OLÍTICA DE SEGURIDAD DEL PERSONAL PARA EL TRATAMIENTO DE DATOS PERSONALES
1.- ÁMBITO DE APLICACIÓN
El Responsable del tratamiento está comprometido en implantar una cultura de privacidad en la
organización por lo que necesita que las personas autorizadas a tratar datos personales estén
informadas del tratamiento de datos y se responsabilicen del mismo.
A toda persona autorizada para tratar datos personales se le exige que lea, comprenda, cumpla y haga
cumplir esta Política de seguridad para proteger los datos que forman parte del tratamiento que le ha
sido encomendado.
Esta Política de seguridad establece las obligaciones y procedimientos a seguir por el personal de la
organización, tanto propio como externo, que trata datos personales en el desarrollo de su actividad y
se basa en lo dispuesto en el Reglamento (UE) 2016/679 de 27 de abril de 2016 (GDPR).
En este sentido, para velar y hacer cumplir esta Política, la organización ha designado un Responsable
de seguridad que estará a disposición de todo el personal y se encargará de coordinar, controlar,
desarrollar y verificar el cumplimiento de las citadas normativas.
2.- CONCEPTOS BÁSICOS
Para proporcionar una mejor comprensión de la protección de datos, definimos los principales
conceptos básicos:
Estructura del tratamiento:
- Datos personales: Información relativa a una persona física por la cual pueda determinarse
su identidad. - Tratamiento: Cualquier operación realizada sobre datos personales: obtención, acceso,
intervención, transmisión, conservación y supresión. - Interesado: Persona física sometida al tratamiento de sus datos personales.
- Fichero: Conjunto estructurado de datos personales susceptibles de tratamiento para un fin
determinado. - Responsable del tratamiento: Organización que determina los fines y los medios del
tratamiento. - Personal autorizado: Persona autorizada por el Responsable para realizar un tratamiento de
datos mediante un compromiso de confidencialidad.
Categorías de datos (nivel de seguridad):
- Identificativos (nivel Básico): Datos que no correspondan a categorías Penales o
Especiales, por ejemplo: nombre, dirección, email, teléfono, edad, sexo, firma, imagen, aficiones,
patrimonio, datos bancarios, información académica, profesional, social, comercial, financiera,
etc. - Penales (nivel Medio): Datos relativos a la comisión de infracciones administrativas o
penales, o los que puedan ofrecer una definición de características de personalidad, etc. - Especiales (nivel Alto): Datos relativos al origen étnico o racial, opiniones políticas,
convicciones religiosas o filosóficas, afiliación sindical, datos genéticos o biométricos que
permitan la identificación unívoca de una persona, datos relativos a la salud o a la vida y
orientación sexuales.
3.- PRINCIPIOS DE LA PROTECCIÓN DE DATOS
Los principios fundamentales para realizar un tratamiento de datos son:
- Licitud: lealtad y transparencia con el interesado.
- Limitación de los fines: tratados para fines determinados.
- Minimización de los datos: solo se deben obtener los datos necesarios para alcanzar los
fines. - Exactitud: actualizados.
- Limitación del plazo de conservación: guardados durante no más tiempo del necesario
para conseguir los fines. - Integridad y confidencialidad: aplicación de medidas de seguridad para la protección de los
datos en todas las fases del tratamiento. - Responsabilidad proactiva: se debe poder demostrar el cumplimiento de todos los
principios de protección de datos.
Consentimiento para realizar un tratamiento de datos
- Para tratar datos deberemos obtener el consentimiento explícito del interesado y guardar el
documento probatorio que lo acredite. - Cuando obtengamos los datos de terceros, deberemos asegurarnos que la comunicación es
lícita y guardar el documento probatorio que lo acredite. - No es necesario obtener el consentimiento del interesado cuando el tratamiento se base en
una obligación legal (por ejemplo, para emitir una factura).
Información del tratamiento al interesado
Deberemos facilitar la siguiente información al interesado:
- La identidad y los datos de contacto del Responsable del tratamiento
- Los fines del tratamiento.
- La base jurídica del tratamiento.
- El plazo de conservación de los datos o los criterios que lo determinen.
- Los derechos que asisten al interesado.
- Y si existen:
- Los destinatarios o categorías de destinatarios de los datos.
- La transmisión de datos a países u organizaciones establecidas fuera de la UE.
Responsabilidad del tratamiento
El tratamiento de datos se podrá realizar por organizaciones externas siempre y cuando exista una
autorización expresa del Responsable y se haya suscrito un contrato para realizar dicho tratamiento
conforme a la legislación vigente. Para conocer qué empresas o terceros están autorizados a la cesión
de datos, deben dirigirse al Responsable de seguridad.
Las organizaciones externas pueden ser:
- Encargados del tratamiento: Organización que trata datos personales por cuenta del
Responsable. - Destinatarios de datos: Organización distinta del Encargado, que recibe una comunicación
de datos personales del Responsable.
