0 Recomendaciones Implantacion Guia Avanzada

GUÍA RECOMENDACIONES DE IMPLANT IMPLANTACIÓN ACIÓN

PROTECCIÓN DE DATOS RECOMEDACIONES DE IMPLANTACION

DPP/DPC

ECOMENDACIONE IMPLANTACI

RECOMENDACIONES IMPLANTACION GUIA RDLOPD

RECOMENDACIONES

IMPLANTACIÓN DE LA GUÍA RDLOPD

RECOMEND

IMPLANTA ÍNDICE 1.

2.

Introducción

3

1.1 Documentación Básica LOPD

3

Notificación e Inscripción de Ficheros en el Registro General de de la Agencia Española de Protección de Datos

3.

4.

Cumplimiento del deber de información, reconocimiento de derechos y deber de confidencialidad del personal.

6

3.1 Cumplimiento del deber de Información

6

3.2 Recursos Humanos

7

3.3 Gestión y Actividad

10

3.4 Gestión y Actividad (Marketing)

12

Relaciones Internacionales. Movimientos Internacionales de Datos. 4.1 Concepto y norma general para el Movimiento Internacional de Datos.

5.

6.

4

14

4.2 Con destino a países de la Unión Europea.

14

4.3 Con destino a terceros países.

15

Formalización del compromiso de confidencialidad con terceros. t erceros. El Encargado del Tratamiento.

16

4.1. Su empresa como Responsable del Fichero

16

4.2. Su empresa como Encargado del Tratamiento.

18

4.3. Compromiso de condencialidad con terceros.

19

Documento de Seguridad y adopción de medidas técnicas y organizativas de seguridad

21

5.1. Resumen de actuaciones de Seguridad Básicas

21

5.2. Niveles de Protección y Medidas de Seguridad:

22

5.3. Otros Aspectos

27 2


RECOMENDACIONES

IMPLANTACIÓN DE LA GUÍA RDLOPD

RECOMEND

IMPLANTA ÍNDICE 1.

2.

Introducción

3

1.1 Documentación Básica LOPD

3

Notificación e Inscripción de Ficheros en el Registro General de de la Agencia Española de Protección de Datos

3.

4.


6

3.1 Cumplimiento del deber de Información

6

3.2 Recursos Humanos

7


10


12

Relaciones Internacionales. Movimientos Internacionales de Datos. 4.1 Concepto y norma general para el Movimiento Internacional de Datos.

5.

6.

4

14

4.2 Con destino a países de la Unión Europea.

14

4.3 Con destino a terceros países.

15

Formalización del compromiso de confidencialidad con terceros. t erceros. El Encargado del Tratamiento.

16

4.1. Su empresa como Responsable del Fichero

16

4.2. Su empresa como Encargado del Tratamiento.

18

4.3. Compromiso de condencialidad con terceros.

19

Documento de Seguridad y adopción de medidas técnicas y organizativas de seguridad

21


21


22

5.3. Otros Aspectos

27 2

CURSO GUÍA DE IMPLANTACIÓ DEL RDLOPD RECOMENDACIONES IMPLANTACION GUIA RDLOPD

7.

Otras medidas de cumplimiento obligatorio

29

8.

Acreditación de Protección de Datos.

30

1

INTRODUCCIÓN

Este documento es una guía y ayuda para la Efectiva adaptación de su entidad a la Ley Orgánica de Protección de Datos (L.O.P.D.), prestando especial atención a las modicaciones introducidas por el nuevo reglamento que desarrolla dicha ley. Recuerde que ante cualquier duda o consulta puede ponerse en contacto con nuestro equipo, mediante la dirección de correo electrónico [email protected] que le resolverá adecuadamente el problema planteado, o bien a través de la plataforma de formación a la que Ud tiene acceso.

1.1 Documentación Básica LOPD Documentación que se le ha facilitado y que se compone de:

1 2 3 4 5 6 7

Guía de implantación. Anexo de Recursos Humanos.. Anexo de Gestión y Actividad. Modelos de ejercicio de derechos. Documento de Seguridad de medidas técnicas. Documento de Seguridad de medidas para el soporte papel. Anexos a los Documentos de Seguridad.

A continuación se describen las actuaciones que debe llevar a cabo con los diversos bloques de documentación entregados.

3

CURSO GUÍA DE IMPLANTACIÓ DEL RDLOPD RECOMENDACIONES IMPLANTACION GUIA RDLOPD

2

Notificación e Inscripción de Ficheros en el Registro General de la Agencia Española de Protección de Datos

Según lo previsto en el Art. 26 de la LOPD, todo tratamiento de datos de carácter personal deberá estar registrado en la Agencia Española de Protección de Datos. En este sentido, se entenderá por tratamiento de datos de carácter personal, a la luz de lo previsto en Art. 3, todas aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modicación, bloqueo y cancelación, así como las cesiones de datos que resulten de

comunicaciones, consultas, interconexiones y transferencias.” La inscripción de los cheros, como obligación principal del Responsable del Fichero, consistirá en la noticación al Registro General de Protección de Datos de la Agencia Española de Protección de Datos, de la creación, modicación, o supresión de cheros, cumplimentando los formularios electrónicos publicados al efecto por la Agencia Española de Protección de Datos, llamados “Ficheros de titularidad privada ”, para que ésta proceda a la inscripción de los mismos, cumpliendo así con el trámite registral. Los principales cheros que se van a registrar en su entidad son:  Fichero Gestión: Su nalidad es el tratamiento de datos derivado de la gestión operativa de la entidad, la administración económica, y el seguimiento y control nanciero de clientes y proveedores, así como la gestión contable y scal de la entidad.

