1. objeto y ambito de aplicacion

1.1. Objeto

El presente documento tiene como objetivo la descripción del Sistema de Seguridad implantado en las siguientes empresas del GRUPO EMPRESARIAL DACSA (en adelante DACSA) al objeto de dar cumplimiento al Reglamento General de Protección de datos (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales:

RAZÓN SOCIAL

N.I.F.

DIRECCIÓN

POBLACIÓN

MAICERIAS ESPAÑOLAS, S.A.

A-46.048.815

Ctra. Barcelona Km 5

Almassera

SILOS DE LEVANTE, S.A.

A-28.777.357

Muelle sur s/n

Valencia

SILOS DE VALENCIA, S.L.

B-46.053.328

Ctra. Del Riu, 37

Valencia

RISMAR, S.A.

A-46.616.843

Ctra. Barcelona Km 6

Almassera

AGROVERT, S.L.

B-46-618.906

Ctra. Barcelona Km 6

Almassera

MOLENDUM INGREDIENTS S.L.

B-49.279.649

c/ La Milana s/n

Coreses (Zamora)

Este documento tiene como objetivos:

· Establecer las normas, procedimientos y responsabilidades que afecten a los ficheros con datos de carácter personal.

· Recoger las medidas de índole técnica y organizativas necesarias para garantizar la protección, confidencialidad, integridad y disponibilidad de los recursos afectados por lo dispuesto en el Reglamento General de Protección de Datos (UE) 2016/679 y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales.

1.2. Ámbito de aplicación del Manual de Seguridad

El presente documento será de aplicación a los ficheros que contienen datos de carácter personal que se hallan bajo la responsabilidad de DACSA incluyendo los sistemas de información, soportes y equipos empleados para el tratamiento de datos de carácter personal, que deban ser protegidos de acuerdo con lo dispuesto en normativa vigente, las personas que intervienen en el tratamiento y los locales en los que se ubican.

1.3. Tratamiento de Categorías especiales de datos

Quedan prohibidos el tratamiento de datos personales que revelen el:

origen étnico o racial,
las opiniones políticas,
las convicciones religiosas o filosóficas
la afiliación sindical,
y el tratamiento de datos genéticos,
datos biométricos,
datos relativos a la salud
datos relativos a la vida sexual
o las orientaciones sexuales de una persona física.

Excepto cuando (entre otras):

a) el interesado dio su consentimiento explícito

b) el tratamiento es necesario en el ámbito del Derecho laboral y de la seguridad y protección social

c) el tratamiento es necesario para proteger intereses vitales del interesado

En DACSA no se tratan este tipo de datos en la actualidad.

1.4. Delegación de autorizaciones.

Las autorizaciones que en este Manual se atribuyen al Responsable del Tratamiento son delegadas en el Responsable de Seguridad. En ningún caso esta designación supone una delegación de la responsabilidad que corresponde al Responsable del Tratamiento.

El Responsable del Tratamiento designará a través del formulario del Anexo 5.1 un Responsable de Seguridad.

1.5. Delegado de Protección de datos.

El Responsable de Tratamiento designará un delegado de protección de datos siempre que:

a) las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala

b) o las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales y de datos relativos a condenas e infracciones penales

La designación se realizará mediante el documento Anexo 5.2.

En el apartado 8 se describen las funciones y responsabilidad del DPD.

2. DOCUMENTOS DE REFERENCIA Y DEFINICIONES

2.1. Documentos de Referencia

- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

- REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos)

- Ley 34/2002, de 11 de Julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico

- Ley 56/2007, de 28 de diciembre, de Medidas de Impulso de la Sociedad de la Información.

