Este documento describe las obligaciones de los responsables de ficheros de datos personales en España, incluyendo la obligación de someterse a una auditoría bienal de seguridad de datos para ficheros de nivel medio y alto. Explica los tipos de ficheros que requieren auditoría y los que no, así como el propósito y proceso de realización de la auditoría.

1. EL SOMETIMIENTO A LA AUDITORÍA BIENAL EN PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL<br />LAS MEDIDAS DE SEGURIDAD EN EL TRATAMIENTO DE DATOSToda persona física o jurídica, de naturaleza pública o privada que decida sobre la finalidad, contenido y uso del tratamiento de datos personales es un responsable del fichero desde el punto de vista de la normativa en protección de datos: la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (LOPD) y el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley (RLOPD), y por lo tanto debe cumplir con unas obligaciones que marca la citada normativa. Las obligaciones del responsable del fichero nacen con la creación de los ficheros que contienen datos personales y pasan por la legitimación del tratamiento de los datos cumpliendo con los principios de calidad, información, consentimiento y secreto, así como por el cumplimiento de las medidas de seguridad en el tratamiento de los datos. Además, cabe la posibilidad de que los ficheros se modifiquen o se supriman, o que se produzcan cesiones de datos personales. <br /> <br />8439154164330<br />En TusConsultoresLegales.com queremos hacer hincapié en la obligación del cumplimiento de las medidas de seguridad en el tratamiento de los datos de carácter personal dado que es el bloque más práctico y cotidiano al que se debe afrontar el responsable del fichero y/o los terceros intervinientes en el tratamiento. Su regulación la encontramos en Título VIII, Capítulo I del RLOPD, y el tipo de medidas de seguridad a cumplir varían en función del nivel de seguridad (básico, medio o alto) otorgado al fichero o ficheros. <br />3768090592455 ÁMBITO DE APLICACIÓN DE LA AUDITORÍA<br />La realización de auditorías bienales sobre los sistemas de información e instalaciones de tratamiento y almacenamiento de datos está regulada en el artículo 96 del RLOPD y es una de las obligaciones más destacadas del ordenamiento. Esta medida de seguridad es de obligado cumplimiento a partir del nivel medio de seguridad de los ficheros, y por lo tanto también para el nivel alto ya que las medidas de seguridad son de aplicación acumulativa. <br />No obstante ello, nada impide llevar a cabo la auditoría para los ficheros de nivel básico, de hecho es recomendable realizar la auditoría sobre la totalidad de los ficheros de la entidad para obtener el diagnóstico sobre la globalidad de la situación y poder lograr el mayor grado de cumplimiento de la normativa posible. La tipología de ficheros que en todo caso deben someterse a la auditoría en protección de datos de forma bienal son:Ficheros de nivel medio:Los relativos a la comisión de infracciones administrativas o penales.Aquellos cuyo funcionamiento se rija por el artículo 29 de la LOPD.Aquellos de los que sean responsables Administraciones tributarias y se relacionen con el ejercicio de sus potestades tributarias.Aquellos de los que sean responsables las entidades financieras para finalidades relacionadas con la prestación de servicios financieros. Aquellos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. Aquellos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social.Aquellos que contengan un conjunto de datos personales que ofrezcan una definición de las características o de la personalidad de los ciudadanos y que permitan evaluar aspectos de la personalidad o del comportamiento de los mismos.Cabe recordar que los ficheros de nivel medio contienen la tipología de datos indicada y además contienen los datos de nivel básico como lo son todos los datos identificativos de una persona (nombre y apellidos, DNI, teléfono, etc.). Si el fichero solo contiene datos identificativos de nivel básico no es obligatorio realizar la auditoría. Y dado que la aplicación de las medidas de seguridad es acumulativa, también deberán contemplar la realización de la auditoría los ficheros de nivel alto.<br />Ficheros de nivel alto:<br />Los que se refieran a datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual.<br />Los que contengan o se refieran a datos recabados para fines policiales.<br />Los que contengan datos derivados de actos de violencia de género. <br />Por lo tanto, todos los sistemas de información (automatizados, no automatizados o mixtos) relativos a los ficheros de nivel medio y alto, y recomendablemente también para los ficheros de nivel básico, deben someterse cada dos años a una auditoría sobre la adecuación a las medidas de seguridad aplicables. <br />Tal auditoría puede ser realizada de forma interna, por parte del propio responsable del fichero, o de forma externa, por una tercera empresa. La gran parte de empresas se declinan por la auditoría externa por el mayor conocimiento sobre la materia que puede ofrecer una empresa especializada y con experiencia, y el mayor grado de exhaustividad en la realización de la auditoría y objetividad en los resultados que puede presentar. <br />La auditoría culmina con un informe que dictamina sobre la adecuación de las medidas y controles a la Ley y su desarrollo reglamentario, la identificación de las deficiencias detectadas y la propuesta de las medidas correctoras o complementarias necesarias. Los informes de auditoría deberán ser analizados por el responsable de seguridad de la entidad para que adopte las medidas correctoras pertinentes y deberán quedar a disposición de la Agencia Española de Protección de Datos o, en su caso, de las autoridades de control de las comunidades autónomas. <br />Por último, cabe añadir que si bien en todo caso la realización de la auditoría en protección de datos deberá tener una periodicidad bienal, el RLOPD establece que deberá realizarse dicha auditoría con carácter extraordinario siempre que se realicen modificaciones sustanciales en el sistema de información que puedan repercutir en el cumplimiento de las medidas de seguridad implantadas con el objeto de verificar la adaptación, adecuación y eficacia de las mismas. <br />Para más información consultar la página web de TusConsultoresLegales: www.tusconsultoreslegales.com <br />