DOCUMENTO DE SEGURIDAD LOPD DE TEODORO SANZ GIL

3.3 MEDIDAS DE SEGURIDAD PARA FICHEROS Y/O TRATAMIENTOS NO AUTOMATIZADOS3.3.1. CRITERIOS DE ARCHIVOEl archivo de soportes o documentos se realizará de acuerdo con los criterios previstos en su respectiva legislación.Estos criterios deberán garantizar la correcta conservación de los documentos, la localización y consulta de la información y posibilitar el ejercicio de los derechos de oposición al tratamiento, acceso, rectificación y cancelación.En aquellos casos que no exista normativa aplicable, el Responsable del Fichero deberá establecer los criterios y procedimientos de actuación que deban seguirse para el archivo.Los criterios y procedimientos de archivo se encuentran descritos en el ANEXO III.3.3.2. ALMACENAMIENTO DE LA INFORMACIÓNLos dispositivos de almacenamiento de los documentos que contengan datos de carácter personal, deberán disponer de mecanismos que obstaculicen su apertura, mediante llaves u otros dispositivos que realicen la misma función.Cuando las características físicas no permitan adoptar esta medida, el Responsable del Fichero o tratamiento adoptará las medidas que impidan el acceso de personas no autorizadas.Los dispositivos utilizados para almacenar datos de carácter personal, se encuentran descritos en el ANEXO III.3.3.3. ACCESO A LOS DOCUMENTOSEl acceso a los documentos que contengan datos de carácter personal, se limitará de forma exclusiva al personal autorizado e identificado en el ANEXO I.3.3.4. CUSTODIA DE DOCUMENTOSEn tanto los documentos con datos personales no se encuentren archivados en los dispositivos de almacenamiento indicados en el punto anterior, por estar en proceso de tramitación, las personas que se encuentren a su cargo deberán custodiarlos e impedir el acceso de personas no autorizadas.3.3.5. TRASLADO DE DOCUMENTACIÓNSiempre que se proceda al traslado físico de la documentación contenida en un fichero, deberán adoptarse las medidas que impidan el acceso indebido, manipulación, sustracción o pérdida de la información objeto del traslado durante el transporte de la misma. Dichas medidas son:

• El traslado del soporte fuera de las instalaciones, debe realizarse siempre en un maletín o contenedor similar y que disponga de mecanismo que para su apertura precise de una llave o el conocimiento de una combinación.
• En todo momento el maletín o contenedor debe estar controlado, bajo supervisión de la persona que lo custodia.

3.3.6. DESTRUCCIÓN DE DOCUMENTACIÓNUno de los mayores peligros para la confidencialidad de los datos son los documentos desechados.Todos los documentos en papel desechados que contengan datos de carácter personal, deberán ser eliminados o destruidos de acuerdo al siguiente procedimiento:

• Como norma general ningún documento debe ser nunca dejado para retirar sin ser destruido o depositado en un contenedor de la empresa encargada de la destrucción de los datos si la hubiera, o destruido por otros medios que impidan la recuperación de la información.
• Aquellos soportes en papel o material blando, y que no sean demasiado voluminosos, deberán ser destruidos en una destructora de papel.
• En caso de no existir máquina destructora de papel o en el caso de que los listados o documentos sean muy voluminosos, deberán ser depositados en unos contenedores confidenciales herméticos para ser entregados a una empresa encargada de la destrucción de los datos, que garantice mediante contrato la destrucción de los mismos.
• El Responsable del Fichero deberá exigir a la empresa encargada de la destrucción de los datos un contrato en el que se comprometan bajo penalización a la completa destrucción de todo el material retirado.
• ENTORNO DE SEGURIDAD

1. CENTROS DE TRATAMIENTO Y LOCALES

Los locales donde se ubican los ficheros deben ser objeto especial de protección que garanticen la confidencialidad e integridad de los datos protegidos.