 Fichero Personal: Su nalidad es el tratamiento de datos derivado del desarrollo de la gestión del personal, nóminas, formación así como el cumplimiento de las obligaciones en materia laboral. También tiene como nalidad el tratamiento d e datos derivado de la protección de la seguridad y de la salud de los trabajadores, cumplimiento de obligaciones y deberes del empresario en el ámbito de la legislación de prevención de riesgos laborales.  Fichero Prevención de Riesgos Laborales : Su nalidad es el desarrollo de la actividad de protección de la seguridad y de la salud de los trabajadores, cumplimiento de obligaciones y deberes del empresario en el ámbito de la legislación de prevención de riesgos laborales.« RECUERDE que si realiza otras finalidades de datos o usos de datos personales debe procederse al registro e inscripción de estos ficheros adicionales.

4


Pasos a Seguir: Todo tratamiento de datos iniciado, o del que tenga conocimiento deberá ser notificado al RPD a fin de pueda proceder a tramitar la inscripción del fichero, según las indicaciones anteriores y aquellas previstas en los planes de formación realizados.

Una vez reciba la documentación relativa a los formularios a enviar a la Agencia de Protección de Datos correspondiente, el responsable de la entidad, con poder suciente, deberá rmar la primera hoja del formulario (encima del código de barras de la derecha) y proceder a su envío mediante

ATENCIÓN Una vez enviados los formularios y transcurrido un plazo aproximado de dos meses deberá recibir una carta de la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS comunicando que los cheros han sido inscritos en el Registro de la Agencia y el correspondiente CÓDIGO DE INSCRIPCIÓN que deberá adjuntar en la carpeta de protección de datos entregada.

5


3


3.1 Cumplimiento del deber de Información Ante la tipología de datos tratados por la entidad, y las diferentes nalidades del tratamiento, según previsto en el Art. 5 de la LOPD, el Responsable del Fichero deberá informar a los interesados a los que se soliciten los datos de forma fehaciente de los siguientes extremos, en la medida en que sean de aplicación: a De la existencia de un chero o tratamiento de datos de carácter personal, de la nalidad de la recogida de éstos y de los destinatarios de la información.

b Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. c De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. d De la posibilidad de ejercitar los derechos de acceso, recticación, cancelación y oposición. e De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante .

Atendiendo a lo previsto anteriormente, en la práctica diaria de la entidad existen varios tipos de tratamiento de datos, en función de los grupos/perles de titulares de datos. De éstos podemos destacar el tratamiento de datos de los trabajadores con nalidades laborales, y el de clientes y proveedores con nalidades comerciales y de prestación d e servicios.

Seguidamente se enumeran los colectivos, ante los cuales, se cumplirá el deber de información:

1

Trabajadores , dependiendo si estamos ante trabajadores en régimen laboral y guras anes a la contratación laboral.

2

Clientes / Proveedores .

6


3.2 Recursos Humanos Expondremos los documentos orientados al cumplimiento del Deber de Información y el Compromiso de Condencialidad del personal laboral o guras anes, de los que podrá disponer a través del ANEXO MODELOS Y DOCUMENTOS RRHH .

Índice de Documentación relacionada:

1.1

Documento de información y compromiso de Confidencialidad de Empleados

1.2

Normas de Uso del Correo Electrónico y sistemas informáticos. Entrega de usuario y contraseña.

1.3

Normas de Seguridad aplicables al soporte papel.

1.4

Normas de uso de los sistemas informáticos portátiles.

1.5

Documento de Información y compromiso de confidencialidad del personal en prácticas y becarios

1.6

Documento de información y compromiso de confidencialidad para trabajadores de ETT

1.7

Documento de Información para el tratamiento de Currículos Vitae.

1.8

Aviso de cesión de datos personales con empresas en las que exista una relación jurídica.

1.9

Compromiso de confidencialidad y secreto profesional de datos por parte del empleado una vez concluida la relación laboral o contractual.

1.10 Nota de aviso al inició de programa.

El cumplimiento del deber de información por parte de la entidad frente al tratamiento de datos titularidad del personal laboral supone una de las obligaciones principales en la adecuación de la entidad a la LOPD. Acostumbra a ser el tratamiento de datos más común de la entidad: pagar las nóminas, cumplir las obligaciones previstas en el Estatuto de los Trabajadores, prevención de riesgos laborales y gestión del pago de cuotas sindicales, entre otras nalidades. Así mismo, el trabajador, en el desarrollo efectivo de la relación laboral, tendrá acceso a datos de carácter personal incluidos en los cheros del Responsable que deberá tratar para el correcto desarrollo de su función. Por eso, la LOPD en su Art. 10 prevé la necesidad de formalizar un compromiso de condencialidad al que deberán sumarse 7


todos aquellos agentes que intervienen en el tratamiento de datos y, concretamente, el personal de la entidad. Junto con este deber de secreto, el Art. 9, establece el deber por parte del Responsable del Fichero de adoptar las medidas técnicas y organizativas de seguridad necesarias para garantizar la condencialidad e integridad de los datos personales tratados. Entre estas medidas se prevé la información al personal de las funciones y obligaciones en materia de Protección de Datos.

Por lo tanto, la entidad deberá informar del derecho del trabajador a la obtención de formación, así como la obligación de realizarla, de manera que se dé cumplimiento a lo previsto en la normativa, facilitando el conocimiento de las medidas de seguridad y obligaciones previstas en la LOPD y su normativa reglamentaria.

