Las medidas de seguridad son obligatorias según la ley y también son necesarias para proteger la información, que es un activo valioso. La ley no prohíbe el tratamiento de datos personales, sino que exige garantías como las medidas de seguridad dependiendo de la naturaleza de los datos. El deber de secreto es la medida primaria junto con el resto de medidas recogidas en el documento de seguridad de la organización, el cual es auditado periódicamente.

1. II Jornada
Pribatutasun eta informazio
Segurtasuneko Euskal Elkartea
Asociación Vasca de Privacidad
y Seguridad de la información
“Análisis de la relación abogado-cliente ante
la Ley Orgánica 15/1999, de 13 de diciembre,
de Protección de Datos de Carácter
Personal”
Medidas de seguridad.
Obligatorias; pero
¿necesarias?
D. José Luis Sáez de Argandoña
(Director de seguridad y
auditoría – Global Factory, S.L.)
Azaroak 27 – 2013 – 27 de noviembre / Ilustre Colegio de Abogados de Álava

2. Contenido
1.Introducción
-
Las Medidas, son obligatorias
¿Son necesarias?
2. Obligaciones legales
3. Medidas de seguridad
2

3. Las Medidas de Seguridad…
… son “obligatorias”…
C.E. 1978
Art 18.4
Directiva
95/46
+
R.D. 994/1999
“RMS”
R.D. 1720/2007
“reglamento”
3

4. … son obligatorias
A.N. - Sala de lo Contencioso-Administrativo
Sección 1ª (28 septiembre 2001)
“…la creencia de que su obrar era lícito […por parte del infractor…] es un argumento que,
además de ser invocado asiduamente en esta materia, no comporta una cualificada
disminución de la culpabilidad o antijuricidad. Cuando se tratan datos de forma
automatizada, desconocer los límites de dicha actividad supone una grave
inobservancia de la diligencia exigible, teniendo en cuenta, como se ha dicho, que
está en juego la vulneración de un derecho fundamental, el derecho a la
protección de los datos.”
50.000.000 Pts.
RATIFICADA por el Tribunal Supremo. Sentencia 25 de enero de 2006.
4

5. ¿Por qué son necesarias?
Propiedades de la información
[ Punto de vista  SEGURIDAD ]
• INTEGRIDAD
CONFIANZA
• DISPONIBILIDAD
CONTINUIDAD
• CONFIDENCIALIDAD
CONTROL
“El éxito de la empresa depende en gran medida
de disponer de la información correcta en el
momento preciso y en el lugar adecuado”
5

6. ¿Por qué son necesarias?
Sin “seguridad”…
• INTEGRIDAD...
• DISPONIBILIDAD...
CONFIANZA
CONTINUIDAD
• CONFIDENCIALIDAD...
CONTROL
6

7. 1ª Conclusión
Las MEDIDAS DE SEGURIDAD:
o
SON OBLIGATORIAS
o
SON NECESARIAS
o
PROTEGEN LA INFORMACIÓN
o
LA INFORMACION ES UN ACTIVO VALIOSO
o
AYUDAN A PROTEGER NUESTRO “NEGOCIO”
7

8. Contenido
1. Introducción
2.Obligaciones legales
-
Obligaciones esenciales
Naturaleza de los datos y Medidas
3. Medidas de seguridad
8

9. Obligaciones legales
Obligaciones esenciales
1. Registro de ficheros ante la Agencia de P.D. correspondiente
2. Controlar conforme a la ley, las cesiones de datos a terceros
3. Cumplir con los deberes de información a interesados y consentimiento
4. Implantación de medidas de seguridad 
•
LOPD Art. 9 – Seguridad de los datos
El Responsable del Fichero, y, en su caso, el Encargado del Tratamiento deberán adoptar las medidas
de índole técnica y organizativas que garanticen la seguridad de los datos...
Dichas medidas se establecerán mediante un Reglamento.
•
LOPD Art. 44.3 h)
No disponer de las medidas de seguridad constituye una infracción grave.
Sanción: de 40.001 € a 300.000 €
9