• Los locales deberán contar con los medios mínimos de seguridad que garanticen la confidencialidad e integridad de los datos protegidos, siendo conveniente que disponga de dispositivos extintores, alarmas, etc.
• Si el tratamiento de los datos del fichero se realiza en locales ajenos, debido a un contrato con un Encargado de tratamiento (al que se le encarga mediante contrato el tratamiento parcial o total de los datos personales), el Encargado de tratamiento deberá elaborar un documento de seguridad en el que se describan las medidas de seguridad adoptadas para proteger el fichero o completar el que ya hubiera elaborado, en su caso, identificando el fichero o tratamiento y el responsable del mismo e incorporando las medidas de seguridad a implantar en relación a dicho tratamiento.

3.4.2. PUESTOS DE TRABAJOSon todas aquellas estancias, despachos, mesas de trabajo, así como los dispositivos desde los cuales se puede acceder a los datos del fichero, como por ejemplo, ordenadores personales o terminales de trabajo.

• Cada puesto de trabajo estará bajo la responsabilidad de una persona de las autorizadas en el ANEXO I, que garantizará que la información no pueda ser vista por personas no autorizadas.
• Esto implica que los puestos de trabajo deberán estar físicamente ubicados en lugares que garanticen la confidencialidad, así como las pantallas, impresoras y cualquier otro dispositivo conectado al puesto de trabajo y desde el que sea posible tener acceso a datos de carácter personal.
• Cuando el responsable del puesto de trabajo lo abandone, bien temporalmente, o bien al finalizar su turno de trabajo, deberá dejarlo en un estado que impida la visualización de datos protegidos. Esto podrá realizarse a través de un protector de pantalla que impida la visualización de los datos. Para reanudar el trabajo será necesaria la introducción de una contraseña que desactive el protector de pantalla. Deberá retirar también cualquier soporte, como documentos, fichas, discos, u otros que contengan datos del fichero, y proceder a guardarlos en su ubicación protegida habitual.
• En el caso de las impresoras, deberá asegurarse que no quedan documentos con datos personales en la bandeja de salida. Si las impresoras son compartidas, el usuario que ha mandado la impresión deberá retirar los documentos conforme vayan siendo impresos.
• Queda expresamente prohibido cualquier cambio de la configuración de la conexión de los puestos de trabajo a sistemas o redes exteriores, que no esté autorizada previamente por el Responsable del Fichero.
• El trabajo fuera de los locales del Responsable del Fichero, solo se podrá realizar cuando exista una autorización previa del Responsable del Fichero o del encargado del tratamiento, en todo caso, deberá garantizarse el nivel de seguridad.
• No deberá copiarse, ni transportar información en portátiles, o equipos que se encuentren fuera de las oficinas sin la correspondiente autorización del Responsable del Fichero. Especial consideración deberán tener los puestos de trabajo portátiles, como ordenadores portátiles o PDA. Estos dispositivos portátiles, cuando puedan almacenar datos personales, deberán contar con una autorización especial por parte del Responsable del Fichero o tratamiento, debiendo estar inventariados en el ANEXO II como puestos de trabajo portátiles y la autorización correspondiente en el ANEXO V, especificando el usuario, tipo de datos que podrá tratar y periodo de la autorización, así como las medidas extraordinarias para evitar perdida de confidencialidad en caso de pérdida o robo del equipo. En cualquier caso, estos dispositivos deberán contar como mínimo con las mismas medidas de seguridad que los puestos de trabajo fijos, con una especial atención a los controles de acceso, que impidan acceder a los puestos de trabajo por parte de terceros en caso de pérdida o robo.

