS, aunque de forma más limitada.
Concretamente, IRIS-CERT actúa como último punto de contacto para los incidentes graves
que puedan afectar al dominio .es, aceptando cualquier incidente que de este tipo como
evidencia para dar soporte a nuestra comunidad.
¿Por qué todos se llaman CERT?
Porque todos nos resuelven la incidencia técnica que nos certifique.

15. 15
10. Explica qué son la Familia de Normas ISO 27000. Además, añade una tabla en
la que expliques brevemente todas las normas ISO/IEC 27000 a ISO/IEC 27007.
La familia ISO 27000 contiene un conjunto de buenas prácticas para el establecimiento,
implementación, mantenimiento y mejora de Sistemas de Gestión de la Seguridad de la
Información.
La serie contiene las mejores prácticas recomendadas en Seguridad de la información para
desarrollar, implementar y mantener Especificaciones para los Sistemas de Gestión de la
Seguridad de la Información (SGSI).
NORMA ISO: OBJETIVO:
ISO 27000 Gestión de la seguridad de la información:
fundamentos y vocabulario
ISO 27001 Especificaciones para un SGSI
ISO 27002 Código de buenas prácticas
ISO 27003 Guía de implementación de un SGSI
ISO 27004 Sistema de métricas e indicadores
ISO 27005 Guía de análisis y gestión de riesgos
ISO 27006 Especificaciones para organismos
certificadores de SGSI
ISO 27007 Guía para auditar un SGSI

16. 16
Bibliografía
Algunos de los enlaces que he usado:
https://www.isotools.org/2015/01/21/familia-normas-iso-27000/
https://www.aepd.es/reglamento/derechos/index.html
https://www.aepd.es/reglamento/cumplimiento/index.html
https://ec.europa.eu/info/law/law-topic/data-protection/reform/what-personal-data_es
https://www.apd.es/
https://ec.europa.eu/info/law/law-topic/data-protection/reform/what-does-general-data-
protection-regulation-gdpr-govern_es
https://www.proconsi.com/blog/las-10-novedades-mas-importantes-de-la-lopdgdd
https://iuriscj.com/rgpd/
https://protecciondedatosempresas.net/que-es-la-lopdgdd/
https://confilegal.com/20191209-la-entrada-en-vigor-de-la-nueva-lopdgdd-no-disipa-las-
dudas-de-expertos-y-empresas-sobre-la-aplicacion-del-rgpd/
https://www.ccn-cert.cni.es/
https://www.rediris.es/cert/