10. Obligaciones legales
Naturaleza de los datos y Medidas
¡¡¡ piensa en tus casos !!!
NIVEL BÁSICO
TIPOS DE
DATOS
MEDIDAS DE
SEGURIDAD
NIVEL MEDIO
Nombre
Apellidos
Direcciones de contacto
(tanto físicas como
electrónicas)
Teléfono
(Otros…)
Comisión infracciones penales
Comisión infracciones admvas.
Información de Hacienda Pública
Información financiera
Personalidad, perfiles de
comportamiento
(Otros…)
Ideología, Afiliación sindical,
Religión, Creencias
Origen racial, Salud, Vida Sexual
Policiales
Violencia de género
Tráfico (operadoras telco.)
Documento de seguridad.
Régimen de funciones y
obligaciones del personal.
Registro de incidencias.
Identificación y
autenticación de usuarios.
Control de acceso.
Gestión de soportes.
Copias de respaldo.
Dispositivos de almacenaje
de documentos.
+ (nivel básico)
Responsable de Seguridad.
Auditoría bienal.
Medidas adicionales de
Identificación y autenticación de
usuarios .
Control de acceso físico.
+ (nivel básico y medio)
Seguridad en la distribución de
soportes.
Registro de accesos a bb.dd.
Medidas adicionales de copias
de respaldo.
Cifrado de telecomunicaciones.
Copias y acceso a documentos
solo personas autorizadas.
Registro de accesos a
documentos.
10
NIVEL ALTO

11. 2ª Conclusión
La Ley:
o
NO PROHIBE MANEJAR DATOS PERSONALES
o
PROHIBE SU TRATAMIENTO SIN GARANTÍAS
11

12. Contenido
1. Introducción
2. Obligaciones legales
3.Medidas de seguridad
-
Deber de secreto
Resumen genérico, breve descripción
12

13. Medidas de seguridad
DEBER DE SECRETO – LOPD art. 10
El responsable de fichero y quienes intervengan en cualquier fase del tratamiento
de los datos de carácter personal están obligados al deber de secreto profesional
respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun
después de finalizar sus relaciones con el titular del fichero o, en su caso, con el
responsable del mismo.
13

14. Medidas de seguridad
Índice genérico, resumen
1.
Documento de Seguridad
11. Criterios de archivo de documentación
2.
Responsable de Seguridad
12. Dispositivos de almacenamiento de documentos
3.
Registro de Incidencias
13. Tratamiento de documentos con DCP nivel alto
4.
Gestión de soportes y documentos
5.
Identificación, autenticación y control de acceso
6.
Control de acceso físico
7.
Copias de respaldo y su recuperación
8.
Pruebas con DCP reales
9.
Registro (log) de accesos
14. Auditorías reglamentarias
10. Seguridad de las comunicaciones
14

15. Medidas de seguridad
Medidas relevantes
El Documento de Seguridad (RLOPD art. 88)
1. El responsable del fichero o tratamiento elaborará un documento de
seguridad que recogerá las medidas de índole técnica y organizativa acordes
a la normativa de seguridad vigente que será de obligado cumplimiento para
el personal con acceso a los sistemas de información.
Comunicar sus obligaciones al personal (RLOPD
art. 89)
2. El responsable del fichero o tratamiento
adoptará las medidas necesarias para que el
personal conozca de una forma comprensible las
normas de seguridad que afecten al desarrollo
de sus funciones así como las consecuencias en
que pudiera incurrir en caso de incumplimiento.
15

16. Medidas de seguridad
Medidas relevantes
Identificación, autenticación y control de acceso
RLOPD Art. 91. Control de acceso.
1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen
para el desarrollo de sus funciones. […]
RLOPD Art. 93. Identificación y autenticación.
1. El responsable del fichero o tratamiento deberá adoptar las medidas que
garanticen la correcta identificación y autenticación de los usuarios. […]
Registro de accesos a DCP “alto” (log)
RLOPD Art. 103. Registro de accesos.
1.De cada intento de acceso se guardarán, como mínimo, la
identificación del usuario, la fecha y hora en que se realizó, el
fichero accedido, el tipo de acceso y si ha sido autorizado o
denegado.
2.En el caso de que el acceso haya sido autorizado, será preciso
guardar la información que permita identificar el registro accedido.
16