3.4.3. SISTEMA OPERATIVO Y COMUNICACIONESAunque las aplicaciones que acceden al fichero se encuentran descritas en el ANEXO I, al estar el fichero ubicado en un ordenador con un sistema operativo determinado y poder contar con conexiones que le comunican con otros ordenadores, es posible, para personas que conozcan estos entornos, acceder a los datos protegidos sin pasar por los procedimientos de control de acceso con los que pueda contar la aplicación.Se debe, por tanto, regular el uso y acceso a las partes del sistema operativo, herramientas o programas de utilidad, o del entorno de comunicaciones sean o no públicas, para impedir que personas no autorizadas con conocimientos tecnológicos avanzados en estos entornos puedan saltarse las barreras de seguridad de la aplicación o sistema de acceso al fichero.

• Cada fichero deberá tener un Administrador, que puede ser común para todos los ficheros o distinto en cada uno de ellos. En todo caso, como responsable, deberá estar nombrado debidamente en el ANEXO IV.
• El sistema operativo donde se ejecuta la aplicación, deberá tener su acceso restringido mediante código de usuario y contraseña. Ninguna herramienta o programa de utilidad que permita el acceso al Fichero deberá ser accesible a ningún usuario o administrador no autorizado en el ANEXO IV.
• El Administrador del fichero deberá responsabilizarse de guardar en lugar protegido las copias de seguridad del Fichero, de forma que no tengan acceso a las mismas personas no autorizadas.
• Si la aplicación o sistema de acceso al Fichero utilizase usualmente ficheros temporales, o cualquier otro medio en el que pudiesen ser grabados copias de los datos protegidos, el administrador deberá asegurarse que estos datos no pueden ser accedidos posteriormente por personal no autorizado.
• Si el ordenador en el que está ubicado el Fichero forma parte de una red de comunicaciones, de forma que desde otros equipos conectados a esta red, sea posible acceder al Fichero, el administrador responsable del sistema, deberá asegurarse que no se permite el acceso a personas no autorizadas.

3.4.4. APLICACIONES DE ACCESO AL FICHEROSon aquellos programas o aplicaciones con las que se puede acceder a los datos del Fichero, y que son utilizadas por los usuarios para acceder a ellos. Las aplicaciones que acceden a los ficheros están descritas en el ANEXO I.Estos  programas  pueden  ser  aplicaciones  expresamente  diseñadas  para  acceder  al Fichero, o paquetes de uso general disponibles en el mercado.

• Las aplicaciones que acceden al Fichero deberán tener su acceso restringido mediante un código de usuario y una contraseña, o bien, mediante otros sistemas, como firma electrónica o control biométrico, por ejemplo.
• Si la aplicación informática que permite el acceso al Fichero no cuenta con un control de acceso, deberá ser al propio sistema operativo, donde se ejecuta esa aplicación, el que impida el acceso no autorizado mediante el citado nombre de usuario y contraseña.

3.4.5. BASES DE DATOS O ARCHIVOS OFIMÁTICOSLos datos personales están ubicados físicamente en ficheros o en bases de datos, que deben ser protegidos.Por otra parte, en la operativa diaria de tratamiento de los datos, pueden producirse copias de los datos protegidos sobre otros ficheros o archivos ofimáticos para tratamientos especiales. En estos casos deberá prestarse la adecuada protección a estos ficheros mientras existan.Se deberá evitar el guardar copias de los datos personales en ficheros temporales. En caso de que el tratamiento haga imprescindible realizar dichas copias, se deberán adoptar las siguientes precauciones:

• Realizar siempre las copias sobre un mismo directorio de nombre TEMP o similar, de forma que no queden dispersas por el disco duro, y siempre sea posible conocer donde están los datos temporales.
• Tras realizar el tratamiento que ha requerido estos datos temporales, proceder a su inmediata eliminación.
• Los ficheros temporales creados exclusivamente para la realización de trabajos temporales o auxiliares, deberán cumplir el nivel de seguridad que les corresponda en función de los datos que contienen.