2.2. Definiciones

A los efectos del REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO se entenderá por:

1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;

2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructu ración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;

3) «limitación del tratamiento»: el marcado de los datos de carácter personal conservados con el fin de limitar su tratamiento en el futuro;

4) «elaboración de perfiles»: toda forma de tratamiento automatizado de datos personales consistente en utilizar datos personales para evaluar determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos al rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos de dicha persona física;

5) «seudonimización»: el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable;

6) «fichero»: todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica;

7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;

8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;

9) «destinatario»: la persona física o jurídica, autoridad pública, servicio u otro organismo al que se comuniquen datos personales, se trate o no de un tercero. No obstante, no se considerarán destinatarios las autoridades públicas que

puedan recibir datos personales en el marco de una investigación concreta de conformidad con el Derecho de la Unión o de los Estados miembros; el tratamiento de tales datos por dichas autoridades públicas será conforme con las normas en materia de protección de datos aplicables a los fines del tratamiento;

10) «tercero»: persona física o jurídica, autoridad pública, servicio u organismo distinto del interesado, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado;

11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;

12) «violación de la seguridad de los datos personales»: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos;

13) «datos genéticos»: datos personales relativos a las características genéticas heredadas o adquiridas de una persona física que proporcionen una información única sobre la fisiología o la salud de esa persona, obtenidos en particular del análisis de una muestra biológica de tal persona;

14) «datos biométricos»: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las caracte rísticas físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos;

15) «datos relativos a la salud»: datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud;

16) «establecimiento principal»:

a) en lo que se refiere a un responsable del tratamiento con establecimientos en más de un Estado miembro, el lugar de su administración central en la Unión, salvo que las decisiones sobre los fines y los medios del tratamiento se tomen en otro establecimiento del responsable en la Unión y este último establecimiento tenga el poder de hacer aplicar tales decisiones, en cuyo caso el establecimiento que haya adoptado tales decisiones se considerará establecimiento principal;

b) en lo que se refiere a un encargado del tratamiento con establecimientos en más de un Estado miembro, el lugar de su administración central en la Unión o, si careciera de esta, el establecimiento del encargado en la Unión en el que se realicen las principales actividades de tratamiento en el contexto de las actividades de un estableci miento del encargado en la medida en que el encargado esté sujeto a obligaciones específicas con arreglo al presente Reglamento;

17) «representante»: persona física o jurídica establecida en la Unión que, habiendo sido designada por escrito por el responsable o el encargado del tratamiento con arreglo al artículo 27, represente al responsable o al encargado en lo que respecta a sus respectivas obligaciones en virtud del presente Reglamento;

18) «empresa»: persona física o jurídica dedicada a una actividad económica, independientemente de su forma jurídica, incluidas las sociedades o asociaciones que desempeñen regularmente una actividad económica;

19) «grupo empresarial»: grupo constituido por una empresa que ejerce el control y sus empresas controladas;

20) «normas corporativas vinculantes»: las políticas de protección de datos personales asumidas por un responsable o encargado del tratamiento establecido en el territorio de un Estado miembro para transferencias o un conjunto de transferencias de datos personales a un responsable o encargado en uno o más países terceros, dentro de un grupo empresarial o una unión de empresas dedicadas a una actividad económica conjunta;

21) «autoridad de control»: la autoridad pública independiente establecida por un Estado miembro con arreglo a lo dispuesto en el artículo 51;

22) «autoridad de control interesada»: la autoridad de control a la que afecta el tratamiento de datos personales debido a que:

a) el responsable o el encargado del tratamiento está establecido en el territorio del Estado miembro de esa autoridad de control;

b) los interesados que residen en el Estado miembro de esa autoridad de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento, o

c) se ha presentado una reclamación ante esa autoridad de control;

23) «tratamiento transfronterizo»:

a) el tratamiento de datos personales realizado en el contexto de las actividades de establecimientos en más de un Estado miembro de un responsable o un encargado del tratamiento en la Unión, si el responsable o el encargado está establecido en más de un Estado miembro, o

b) el tratamiento de datos personales realizado en el contexto de las actividades de un único establecimiento de un responsable o un encargado del tratamiento en la Unión, pero que afecta sustancialmente o es probable que afecte sustancialmente a interesados en más de un Estado miembro;