17. Medidas de seguridad
Medidas relevantes
Gestión y protección de soportes (RLOPD art. 92)
1. Los soportes y documentos que contengan datos de carácter
personal deberán permitir identificar el tipo de información que
contienen, ser inventariados y solo deberán ser accesibles por el personal
autorizado […]
2. La salida de soportes y documentos […] 3. En el traslado de la documentación
[…] 4. Siempre que vaya a desecharse […] Además, Registros de E/S […]
Protección de la red de telecomunicaciones (RLOPD art. 104)
Cuando, conforme al artículo 81.3 deban implantarse las
medidas de seguridad de nivel alto, la transmisión de datos de
carácter personal a través de redes públicas o redes inalámbricas
de comunicaciones electrónicas se realizará cifrando dichos
datos o bien utilizando cualquier otro mecanismo que garantice
que la información no sea inteligible ni manipulada por terceros.
17

18. Medidas de seguridad
Medidas relevantes
Registro de incidencias (RLOPD art. 90)
Deberá existir un procedimiento de notificación y gestión de
las incidencias que afecten a los datos de carácter personal y
establecer un registro en el que se haga constar el tipo de
incidencia, el momento en que se ha producido, o en su caso,
detectado, la persona que realiza la notificación, a quién se le
comunica, los efectos que se hubieran derivado de la misma y
las medidas correctoras aplicadas.
Control de acceso a las instalaciones (RLOPD art. 99)
Exclusivamente el personal autorizado en el documento de
seguridad podrá tener acceso a los lugares donde se
hallen instalados los equipos físicos que den soporte a los
sistemas de información.
18

19. Medidas de seguridad
Medidas relevantes
Documentos y archivos manuales
RLOPD Art. 106. Criterios de archivo.
RLOPD Art. 107. Dispositivos de almacenamiento.
RLOPD Art. 108. Custodia de los soportes.
[…]
RLOPD Art. 112. Copia o reproducción.
RLOPD Art. 113. Acceso a la documentación.
RLOPD Art. 114. Traslado de documentación.
• Auditorías periódicas (2 años) [RLOPD Arts. 96 y 110)
A partir del nivel medio los sistemas de información e instalaciones de
tratamiento y almacenamiento de datos se someterán, al menos cada dos
años, a una auditoría interna o externa que verifique el cumplimiento del
presente título.
19

20. 3ª Conclusión
Las Medidas de Seguridad del Reglamento (RLOPD – Título VIII):
o
CONTROLES DE SEGURIDAD, QUE SERÁN AUDITADOS (SI PROCEDE)
o
UNA ORGANIZACIÓN QUE HA DE CUMPLIRLOS Y HACERLOS CUMPLIR
o
UN DOCUMENTO DE SEGURIDAD EN EL QUE TODO ELLO SE DESCRIBE
Aunque sea una obligación “legal” más que “reglamentaria”:
o
EL DEBER DE SECRETO ES LA MEDIDA DE SEGURIDAD PRIMARIA
20

21. Contenido
Conclusiones finales
21

22. Conclusiones finales
Recapitulación final:
o
Las MEDIDAS DE SEGURIDAD además de ser OBLIGATORIAS, son
NECESARIAS, porque protegen el activo más valioso de nuestro negocio:
la INFORMACIÓN.
o
La Ley no prohíbe manejar DATOS PERSONALES, pero según sea su
naturaleza, impone tratarlos con unas garantías: las MEDIDAS DE
SEGURIDAD.
o
El DEBER DE SECRETO es la medida de seguridad primaria y todas las
demás colaboran con ella.
o
La organización cumple y hace cumplir las MEDIDAS DE SEGURIDAD, que
están en su DOCUMENTO DE SEGURIDAD y las AUDITA, cuando aplica.
22

23. Nuevas series de artículos  http://pribatua.org/
-
Riesgos en el uso del e-mail
Riesgos en el uso de WhatsApp
23

24. ¡Muchas gracias por su atención!
Mila esker zuen arretagatik!
II Jornada
Pribatutasun eta informazio
Segurtasuneko Euskal Elkartea
Asociación Vasca de Privacidad
y Seguridad de la información
“Análisis de la relación abogado-cliente ante
la Ley Orgánica 15/1999, de 13 de diciembre,
de Protección de Datos de Carácter
Personal”
Azaroak 27 – 2013 – 27 de noviembre / Ilustre Colegio de Abogados de Álava