4. PROCEDIMIENTO GENERAL DE INFORMACIÓN AL PERSONAL

Las funciones y obligaciones de cada una de las personas con acceso a los datos de carácter personal y a los sistemas de información están definidas de forma general en el Capítulo siguiente y de forma específica para cada fichero en la parte del ANEXO I correspondiente.TEODORO SANZ GIL debe poner en conocimiento de personal las medidas y normas que les afectan en el desarrollo de sus funciones, así como de las consecuencias de no cumplirlas. Asimismo, deberá tener a disposición del personal la parte que les afecte del presente Documento de Seguridad.Para asegurar que todas las personas conocen las normas de seguridad que afectan al desarrollo de sus funciones, así como las consecuencias del incumplimiento de las mismas, serán informadas de acuerdo con el siguiente procedimiento:Se les dará una copia de las Funciones y obligaciones del personal, y que se encuentran en el ANEXO VI.

5. FUNCIONES Y OBLIGACIONES DEL PERSONAL

Todo el personal que acceda a datos de carácter personal está obligado a conocer y observar las medidas, normas, procedimientos, reglas y estándares que afecten a las funciones que desarrolla.Constituye una obligación del personal notificar al Responsable del Fichero las incidencias de seguridad de las que tengan conocimiento respecto a los recursos protegidos, según los procedimientos establecidos en este Documento de Seguridad, y en concreto en el apartado de «Procedimiento de notificación, gestión y respuesta ante incidencias».Todas las personas deberán guardar el debido secreto y confidencialidad sobre los datos personales que conozcan en el desarrollo de su trabajo.Además del Responsable del Fichero, el personal afectado por esta normativa se puede clasificar en los siguientes perfiles genéricos:

1. Administradores, encargados de administrar o mantener el entorno operativo del Fichero, así como conceder, alterar o anular el acceso autorizado a los datos. Este personal deberá estar explícitamente relacionado en el ANEXO I, ya que por sus funciones, pueden tener acceso a los datos protegidos saltándose las barreras de acceso de las aplicaciones o sistemas de información.
2. Encargado del tratamiento, es la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o con otros, trate datos personales por cuenta del Responsable del Fichero, como consecuencia de una relación jurídica descrita en el ANEXO VII, y cuyo ámbito se delimita en este documento. El tratamiento de los datos por un Encargado de tratamiento estará sometido en todo caso a las medidas de seguridad contempladas en este Documento.
3. Usuarios del Fichero, o personal que usualmente accede al Fichero para su tratamiento, y que debe estar explícitamente relacionado en el ANEXO I.
4. Otras personas, de empresas ajenas que por motivo de su desempeño profesional, puedan potencialmente tener acceso a la información de carácter personal.

Este documento es de obligado cumplimiento para todos ellos. Las funciones y obligaciones del personal en materia de protección de datos, están descritas en el ANEXO VI.Aquellas personas, ya sea de la propia organización, o de empresas ajenas, que realice trabajos que no impliquen el tratamiento de los datos personales, como por ejemplo, el personal de limpieza o vigilancia, etc., tendrán limitado el acceso a estos datos, a los soportes que los contengan y a los recursos del sistema de información.Cuando se trate de personal ajeno, el contrato de prestación de servicios recogerá expresamente la prohibición de acceder a los datos personales y la obligación de secreto respecto a aquellos datos que hubiera podido conocer durante la prestación del servicio.El Responsable del Fichero o del tratamiento podrá delegar sus funciones en otras personas designadas a tal efecto, pero esta delegación deberá constar expresamente en el ANEXO IV de este Documento de Seguridad, donde se anotará el nombre de estas personas, así como las funciones delegadas. En ningún caso esta designación supondrá una delegación de la responsabilidad que corresponde al Responsable del Fichero o del tratamiento.