Por este motivo, se recomienda el uso de los siguientes documentos para el cumplimiento de las obligaciones previstas en la LOPD dentro del entorno de Recursos Humanos: 1.1 Documento de información y compromiso de confidencialidad del trabajador: Informamos de la nalidad del tratamiento, los destinatarios de la información, la posibilidad de ejercer los derechos reconocidos por la LOPD, así como del deber de secreto que debe mantener en el tratamiento de datos dentro y fuera de la empresa. 1.2. Normas de Uso del Correo Electrónico y sistemas informáticos. Entrega de usuario y contraseña: Trabajador tenga acceso al sistema informático de la empresa: mediante este documento se le hará entrega al trabajador de las claves de acceso a los sistemas de información, y se le informará de las obligaciones que se derivan de ello 1.3. Normas de Seguridad aplicables al soporte papel: Para todos los trabajadores que utilicen documentos en soporte papel que contengan datos de carácter personal 1.4. Normas de uso de los sistemas informáticos portátiles: Cuando el personal contratado deba hacer uso de equipos portátiles, PDA’s o cualquier otro soporte técnico que tenga acceso al sistema informático de la empresa 1.8. Aviso de cesión de datos persona con empresas en las que exista una relación jurídica: Si durante la relación laboral, alguno de sus clientes solicita la lista de trabajadores que asisten a sus dependencias para poder ser acreditados, deberemos facilitar el documento relacionado, para cumplir con el deber de información y consentimiento en caso de cesión de datos a terceros. 8


Es habitual que en las empresas haya contratado personal bajo guras contractuales diferentes de las previstas para la relación laboral. En estos supuestos, le destacamos la situación del Autónomo Económicamente Dependiente , regulado por la Ley 20/2007, y que lo concibe como aquél que realiza una actividad económica o profesional a título lucrativo y de forma habitual, personal, directa y predominante para una persona física o jurídica, denominada cliente, del que dependen económicamente por percibir de él, al menos, el 75% de sus ingresos. Ante esta situación, se actuaría de la misma forma que para los trabajadores bajo relación laboral, entregando la documentación contenida en los puntos, 1.1, 1.2, 1.3 y si fuera el caso 1.4 del Anexo . Otra de las alternativas que se vislumbran en relación al estatuto de Autónomo dependiente es, puesto que se trata de una relación contractual y necesariamente debe ser un contrato por escrito donde se exprese la condición de trabajador autónomo económicamente dependiente, la de incluir las los apartados de los documentos anteriores en él Para ello póngase en contacto con su asesor de protección de datos para que pueda orientarle en la denición del contenido de las cláusulas. En relación a otros tipos y modalidades de contratación en el ámbito laboral es necesario cumplir también con el deber de información y de formalización de los compromisos de condencialidad con respecto los datos a los que estas figuras afines a la contratación laboral plena puedan tener acceso durante la prestación de sus servicios. En estos casos debe entregar, para su rma la siguiente documentación respectivamente: a

1.5. Documento de Información y compromiso de confidencialidad del personal en prácticas y becarios.

b

1.6. Documento de información y compromiso de confidencialidad para trabajadores de ETT

Junto con la anterior documentación también deberemos hacer extensivo para ellos los documentos 1.2 y 1.3 , así como en caso de que utilicen portátiles también deberán rmar el documento 1.4. Por último, en relación al personal laboral o guras anes, dentro del proceso de selección, es frecuente el tratamiento y recepción de gran cantidad de datos personales 9


contenidos en los Currículums Vitae (CV). Para ello, en el momento de captar dichos datos, debe tener presente el medio a través del cual los obtiene, debiendo utilizar, en cada caso, la documentación correspondiente: 1

A través de correo postal:1.7 Documento de Información para el tratamiento de Currículos Vitae (Carta)

2

A través del correo electrónico o mediante formulario incorporado en la web corporativa: 1.7.1 Documento de Información para el tratamiento de Currículos Vitae (Clausula informativa)

3

De forma presencial: 1.7 Documento de Información para el tratamiento de Currículos Vitae (Carta)

Una vez nalizada la relación laboral usted deberá facilitar el documento 1.9. Compromiso de confidencialidad y secreto profesional de datos por parte del empleado una vez concluida la relación laboral o contractual. Pasos a Seguir: a

Dispone de toda la documentación anterior en el apartado “Anexo Modelos y Documentos RHH” ,

b

Identicados los documentos necesarios, en primer lugar deberá procederse a la regularización de los trabajadores ya existentes en la entidad. De manera que se procederá a la rma, por parte del trabajador, del documento correspondiente y posteriormente se adjuntará a su expediente laboral.

c

Ante las nuevas contrataciones, deberá incluirse el documento correspondiente en el proceso de contratación, adjuntando dicho documento al expediente laboral del trabajador.


Expondremos los documentos orientados al cumplimiento del Deber de Información en relación a los clientes y proveedores, y podrá disponer a través del ANEXO MODELOS Y DOCUMENTOS GESTIÓN Y ACTIVIDAD. Índice de documentación relacionada : 1.1. Aviso legal informativo para Clientes y Proveedores. 1.2. Aviso legal informativo para documentos o formularios para la captación de datos personales. 10


1.3. Cláusula contractual informativa de Protección de Datos personales. 1.4. Aviso legal informativo para formularios de captación de datos personales on line. 1.5. Aviso legal informativo para el envío de newsletters o boletines informativos de la empresa. (on line) 1.6. Avisos legales en medios de comunicación 1.7. Texto del mail a enviar en caso de recibir los datos en una tarjeta de visita, sin formulario o contrato previo. Para el desarrollo habitual de la actividad de la empresa, se precisan datos de carácter personal en relación a clientes y proveedores, datos de clientes potenciales, direcciones de correo electrónico para mailing informativos o relacionados con nuestra Empresa, entre otras actividades. En cualquier caso, deberá cumplirse el Deber de Información en relación al tratamiento de estos datos con las nalidades, entre otras, señaladas anteriormente. Por este motivo, se recomiendan las siguientes actuaciones que deberá llevar a cabo la Entidad: 1

En cualquier formulario de recogida de datos y en cualquier documento que sirva para la captación de los mismos, se recomienda la inclusión de un 1.2 Aviso legal informativo para documentos o formularios para la captación de datos personales. Así mismo deberá incluirse el texto legal que gura en el documento

1.1 Aviso legal informativo para Clientes y Proveedores en los

presupuestos, hojas de pedido y en las facturas que se les envía. 2 De la misma forma, en caso de captar datos a través de la página web corporativa deberá incluir el aviso legal que gura en el documento 1.4. Aviso legal informativo para formularios de captación de datos personales on line , y en el supuesto de que facilite la recepción del boletín electrónico informativo corporativo, incluya en el alta el texto legal que gura en el documento1.5.Aviso legal informativo para el envío de newsletters o boletines informativos de la empresa. (on line) 3 En todos aquellos contratos rmados con clientes y proveedores, incluya el texto legal que gura en el documento 1.3 Cláusula contractual informativa de Protección de Datos personales, con el n de iniciar la relación contractual con todas las garantías previstas en la LOPD y su normativa de desarrollo. 11


4

En el supuesto de recibir tarjetas de visita, se recomienda, al momento de iniciar el tratamiento de datos que guran en la misma, el envío, si es posible por correo electrónico, en la primera comunicación, el texto legal que gura en el documento

1.7. Texto del mail a enviar en caso de recibir los datos en una

tarjeta de visita, sin formulario o contrato previo .