24) «objeción pertinente y motivada»: la objeción a una propuesta de decisión sobre la existencia o no de infracción del presente Reglamento, o sobre la conformidad con el presente Reglamento de acciones previstas en relación con el responsable o el encargado del tratamiento, que demuestre claramente la importancia de los riesgos que entraña el proyecto de decisión para los derechos y libertades fundamentales de los interesados y, en su caso, para la libre circulación de datos personales dentro de la Unión;

25) «servicio de la sociedad de la información»: todo servicio conforme a la definición del artículo 1, apartado 1, letra b), de la Directiva (UE) 2015/1535 del Parlamento Europeo y del Consejo (1);

26) «organización internacional»: una organización internacional y sus entes subordinados de Derecho internacional público o cualquier otro organismo creado mediante un acuerdo entre dos o más países o en virtud de tal acuerdo.

3. REGISTRO DE ACTIVIDADES DE TRATAMIENTO

El Responsable de Tratamiento llevará un registro de las actividades de tratamiento efectuadas bajo su responsabilidad. En la práctica, puede identificarse un tratamiento como el conjunto de operaciones dirigidas a conseguir una determinada finalidad que se legitiman en una misma base jurídica. Cada tratamiento incluirá una serie de operaciones o actividades como, por ejemplo la recogida, registro, organización, estructuración, consulta o utilización de los datos.

Una actividad de tratamiento se debe incluir en el registro de actividades en el momento previo antes de su puesta en marcha.

Es fundamental que el registro de actividades esté permanentemente actualizado y en un formato claro y legible que facilite su comprensión por parte de terceros. El registro de actividades de tratamiento se debe entender, necesariamente, como un documento vivo, que requiere revisión continua y actualización cada vez que se produzca un cambio relevante en alguna actividad de tratamiento registrada.

En el formulario FS 02 y los anexos se detallan los registros de Tratamiento para cada actividad con la siguiente estructura:

el nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del delegado de protección de datos;
los fines del tratamiento;
una descripción de las categorías de interesados y de las categorías de datos personales;
las categorías de destinatarios a quienes se comunicaron o comunicarán los da- tos personales, incluidos los destinatarios en terceros países u organizaciones internacionales;
en su caso, las transferencias de datos personales a un tercer país o una organización internacional;
cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos;
cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad.

4. EVALUACION DE IMPACTO RELATIVO A LA PROTECCION DE DATOS (EIPD)

Una EIPD no se requiere siempre, en cada actividad de tratamiento, se debe valorar la necesidad de llevar a cabo la misma. Por ello es fundamental realizar un análisis previo para determinar de forma preliminar el nivel de riesgo al que puede estar expuesto el tratamiento y tomar la decisión adecuada en base a ello.

Del resultado del análisis sobre la necesidad de realizar una EIPD se podrá concluir que:

Sí es necesario realizar una EIPD: Se realizará y documentará una EIPD con todas sus fases (Ver Guía de Evaluación de Impacto en la Protección de Datos publicada por la AGPD).
No es necesario realizar una EIPD: Se entiende que las actividades de tratamiento no están expuestas a riesgos relevantes que motiven la necesidad de realizar una EIPD en profundidad. Si como resultado del análisis previo se considera que no es necesario llevar a cabo una EIPD, se debe documentar adecuadamente los motivos por los cuales se ha llegado a esa conclusión. En cualquier caso, se debe mantener evidencia de que se ha llevado a cabo este análisis (responsabilidad proactiva).

Como herramienta soporte para el análisis inicial que permita determinar la necesidad de realizar una EIPD, y a su vez para poder acreditar su realización, se adjunta en el formulario FS 03 una plantilla con posibles cuestiones para tener en cuenta al analizar la necesidad de realizar una EIPD.