6. ENCARGADOS DEL TRATAMIENTO

Encargado del tratamiento es la persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos de carácter personal por cuenta del responsable del tratamiento o responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio.A modo de ejemplo, la asesoría que realiza las nóminas, es encargada del tratamiento para la empresa que manda realizar ese trabajo.6.1. OBLIGACIONESLa realización de tratamientos por cuenta de terceros, deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento o responsable del fichero, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas.En el contrato se estipularán, asimismo, las medidas de seguridad que el encargado del tratamiento está obligado a implementar.Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento o responsable del fichero.Las prestaciones de servicios sin acceso a datos personales, (como por ejemplo, servicios de limpieza o vigilancia), también deben quedar reguladas por un contrato, que recogerá expresamente la prohibición de acceder a los datos personales y la obligación de secreto respecto a los datos que el personal hubiera podido conocer con motivo de la prestación del servicio.6.2. RESPONSABLE Y ENCARGADODebemos tener en cuenta que, como entidad, podemos tener al mismo tiempo dos roles diferenciados: somos responsables de fichero de los datos propios (clientes, empleados, etc.), y al mismo tiempo, encargados del tratamiento de datos de nuestros clientes.6.2.1. COMO RESPONSABLE DEL FICHEROAntes de que tenga lugar ningún tratamiento, se debe formalizar un contrato con el encargado del tratamiento en los términos descritos en el apartado 6.1.Deberán también detallarse las circunstancias en que tiene lugar dicho tratamiento:

1. Cuando el responsable del fichero o tratamiento facilite el acceso a los datos, a los soportes que los contengan o a los recursos del sistema de información que los trate a un encargado de tratamiento que preste sus servicios en los locales del primero (por ejemplo, la empresa externa que realiza el mantenimiento de los sistemas), deberá hacerse constar esta circunstancia en el documento de seguridad de dicho responsable, comprometiéndose el personal del encargado al cumplimiento de las medidas de seguridad previstas en el citado documento.
2. Cuando dicho acceso sea remoto, habiéndose prohibido al encargado incorporar tales datos a sistemas o soportes distintos de los del responsable, este último deberá hacer constar esta circunstancia en el documento de seguridad del responsable, comprometiéndose el personal del encargado al cumplimiento de las medidas de seguridad previstas en el citado documento.
3. Si el servicio fuera prestado por el encargado del tratamiento en sus propios locales, ajenos a los del responsable del fichero, deberá elaborar un documento de seguridad en los términos exigidos por el reglamento, o completar el que ya hubiera elaborado, en su caso, identificando el fichero o tratamiento y el responsable del mismo e incorporando las medidas de seguridad a implantar en relación a dicho tratamiento.
4. En aquellos casos en los que los datos personales de un fichero o tratamiento se incorporen y traten de modo exclusivo en los sistemas del encargado, el responsable deberá anotarlo en su documento de seguridad. Cuando tal circunstancia afectase a parte o la totalidad de los ficheros o tratamientos del responsable, podrá delegarse en el encargado la llevanza del documento de seguridad, salvo en lo relativo a aquellos datos contenidos en recursos propios. Este hecho se indicará de modo expreso en el contrato, con especificación de los ficheros o tratamientos afectados.

En el ANEXO VII se recogen los tratamientos efectuados por terceros, detallando las condiciones del encargo y el periodo de vigencia.6.2.2. COMO ENCARGADO DEL TRATAMIENTOCuando exista un tratamiento de datos por cuenta de terceros, el Documento de Seguridad deberá contener la identificación de los ficheros o tratamientos que se traten en concepto de encargado, con referencia expresa al contrato o documento que regule las condiciones del encargo, así como de la identificación del responsable y del periodo de vigencia del encargo.En  el  ANEXO  I  se  recogen  los  ficheros  que  TEODORO SANZ GIL trata  como encargado del tratamiento y en el ANEXO VII el detalle de cada uno de los encargos realizados.