Pasos a Seguir: a

Dispone de toda la documentación anterior en el ANEXO MODELOS Y DOCUMENTOS GESTIÓN Y ACTIVIDAD..

b

Inclusión de las cláusulas y avisos legales en facturas, presupuestos y hojas de pedidos.

c

Revise los procesos de captación de datos en los que puedan incluirse las recomendaciones anteriores.


Cuando su empresa decida iniciar una actuación comercial, mediante la adquisición de bases de datos procedentes de empresas especializada o terceros cuya nalidad es la de realizar dicha actividad con los datos personales que guran en los cheros de su empresa, deberá tener en cuenta, en primer lugar la necesidad de legitimar la adquisición de los datos o la prestación de servicios contractualmente y, en segundo lugar, cumplir con el Deber de Información en relación a los datos personales adquiridos. Los documentos y textos necesarios están a su disposición en el ANEXO MODELOS Y DOCUMENTOS GESTIÓN Y ACTIVIDAD. El detalle de la misma es el siguiente: 1.22. Cuando su empresa decida adquirir bases de datos para el envío de comunicaciones comerciales, por cualquiera de las vías posibles (postal, electrónico, telefónico o fax) será necesario que, para realizarlo con las debidas garantías se suscriba con el tercero vendedor de la información un Contrato para la compra venta de bases de datos, en el que se reejaran los aspectos más destacados, a nivel de protección de datos personales, y de todas aquellas normativas que sean de aplicación en estas actividades.

12


1.23. Si por el contrario, la empresa no desea adquirir bases de datos sino hacer una actuación concreta de telemarketing o similar con los datos de aquellos que ya son clientes, deberá tenerse presente lo contenido en el Contrato de servicios de acciones comerciales, lo cual no exime la adopción de otro tipo de medidas orientadas a legitimar el tratamiento y la nalidad pretendida, dependiendo de cada caso su concreción. Es de suma importancia que se ponga en contacto con el Responsable de Protección de Datos para que verique y autorice su contratación. 1.24 En cualquier caso, deberá incluirse en la comunicación el correspondiente Aviso legal informativo, para el envío de comunicaciones comerciales a destinatarios procedentes de bases de datos compradas a terceros , indicando cual ha sido la procedencia de los datos. La información anterior deberá proporcionarse al titular de los datos en los 3 meses siguientes a la obtención de los mismos. Superado el plazo anterior, su empresa se encontraría en una situación de incumplimiento.

Pasos a Seguir: a

Dispone de toda la documentación anterior en el ANEXO MODELOS Y DOCUMENTOS GESTIÓN Y ACTIVIDAD..

b

Inclusión de las cláusulas y avisos legales en facturas, presupuestos y hojas de pedidos.

c

Revise los procesos de captación de datos en los que puedan incluirse las recomendaciones anteriores.

13


4.

Relaciones Internacionales. Movimientos Internacionales de Datos.

4.1 Concepto y norma general para el Movimiento Internacional de Datos. Por Movimiento Internacional de datos (en adelante Transferencia Internacional ) se entiende que es todo aquel tratamiento de datos que supone su transmisión fuera del territorio de la Unión Europea, bien por que se realice una cesión de datos, o bien la transmisión tenga por objeto la realización de un tratamiento de datos por cuenta del responsable del chero establecido en territorio español, es decir, una relación de encargado del tratamiento. Usted debe tener en cuenta qué países son destinatarios de los datos y de ello dependerá la adopción de determinadas medidas y el cumplimiento de diferentes requisitos previstos por la LOPD, y ahora por el RDLOPD. Supuestos habituales: la empresa matriz se encuentra fuera de la Unión Europea, el servicio de alojamiento web está fuera de Europa, entre otros. La

norma general es no pueden realizarse Transferencias Internacionales a terceros

países que no reúnan las mismas medidas de seguridad que otro país sujeto a la Directiva de la unión Europea, excepto cuando se disponga de la autorización del Director de la AEPD.

4.2 Con destino a países de la Unión Europea. Cuando el país destinatario se encuentra dentro de la Unión Europea debemos tener en cuenta que:

1 2

No será necesaria autorización del Director de la AEPD. Deberá noticarse dentro del chero inscrito en el Registro General de Protección de Datos.

3

En caso de que la Transferencia sea originada por una cesión de datos deberá tener en cuenta lo previsto en la LOPD para estos supuestos, tales como consentimiento o habilitación legal.

4

En caso de tratarse de un Encargado del Tratamiento deberá rmarse el correspondiente Contrato de encargo con las previsiones de la LOPD y el RDLOPD. 14


Es imprescindible que si Usted detecta esta situación en su actividad diaria, se ponga en contacto inmediatamente con el Responsable de Protección de Datos para que adopte las medidas pertinentes.

4.3 Con destino a terceros países. Cuando la Transferencia Internacional tenga por destino otros países fuera de la Unión Europea, como por ejemplo Estados Unidos, China, Japón, países sudamericanos, entre otros, deberán cumplirse, con carácter general, para su información, los siguientes requisitos:

1

En caso de que sea un país, reconocido por la AEPD, con un nivel de protección adecuado (adherido a acuerdos de Save Harbour ), podrá realizarse la transferencia.