Una vez cumplimentado el análisis inicial será aprobado por el Responsable de Seguridad. Se indicará la fecha de la evaluación.

5. analisis de riesgos

El análisis de riesgos para determinar las medidas técnicas y organizativas que garanticen los derechos y libertades de los interesados se puede simplificar con un enfoque de mínimos considerando que el nivel de riesgo al que están expuestas las actividades de tratamiento no es elevado.

El análisis básico de riesgos es un análisis de mínimos que tiene como objetivo simplificar el proceso de análisis de riesgos en aquellas actividades de tratamiento con baja exposición al riesgo.

Como punto de partida, de igual modo que en una EIPD, se deben describir adecuadamente las actividades de tratamiento, proceso que facilitará la documentación del registro de actividades de tratamiento

Se incluye en el documento de seguridad una plantilla en hoja de cálculo donde poder documentar el proceso básico de análisis de riesgos.

6. Medidas de seguridad FICHEROS AUTOMATIZADOS

6.1.1. Control de Acceso

Los usuarios tienen acceso autorizado únicamente a aquellos datos y recursos que precisan para el desarrollo de sus funciones y que están definidos en una relación de accesos autorizados y definidos para cada usuario o perfil de usuarios.

El mecanismo utilizado para evitar que un usuario pueda acceder a los datos o recursos con distintos derechos a los autorizados, es a través de la asignación de contraseñas (control de acceso lógico).

Una vez identificado el usuario en el sistema y verificada su contraseña, se limita el acceso del usuario, únicamente a los recursos que requiere para desarrollar su trabajo. Cada usuario tiene asignado un perfil de seguridad en función de sus roles y responsabilidades.

El Responsable del Tratamiento, en colaboración con el Responsable Informático o Seguridad ha elaborado y actualiza periódicamente una relación de los usuarios que tiene acceso autorizado al sistema de información.

Dichos accesos serán descritos y aprobados por el Responsable del Tratamiento en el procedimiento de identificación y autenticación.

Debido al elevado número de usuarios existentes en la Entidad, la lista de usuarios con permiso autorizado y su perfil, se mantendrán en el servidor de Dominio y en las políticas de usuarios y permisos de las diferentes aplicaciones informáticas, realizando así, un mejor control y seguimiento de altas, bajas y modificaciones de los usuarios, por parte del Responsable de Seguridad. El Responsable de Seguridad custodia la relación de todos los usuarios que tienen acceso autorizado al sistema de información. Sólo el Responsable de Seguridad podrá conceder, alterar o anular el acceso autorizado sobre los datos y recursos, conforme a los criterios establecidos por el Responsable del Tratamiento.

Cada ordenador situado en lugares destinados a la atención al público en general dispondrá de un protector de pantalla con contraseña que se activará a los cinco minutos de inactividad.

6.1.2. Identificación y autenticación

En el procedimiento PS-01 procedimiento de identificación y autenticación se describe el mecanismo que permite la identificación inequívoca y personalizada de todo usuario que accede al sistema, verificación que está autorizado, y la administración de cuentas de usuarios y los permisos de acceso establecidos

En este procedimiento también se describe la sistemática para solicitar el alta, modificación o baja de las autorizaciones de acceso a los datos, indicando la persona, que la realiza en cada caso.

El procedimiento debe exigir que la identificación del usuario que intente acceder al sistema de información y la verificación de que está autorizado, se realizará de forma inequívoca, es decir, que la asignación de identificadores y contraseñas será personal, no pudiendo existir dos usuarios con la misma identificación y/o la misma contraseña.

La posibilidad de intentar reiteradamente el acceso no autorizado al sistema de información estará limitada mediante un sistema que impedirá realizar reiterados intentos fallidos de forma consecutiva. El número de intentos fallidos se describe en el procedimiento PS 01 de Identificación y autenticación.