Medidas de seguridad
La organización ha implementado medidas técnicas y organizativas para garantizar un nivel de
seguridad adecuado a los riesgos que pueda tener el tratamiento como consecuencia de la destrucción
accidental o ilícita de datos, la pérdida, alteración o comunicación no autorizada y el acceso a los datos
cuando son transmitidos, conservados u objeto de algún otro tipo de tratamiento.
El personal deberá velar por la seguridad de los datos tratados por la organización y comunicará al
Responsable cualquier operación de tratamiento que pueda suponer un riesgo que afecte la protección
de datos o los intereses y libertades de los interesados.
Cualquier diseño de una nueva operación de tratamiento o actualización de una operación existente
deberá garantizar antes de su implantación, la protección de datos personales y el ejercicio de los
derechos de los interesados en todas las fases del tratamiento: obtención, acceso, intervención,
transmisión, conservación y supresión.
4 – FUNCIONES Y OBLIGACIONES DEL PERSONAL
El personal deberá actuar en todo momento conforme las instrucciones detalladas en el acuerdo de
confidencialidad suscrito con la organización y las establecidas en esta Política de seguridad. Para ello
se establecen las siguientes medidas de protección de datos que el personal se obliga a cumplir
expresamente:
Organización de la información
Se deberán clasificar los datos de manera que se puedan ejercer los derechos de los interesados:
acceso, rectificación, supresión y portabilidad de los datos y limitación u oposición al tratamiento.
Conservación de los datos
Se deberán conservar los datos en el mobiliario y departamento destinados a tal fin. Para tratamientos
automatizados se guardarán los archivos en los soportes, carpetas o directorio de red indicados por el
Responsable de seguridad.
No está permitido conservar datos en el escritorio físico o digital. Solo se permite su tratamiento
temporal en dicho escritorio para realizar las operaciones que lo precisen debiendo ser conservados en
el lugar apropiado al término de la jornada laboral.
Acceso a la información
Se deberán aplicar los mecanismos de acceso restringido a la información que haya implementado la
organización, salvaguardando las claves de acceso de toda divulgación o comunicación a otras
personas.
Cada persona sólo está autorizada a acceder a los recursos que sean necesarios para el desarrollo y
cumplimiento de sus funciones.
Se restringirá el acceso a los equipos informáticos mediante procedimientos que puedan identificar y
autenticar la persona que accede a los mismos. Los nombres de usuario y contraseña tendrán la
consideración de datos personales intransferibles.
Procesamiento de datos
Los soportes documentales e informáticos deberán estar dispuestos de tal forma que no sean
accesibles a personas no autorizadas.
Si una persona abandona su puesto de trabajo temporalmente, deberá ocultar los documentos y
bloquear el ordenador, de modo que se impida la visualización de la información con la que estaba
trabajando.
Cuando se utilicen impresoras o fotocopiadoras, después de la impresión de trabajos con información
de carácter personal, se debe recoger de manera inmediata, o imprimir de forma bloqueada,
asegurándose de no dejar documentos impresos en la bandeja de salida.
Transporte de soportes
El transporte de soportes que contengan datos personales deberá realizarse únicamente por personal
autorizado o empresas externas contratadas para tal fin por el Responsable del tratamiento.
Eliminación de documentos
Cualquier documento físico o soporte digital que quiera ser eliminado y que incluya datos personales,
debe ser destruido con la destructora o retirado por una empresa homologada de destrucción de
documentos.
Copia de seguridad y recuperación de datos
El personal deberá almacenar toda la información tratada en el directorio de red correspondiente
indicado por el Responsable de seguridad, lo que permitirá que a esta información se le apliquen las
medidas de seguridad existentes y que se sometan los procedimientos de copias de seguridad
aplicados por la organización.
Protección de datos
Se deberán aplicar las medidas de protección de datos establecidos por la organización relativos a la
seguridad del tratamiento como pueden ser la seudonimización o cifrado de datos o advertencias de
intrusión como antivirus, antispam, etc.
Gestión de incidencias
Se considera una incidencia a cualquier violación de la seguridad que ocasione la destrucción
accidental o ilícita, pérdida, alteración, o el acceso o comunicación no autorizados de datos
personales.
El personal tiene la obligación de notificar sin demora injustificada, cualquier incidencia que tenga
conocimiento al Responsable de seguridad para su conocimiento y aplicación de medidas correctivas
para remediar y mitigar los efectos que hubiera podido ocasionar. Las incidencias deberán
documentarse por la persona que la notifica con una descripción detallada de la misma y la fecha y
hora en que se ha producido o se ha tenido conocimiento de ella.
El conocimiento y no notificación de una incidencia por parte del personal se considerará una falta
contra la seguridad de los datos y podrá suponer el inicio de acciones legales, así como la reclamación
de las indemnizaciones, sanciones y daños o perjuicios que el Responsable se vea obligada a atender
como consecuencia de dicho incumplimiento.