2

En caso de ser un país con un nivel de protección no adecuado, será necesaria la Autorización del Director de la AEPD , o en su defecto el consentimiento del titular de los datos, cumpliendo con el deber de información previa.

3

Deberá noticarse dentro del chero inscrito en el Registro General de Protección de Datos.

4

En caso de que la Transferencia sea originada por una cesión de datos deberá tener en cuenta lo previsto en la LOPD para estos supuestos, tales como el consentimiento o la habilitación legal.

5

Si la Transferencia de Datos se realiza al amparo de una relación de Encargado del Tratamiento será necesario rmar el correspondiente contrato, según las previsiones de la LOPD y el RDLOPD.

Ante cualquiera de las situaciones anteriores, tenga presente el ponerse en contacto, inmediatamente, con el Responsable de Protección de Datos para que adopte las medidas técnicas y organizativas correspondientes.

15


5

Formalización del compromiso de confidencialidad con terceros. El Encargado del Tratamiento.

La LOPD exige, entre sus medidas de seguridad, tener completamente documentado y analizado el ujo de datos con terceros y regularizar las responsabilidades, obligaciones y derechos con éstos. Se deben realizar o actualizar, mediante la incorporación de cláusulas referentes a la protección de datos, los contratos de prestación de servicios que pueda mantener con terceras empresas o personal autónomo.

5.1. Su empresa como Responsable del Fichero Índice de documentación relacionada: Terceros relacionados con el ámbito de los Recursos Humanos (Ver Anexo RRHH) : 1.11

Contrato de Encargado del Tratamiento Asesor Laboral

1.12

Contrato de Encargado del Tratamiento Abogado Laboralista.

1.13

Contrato de Encargado del Tratamiento Servicios Formativos

1.14

Contrato de Encargado del Tratamiento con Colaboradores

Anexo 1.

Detalle de Medidas de Seguridad adoptadas por el Encargado del Tratamiento. Aplicables a los Ficheros Automatizados.

Anexo 2.

Detalle de Medidas de Seguridad adoptadas por el Encargado del Tratamiento. Aplicables a los Ficheros NO Automatizados.

Terceros relacionados con el ámbito de la Gestión y la Actividad de la Empresa (Ver Anexo Gestión y Actividad) : 1.12

Contrato de Encargado del Tratamiento con Abogados.

1.13

Contrato de Encargado del Tratamiento con Colaboradores.

1.14

Contrato de Encargado del Tratamiento con Asesoría Fiscal.

1.15

Contrato de Encargado del Tratamiento con Auditoria de Cuentas.

1.16

Contrato de Encargado del Tratamiento con Empresa ISO.

1.17

Contrato de Encargado del Tratamiento con Empresa Video Vigilancia

1.18

Contrato de Encargado del Tratamiento con Empresa Servicios Informáticos 16


1.19

Contrato de Encargado del Tratamiento con empresa de transporte / mensajería. (Únicamente será necesaria su formalización en caso que el objeto de transporte contenga soportes (digitales o en papel) con datos de carácter personal)

1.8

Carta de acuse de recibo de entrega de documentación a un cliente por la finalización de la relación profesional.

Anexo 1. Detalle de Medidas de Seguridad adoptadas por el Encargado del Tratamiento. Aplicables a los Ficheros Automatizados. Anexo 2. Detalle de Medidas de Seguridad adoptadas por el Encargado del Tratamiento. Aplicables a los Ficheros NO Automatizados. En el momento en que su empresa contrate la prestación de servicios con un tercero, para cuya prestación, este tercero, requiera del acceso a datos de carácter personal, de los que su empresa sea responsable, según lo previsto en el Art. 12 de la LOPD, deberá procederse a la rma de un Contrato de Encargado de Tratamiento en el cual deberán gurar expresamente los siguientes aspectos:

1

Que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento.

2

Que no los aplicará o utilizará con n distinto al que gure en dicho contrato.

3

Que no los comunicará ni siquiera para su conservación a otras personas.

4

En el contrato se estipularán las medidas de seguridad a que se reere el Art. 9 de la LOPD que el encargado del tratamiento está obligado a implementar.

5

Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.

Cuando el encargado del tratamiento destine los datos a otra nalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del chero y deberá responder de las infracciones en que hubiera incurrido personalmente. Atendiendo a lo anterior, y con el objetivo de identicar las posibles relaciones con terceros, se adjunta una relación de contratos de encargado del tratamiento que 17


deberán ser rmados por la empresa (en su condición de responsable del chero) y por los terceros prestadores de servicios a la Empresa, incluidos los abogados y autónomos contratados en régimen mercantil/autónomo (en su condición de Colaborador con Acceso a Datos), por duplicado, teniendo ambos un ejemplar del mismo. Para ello deberá hacer uso de la documentación relacionada anteriormente, y en caso de duda póngase en contacto con su asesor. Pasos a Seguir:

a

Dispone de toda la documentación anterior en los Anexos de modelos y documentación de RRHH y Gestión y Actividad .

b

Identicados los documentos necesarios, deberá procederse a la regularización de los tratamientos en los que su entidad sea Responsable de Fichero atendiendo a las instrucciones del apartado 4.1 “Su empresa como Responsable de Fichero ”.

c

La formalización de los contratos relacionados, deberá hacerse por duplicado, disponiendo de una copia tanto la entidad como el encargado del tratamiento detectado

5.2. Su empresa como Encargado del Tratamiento. Índice de documentación relacionada: 1. Carta de acuse de recibo de entrega de documentación a un cliente por la finalización de la relación profesional. En relación a aquellos clientes de los que nuestra empresa es Encargado del Tratamiento, siendo ésta la que presta servicios que suponen el acceso a datos personales responsabilidad del cliente, será necesario que se asegure de la rma adecuada del correspondiente contrato de Encargado del Tratamiento, dependiendo del tipo de servicio prestado, así como incluir los avisos legales pertinentes. En el caso de que la relación con el Responsable del Fichero nalice su empresa, como Encargado del Tratamiento, deberá proceder a la supresión o devolución de los datos personales a los que haya tenido acceso o bien proceder a la devolución o destrucción de los soportes que los contenga, excepto en aquellos casos en los que, por imperativo legal, debamos conservar los datos. En el resto de supuestos en los que efectivamente no sea necesaria dicha conservación, deberá procederse a la devolución.