6.1.3. Asignación, distribución y almacenamiento de contraseñas

El Responsable de Seguridad se asegurará que la atribución y asignación de contraseñas, y que la custodia de la relación de usuarios se realice de forma que se garantice su confidencialidad e integridad.

Se ha desarrollado un procedimiento PS-02 para la Asignación, distribución y almacenamiento de contraseñas donde se describe la sistemática utilizada para gestionar las contraseñas.

6.1.1. Procedimiento de notificación, gestión y respuesta ante las incidencias.

En el procedimiento PS-03 de Gestión de Incidencias se describe la sistemática utilizada para realizar la notificación y gestión de las incidencias que se detecten.

Dicho procedimiento contiene un registro o formato en el que se hace constar ante la aparición de una incidencia, el tipo de incidencia, el momento en el que se ha producido, la persona que realiza la notificación, a quién se la comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas.

En el INFORME DE INCIDENCIA deberá registrarse, además de lo indicado para medidas de nivel básico, los procedimientos de recuperación utilizados, la persona que realiza la recuperación, los datos restaurados, y en su caso, los datos restaurados manualmente. Todas las operaciones de restauración se realizan a través del Administrador del Sistema.

6.1.2. Procedimientos de realización de copias de respaldo y recuperación de datos.

El Responsable del Tratamiento ha definido y aprobado un procedimiento PS-04 para la Realización de Copias de Seguridad y Recuperación de Datos.

En él se ha definido el periodo de realización de las copias de respaldo que nunca será superior a una semana, salvo en el caso en que en este periodo no se produzca ninguna modificación o actualización de los datos.

Mediante dicho procedimiento se garantiza que mediante la recuperación de datos se reconstruyen en el estado en que se encontraban al tiempo de producirse la pérdida o destrucción.

Únicamente, en el caso de que la pérdida o destrucción afectase a ficheros o tratamientos parcialmente automatizados, y siempre que la existencia de documentación permita alcanzar el objetivo al que se refiere el párrafo anterior, se deberá proceder a grabar manualmente los datos quedando constancia motivada de este hecho en un INFORME DE INCIDENCIA.

El Responsable de Seguridad se encargará de verificar cada seis meses la correcta definición, funcionamiento y aplicación de los procedimientos de realización de copias de respaldo y de recuperación de los datos.

Las pruebas anteriores a la implantación o modificación de los sistemas de información que traten ficheros con datos de carácter personal no se realizarán con datos reales, salvo que se asegure el nivel de seguridad correspondiente al tratamiento realizado y se anote su realización en el documento de seguridad. Si está previsto realizar pruebas con datos reales, previamente deberá haberse realizado una copia de seguridad.

El Responsable de Seguridad conservará una copia de seguridad o respaldo de los datos y de los procedimientos de recuperación de los datos en un lugar diferente de aquél en que se encuentren los equipos informáticos que contengan ficheros de carácter personal, que deberá cumplir en todo caso las medidas de seguridad exigidas en el reglamento, o utilizando cualquier otro elemento que garantice la integridad y recuperación de la información, de forma que sea posible su recuperación.

6.1.3. Acceso a datos a través de redes de comunicaciones

Las medidas de seguridad exigibles a los accesos a los datos de carácter personal a través de redes de comunicaciones (VPN, Internet, intranet, etc) deberán garantizar un nivel de seguridad equivalente al correspondiente a los accesos en modo local.

6.1.4. Gestión de soportes y documentos

Los soportes y documentos existentes que contienen datos de carácter personal son: discos duros de diferentes servidores y copias de seguridad de los sistemas. Todos los soportes, están identificados mediante una etiqueta o rotulación, con un número o código de soporte.

El Responsable de Seguridad creará y actualizará un Listado de Soportes con datos de carácter personal. Para ello utilizará el documento INVENTARIO DE SOPORTES (FS-06), que incluye el número de soporte, Descripción del contenido de los mismos y Fecha de alta y baja.

Se exceptúan de la obligación de etiquetado aquellos soportes que por sus características físicas imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento FS-06.