7. PROCEDIMIENTOS DE NOTIFICACIÓN, GESTIÓN Y RESPUESTA ANTE LAS INCIDENCIAS

Se considerarán como “incidencias de seguridad”, entre otras, cualquier incumplimiento de la normativa desarrollada en este Documento de Seguridad, así como cualquier anomalía o evento que afecte o pueda afectar a la seguridad de los datos de carácter personal en sus tres vertientes de confidencialidad, integridad y disponibilidad.Se deberán tener en cuenta, entre otras, las siguientes incidencias:

• Pérdida de información de algún fichero de datos de carácter personal.
• Modificación de datos personales por personal no autorizado o desconocido.
• Existencia de sistemas de información sin las debidas medidas de seguridad.
• Los intentos de acceso no autorizados a ficheros de carácter personal.
• El conocimiento por terceros de la clave de acceso al sistema.
• El intento no autorizado de salida de un soporte.
• La existencia de soportes sin inventariar y que contengan datos personales.
• La destrucción total o parcial de un soporte que contenga datos de carácter personal.
• La caída del sistema de seguridad informática, que posibilite el acceso a datos personales por personas no autorizadas.
• El cambio de la ubicación física de ficheros con datos de carácter personal.
• Cualquier incidencia que pueda afectar a la confidencialidad, integridad y/o disponibilidad de los datos de carácter personal.

Todos los usuarios, administradores, responsables, así como cualquier persona que tenga acceso a datos de carácter personal, deben tener conocimiento de este procedimiento para actuar en caso de incidencia.Este procedimiento se ha dado a conocer a todo el personal que trata con datos de carácter personal de TEODORO SANZ GIL y es el descrito en el ANEXO VIII.7.1. REGISTRO DE INCIDENCIASEl mantener un registro de las incidencias que comprometan la seguridad de un Fichero es una herramienta imprescindible para aplicar las medidas correctoras necesarias, así como posibilitar la prevención de posibles ataques a esa seguridad y la persecución de los responsables de los mismos.Cualquier usuario que tenga conocimiento de una incidencia, es responsable del registro de la misma, si el registro de incidencias está automatizado, o de la notificación por escrito al Responsable del fichero, o la persona en quien haya delegado formalmente la gestión de las incidencias, si el registro se realiza manualmente.El conocimiento y la no notificación o registro de una incidencia por parte de un usuario será considerado como una falta contra la seguridad del Fichero por parte de ese usuario.En el ANEXO VIII, se establece la creación de un registro de incidencias, en el que se hará constar:

• Tipo de incidencia
• Momento en que se ha producido o detectado
• La persona que realiza la notificación
• Persona a la que se comunica
• Los efectos derivados de la incidencia
• Medidas correctoras aplicadas

8. PROCEDIMIENTOS DE REVISIÓN

8.1. REVISIÓN DEL DOCUMENTO DE SEGURIDADSegún la normativa LOPD, el Documento de Seguridad deberá mantenerse en todo momento actualizado y deberá ser revisado siempre que se produzcan cambios relevantes en el sistema de información, en el contenido de la información incluida en los ficheros o como consecuencia de los controles periódicos realizados. Se entenderá como cambio relevante cuando pueda repercutir en el cumplimiento de las medidas de seguridad implantadas.Asimismo, deberá adecuarse, en todo momento, a las disposiciones vigentes en materia de seguridad de los datos de carácter personal.Se realizará, al menos una vez al año, la revisión completa del presente documento, así como la validez y adecuación legal de todo su contenido.

9. CONSECUENCIAS DEL INCUMPLIMIENTO DEL DOCUMENTO DE SEGURIDAD

El incumplimiento de las obligaciones y medidas de seguridad establecidas en el presente documento por el personal afectado, se sancionará conforme a la normativa laboral aplicable.

10. APROBACIÓN DEL DOCUMENTO DE SEGURIDAD

TEODORO SANZ GIL, como Responsable del Fichero, aprueba el presente Documento de Seguridad, aceptándolo en su totalidad y ordenando su inmediato cumplimiento, tanto para el personal propio, como ajeno que tenga o pueda tener acceso a los datos de carácter personal que trata.En ZARAGOZA, a 01 de ENERO de 2017

Fdo. MARIA ANGELES SANZ GAYA