18


Para ello, ponemos a su disposición el documento que deberá ser entregado llegado a este punto: 1. Carta de acuse de recibo de entrega de documentación a un cliente por la finalización de la relación profesional. Pasos a Seguir:

a

Dispone de toda la documentación anterior en el apartado Anexos de modelos y documentación de RRHH y Gestión y Actividad.

b

Identicados los documentos necesarios, deberá procederse a la regularización de los tratamientos en los que su entidad sea Encargado del Tratamiento atendiendo a las instrucciones del apartado 4.2 “Su empresa como Encargado del Tratamiento ”.

c

La formalización de los contratos relacionados, deberá hacerse por duplicado, disponiendo de una copia tanto la entidad como el encargado del tratamiento detectado.

5.3. Compromiso de confidencialidad con terceros. Documentación relacionada Anexo Gestión y Actividad : 1.10

Acuerdo de confidencialidad con el servicio de limpieza.

1.11 Acuerdo de confidencialidad por parte de la empresa de mensajería . Hay supuestos en los que, a pesar de contratar un servicio que no comporta el acceso a datos de carácter personal, hay probabilidades de que pueda haber un acceso a los mismos. En este sentido, el Art. 10 de la LOPD (que anteriormente se aplicó al compromiso de condencialidad de los trabajadores) regula el Deber de Secreto. De esta manera, por ejemplo en la contratación de servicios de limpieza o similares, deberá procederse a la rma (con la empresa de limpieza o bien con la persona física, en calidad de autónoma) del Acuerdo de confidencialidad con el servicio de limpieza en relación a los datos a los que pudiera tener acceso en el desarrollo de sus a ctividades profesionales. Esta obligación será también aplicable para los supuestos de contratación de servicios de mensajería, que no requiera del acceso a datos personales. Por lo tanto, deberá proceder a la rma del Acuerdo de confidencialidad por parte de la empresa de mensajería.

19


Pasos a Seguir:

a

Dispone de toda la documentación anterior en el Anexo documentación Gestión y Actividad .

b

Identicados los documentos necesarios, deberá procederse a la regularización de las relaciones con terceros que, a pesar de no necesitar el acceso a datos personales para la prestación de servicios, pueden llegar a tener conocimiento de los mismos. Para ello deberá seguir las indicaciones del apartado 4.3 “Compromiso de confidencialidad con Terceros ”.

c

La formalización de los documentos relacionados, deberá hacerse por duplicado, disponiendo de una copia tanto la entidad como el encargado del tratamiento detectado.

ATENCIÓN Tras el envío de los diversos documentos de los documentos y contratos a todos los terceros reseñados, debe realizar el correspondiente seguimiento hasta la recepción de los documentos rmados y la incorporación de la copia rmada en la carpeta de protección de datos entregada.

Cualquier cambio en la persona o condición de estos terceros implicará la redacción y rma de un nuevo documento.

20


6

Documento de Seguridad y adopción de medidas técnicas y organizativas de seguridad.

Según lo previsto en el Art. 88 del Real Decreto 1720/2007 mediante el que se aprueba el Reglamento de desarrollo de la LOPD, se ha confeccionado el Documento de Segurida d en el cual se establecen y documentan los aspectos previstos por el Reglamento y de aplicación tanto al soporte automatizado como el papel. Los puntos relevantes que tiene que supervisar y controlar son los siguientes Paso Previo: Designación del Responsable de Seguridad mediante su nombramiento a través del Anexo V. Nombramientos , ubicado en los Anexos del Documento de Seguridad . Junto con su designación, el Responsable deberá ser formado con el objetivo de tener presentes las obligaciones en materia de protección de datos, y las actuaciones de revisión y vericación que prevé la normativa.


a

Perfiles de Usuario: Documentar los perles de usuario con los permisos adecuados para todo el personal de la empresa, delimitando por razón de sus funciones los accesos que dicho personal puede tener (Anexo VI del Documento de Seguridad).

b

Política de Contraseñas: Seguir la política de contraseñas descrita en el documento de seguridad para cheros automatizados. Proceder a cambiar periódicamente las contraseñas.

c

Copias de Seguridad: En cheros automatizados, debe realizarse una copia de seguridad del disco duro del servidor y de cada una de las estaciones de trabajo de sobremesa o portátiles que contengan información con datos personales.

Formación de responsables y usuarios: Paralelamente al proceso de adaptación a la L.O.P.D. que ha iniciado es preciso asegurarse de la realización de la preceptiva formación tanto al responsable como a los usuarios de su empresa que accedan y traten datos personales. Para los trabajadores cuya formación es obligatoria, se debe además 21


cumplir con el Documento de Información y Compromiso de Confidencialidad del

Trabajador, así como la normativa establecida, con carácter general, para le uso de Recursos Informáticos, soporte en papel y unidades portátiles. Pasos a Seguir:

a

Dispone de toda la documentación relacionada con elDocumento de Seguridad, tanto en soporte técnico como en papel .

b

Es imprescindible que se proceda a su cumplimentación, así como a su actualización, con el objetivo de poder tener detalladas las medidas de seguridad aplicables.


Complementariamente a las indicaciones anteriores, deberán incluirse en el texto del Documento de Seguridad, las siguientes medidas propuestas por el Reglamento 1720/2007 para cada tipo de nivel de protección, atendiendo a la naturaleza de los datos. Por todo ello, pasamos a resumir brevemente las medidas contenidas en cada nivel de protección, a riesgo de repetir alguna de las anteriormente expuestas, así como las medidas que, con carácter general, deberán ser aplicadas al tratamiento de datos de carácter personal.

a

Medidas generales: a. El Acceso a datos a través de redes de comunicaciones deberán cumplir con las mismas medidas de seguridad que serían de aplicación en modo local. De esta forma deberá incluirse en el documento de seguridad lo siguiente: i. Inventario de equipos y Aplicaciones: Se debe elaborar un Inventario de equipos. Éste deberá adjuntarse al documento de seguridad incluyendo también las aplicaciones informáticas de que se dispone y los equipos de reprografía y comunicaciones (Anexo II del Documento de Seguridad). ii. Actualización del antivirus: Asegurar que el antivirus se actualiza, como mínimo una vez al mes. b. Regular elTratamiento de datos fuera de las instalaciones, tales como el uso de portátiles que contengan datos personales responsabilidad de la entidad. El responsable del chero deberá dar su consentimiento 22


por escrito para dicha actuación, así como garantizar la aplicación de las medidas de seguridad correspondientes. c. Deberá controlarse el uso y generación de ficheros temporales que provengan de las bases de datos internas de la entidad. Como por ejemplo el uso de excels y words utilizados a tal n. d. Adopción e implantación de un Documento de seguridad que recoja todas las medidas de seguridad aplicadas por el Responsable del Fichero. Éste deberá permanecer en todo momento actualizado.

b

Nivel Básico: a. Funciones y Obligaciones del personal: El Responsable deberá informar a todo el personal de los derechos y obligaciones en relación al tratamiento de datos y la aplicación de las medidas de seguridad, así como de las consecuencias en que pudiera incurrir en caso de incumplimiento. Para ello se denirán las funciones de los diferentes perles de usuarios con acceso a datos de carácter personal en el Documento de Seguridad. También informará de la asistencia a la formación, con dicho n, proporcionada por el Responsable del Fichero. b. Registro de Incidencias: Toda persona que detecte cualquier situación que ponga en peligro la seguridad de los datos de carácter personal deberá noticarlo al Responsable de Seguridad, así como cualquier incidencia o variación que detecte respecto de la operativa habitual que se produzca, ya sea informática, telemática, física, o de cualquier otra índole, mediante el formulario adjunto en el Documento de Seguridad (Anexo XI y XII), incluido el tratamiento de datos en soporte papel. c. Sistemas de Identificación y Autenticación: Deberán implantarse sistemas basados en contraseñas para la identicación de los usuarios con acceso a datos de carácter personal, debiendo actualizar/ modicarse con una periodicidad suciente, que en ningún caso será superior a un año, para evitar el acceso a datos personales, por parte de usuarios genéricos. d. Controles de Acceso: Atendiendo a la medida anterior, los accesos deberán ser individualizados, y especícamente delimitados por el Responsable de Seguridad o persona encargada de dicha labor. De manera que, será necesario denir los perles de los usuarios con acceso a datos. 23


e. Gestión de soporte: Todo soporte que contenga datos de carácter personal deberá estar claramente identicado y deberá especicarse cual es el procedimiento, dentro del Documento de Seguridad, de reutilización y/o destrucción. f.

Sistema de Copias de Seguridad: Deberá establecerse un mecanismo de realización de copias de seguridad, como mínimo semanalmente, de los sistemas de tratamiento informáticos y custodiarse en un lugar protegido de cualquier peligro de destrucción. Asimismo se establecerán procedimientos para la recuperación de los datos que garanticen su reconstrucción en todo momento.

g. Gestión de Soportes: Registro de Entradas y Salidas : Todo movimiento de soportes que contengan datos de carácter personal fuera de las instalaciones del Responsable del Fichero deberá gurar en un registro de entradas y salidas, (Anexo III y IV del Documento de Seguridad) . Los soportes informáticos que contengan datos de carácter personal deberán permitir la identicación del tipo de información que contienen y ser inventariados y almacenados en un lugar al que únicamente pueda acceder el personal autorizado. Por ello, conviene etiquetar los soportes y guardarlos en un lugar al que no puedan acceder las personas sin autorización (Anexo II del Documento de Seguridad). h. Ficheros no automatizados: El nuevo Reglamento de Desarrollo de la LOPD amplia su ámbito de aplicación, en relación a la anterior normativa, a cheros y tratamiento de datos no automatizados. Entre las medidas previstas para este tipo de cheros se encuentran las siguientes: 1.- Criterios de archivo que garanticen la correcta conservación, localización y consulta de los documentos, y posibiliten el ejercicio de los derechos de oposición, acceso recticación y cancelación sobre el tratamiento. En defecto de legislación al respecto el responsable deberá establecer dichos criterios. 2.- Mecanismos que obstaculicen la apertura de dispositivos de almacenamiento de documentos , en caso de que ello no sea posible el responsable tomará las medidas necesarias para impedir el acceso a personas no autorizadas. Cuando los documentos no se encuentren archivados en dichos dispositivos de almacenamiento la persona que esté al cargo de los mismos deberá impedir que pueda ser accedida por persona no autorizada. 24


c

Nivel Medio: a. Responsable de Seguridad: Deberá designarse uno o varios Responsables de Seguridad encargados de la observan cia, coordinación y control del adecuado cumplimiento de las medidas de seguridad y de los requerimientos legales previstos por la LOPD. Esta medida es aplicable también a los cheros no automatizados. b. Auditoria: Se establece reglamentariamente la obligación de someterse a una auditoria con

carácter bianual sobre el grado de cumplimiento

de las obligaciones en materia de protección de datos. Nuestro equipo se pondrá en contacto con Ud para la realización de esta Auditoria. Esta medida es aplicable también a los cheros no automatizados

c. Política de contraseñas: En relación al acceso informático a la información deberá limitarse el número de intentos fallidos de acceso al sistema. d. Control de acceso físico: Deberá limitarse el acceso físico al personal debidamente actualizado a las dependencias donde se encuentren ubicados los cheros que contengan datos personales, ya sea en soporte informatizado o en papel. e. Registro de Incidencias y Recuperación de Datos: Toda actuación de recuperación de datos del sistema, a través de sistemas de copias de seguridad o sistemas semejantes, deberán constar en el registro de incidencias. f.

Medidas aplicables al supuesto de pruebas con datos reales: estas pruebas deberán realizarse las medidas de seguridad igualmente aplicables a un entorno de producción del tratamiento de datos informático.

d

Nivel Alto: a. Cifrado de soportes: Todo aquel soporte que salga de la entidad y contenga datos de carácter personal deberá estar cifrado o encriptado con mecanismos que impidan el acceso a la información por terceros no autorizados. b. Registro de Accesos: Para los datos de nivel alto deberá establecerse un registro de accesos que, mediante la inclusión de nombres de usuario y contraseñas, permita identicar al usuario que accede, fecha, hora, recurso, actuación realizada y si ha sido denegada o aceptada. Dicho registro deberá conservarse, al menos durante 2 años. 25


c. Copias de Seguridad, Ubicación: Los soportes que contengan las copias de seguridad, al menos una de ellas mensual, deberá custodiarse en un lugar diferente de las instalaciones del Responsable del Fichero. d. Telecomunicaciones: En el momento en el que se transmitan datos por medios de telecomunicaciones, esta transmisión deberá estar encriptada o previamente sometida un proceso de disociación que impida la identicación y el acceso a datos personales por terceres durante la misma. e. Ficheros no automatizados: Entre la medidas de seguridad de nivel alto que se contemplan en el Reglamento que desarrolla la LOPD se encuentran las siguientes: 1.- Áreas restringidas a terceros no autorizados: Los armarios o archivadores donde se almacenen cheros no automatizados, deberán encontrarse en áreas de acceso protegido con puertas de acceso dotadas de sistemas de apertura mediante llave o dispositivo equivalente. Si ello no fuera posible dadas las características de los locales del responsable, éste adoptará las medidas necesarias, que se incluirán en el documento de seguridad para restringir el acceso a dichas áreas. 2.- Sistema de copias de documentos: La generación de copias de los documentos sólo se podrá llevar a cabo bajo el control del personal autorizado en el documento de seguridad. Las copias desechadas se destruirán para que se evite la recuperación de las mismas. 3.-Acceso a la documentación: El acceso a la documentación se limitará al personal autorizado .Se establecerán mecanismos que permitan identicar los accesos realizados a aquellos documentos que puedan ser utilizados por varios usuarios. Asimismo quedará registrado el acceso del personal no autorizado a estos documentos 4.- Traslado de documentación: El traslado físico de la documentación implicará el deber de adoptar medidas dirigidas a impedir el acceso o manipulación de esa información.

26


Documento de Información y Compromiso de Confidencialidad del Trabajador. Pasos a Seguir:

a

Dispone de toda la documentación relacionada con el documento de seguridad en el apartado “Documento de Seguridad ”

b

Es imprescindible que se proceda a su cumplimentación, así como a su actualización , con el objetivo de poder tener detalladas las medidas de seguridad aplicables.

6.3 Otros Aspectos

a) Inventario de Soportes: Los soportes informáticos que contengan datos de carácter personal deberán permitir la identicación del tipo de información que contienen y ser inventariados y almacenados en un lugar al que únicamente pueda acceder el personal autorizado. Por ello, conviene etiquetar los soportes y guardarlos en un lugar al que no puedan acceder las personas sin auto rización (Anexo XV del Documento de Seguridad).

b) Registro de Salida de Soportes: La entrada y salida de soportes deberá seguir lo estipulado en el documento de seguridad siempre que contengan datos de carácter personal (Anexo XVII y XVIII del Documento de Seguridad).

c) Inventario de equipos y Aplicaciones: Se debe elaborar un Inventario de equipos. Éste deberá adjuntarse al documento de seguridad incluyendo también las aplicaciones informáticas disponibles y los equipos de repr ografía y comunicaciones (Anexo II del Documento de Seguridad).

d) Archivos de datos personales en formato “word” y “excel”: Las hojas de cálculo y otros cheros que contengan datos condenciales deberían protegerse mediante contraseña evitando así el acceso a los mismos por personas no autorizadas.

e) Actualización del antivirus: Asegurar que el antivirus se actualiza, como mínimo una vez al mes.

27


Recuperación de Datos: Denir los procesos de recuperación de copias de seguridad, indicando la persona encargada de realizarla, tipo de datos recuperados y equipo utilizado

ATENCIÓN

Las precedentes medidas técnicas están descritas en su documento de Seguridad y tienen que ser implantadas oportunamente en su sistema de información, en especial las que hacen referencia a aspectos críticos. El resto de medidas tienen que ser reseñadas en el Documento de Seguridad y mantenerse actualizadas en relación a los cambios o incidentes que se produjeren.

28


7

Otras medidas de cumplimiento obligatorio.

A continuación les detallamos aquellos aspectos de seguridad que su entidad debe tomar en consideración a afectos de documentación de procedimientos y estándares para adaptarse a los nuevos requisitos legislativos.

Los puntos a comentar de modo no exhaustivo son los siguientes:

1

Ley de Servicios de la Sociedad de la Información y del Comercio Electrónico (LSSICE) Si su entidad posee un sitio Web, aunque no realice actividades de comercio electrónico, debería proceder a la adaptación del mismo a los requisitos establecidos en la LSSICE. La LSSICE se aplica a todas las actividades que se realizan por medios electrónicos y redes interactivas, ya tengan carácter comercial o persigan un n económico. Así, su entidad se ve afectada por la LSSICE no sólo por tener una página Web sino también por utilizar el correo electrónico como medio idóneo para ponerse en contacto con terceros tales como clientes, proveedores etc…

2

Auditoria bianual Se establece reglamentariamente la obligación de someterse a una auditoria con carácter bianual sobre el grado de cumplimiento de las obligaciones en materia de protección de datos. Nuestro equipo se pondrá en contacto con Ud para la realización de esta Auditoría.

29

0 Recomendaciones Implantacion Guia Avanzada

Recommend Documents