La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensible se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.

La salida de los soportes y documentos que contengan datos de carácter personal, fuera de los locales en los que esté ubicado el fichero, únicamente podrá ser autorizada por el Responsable del Tratamiento. Dicha autorización queda registrada en el documento de Registro de Autorizaciones FS-09.

Desde la firma del presente Manual queda ya expresamente autorizada por el Responsable del Tratamiento la salida periódica de los soportes informáticos correspondientes (ya sea mediante correo electrónico o mediante cualquier soporte físico), desde el domicilio en el que se encuentran los ficheros, a las entidades financieras con las que se trabaja habitualmente, a la Agencia Tributaria, a la Tesorería General de la Seguridad Social, Mutua de Accidentes de Trabajo, y Encargados de Tratamiento relacionados en el formulario FS-08, para al cumplimiento de los fines del cliente y en todo caso para cumplir con las obligaciones legales o contractuales. Esta autorización tendrá carácter indefinido para el personal autorizado de la sociedad.

Previo a las salidas de soportes o documentos por personas no autorizadas, se deberá pedir autorización al Responsable de Seguridad, quien cumplimentará el Formulario FS-09.

Cuando la salida de datos se realice por medio de correo electrónico, los envíos se realizaran, siempre y únicamente, desde una dirección de correo controlada por el Responsable de seguridad, dejando constancia de estos envíos en el directorio histórico de esa dirección de correo o en algún otro sistema de registro de salidas que permita conocer en cualquier momento los envíos realizados, a quien iban dirigidos y la información enviada.

La salida de los soportes que pudieran contener datos de carácter personal de categoría especial de se realizará cifrando dichos datos o bien utilizando otro mecanismo que garantice que dicha información no sea accesible o manipulada durante su transporte.

Asimismo, se cifrarán los datos de categoría especial que pudieran contener los dispositivos portátiles (cuando éstos traten datos de carácter personal de nivel alto) se encuentren fuera de las instalaciones que están bajo el control del Responsable del Tratamiento.

Si no es posible el cifrado de datos en dispositivos portátiles, deberá evitarse el tratamiento de este tipo de datos. En caso que sea estrictamente necesario su tratamiento, se adoptarán medidas que tengan en cuenta los riesgos de realizar tratamientos en entornos desprotegidos.

6.1.5. Tratamiento de datos fuera de los locales del Responsable.

El tratamiento de datos fuera de los locales de la empresa por motivos justificados de trabajo se restringirá estrictamente a aquellos empleados que, por necesidades laborales, tengan que realizar un tratamiento de la información fuera de las ubicaciones físicas habituales. La ejecución del tratamiento deberá ser autorizada expresamente por el Responsable de Seguridad, bajo el criterio del Responsable del Tratamiento en el documento FS-09 y se garantizará el nivel de seguridad correspondiente al tipo de fichero tratado.

6.1.6. Medidas para el transporte de soportes y documentos.

Todo el personal de la empresa que por necesidades de su puesto de trabajo tenga que transportar fuera de las instalaciones, soportes o documentos, adoptará las siguientes recomendaciones, de forma que el transporte hasta el lugar donde debe entregarse o depositarse los documentos debe garantizar que durante el traslado no se produzcan sustracciones, pérdidas ni filtraciones de información:

1.- El transporte hasta el lugar donde debe entregarse o depositarse los soportes o documentos debe garantizar que durante el traslado no se produzcan sustracciones, pérdidas ni filtraciones de información.

2.- Todas las operaciones de recogida, transporte y entrega de los soportes o documentos, deben ser realizadas por personal debidamente autorizado en el documento FS 09 Registro de Autorizaciones.

3.- Los soportes o documentos deben ser llevados directamente al lugar donde esté prevista su entrega o depósito, y durante el trayecto no se realizarán paradas o interrupciones.

6.1.7. Controles de Destrucción de Soportes

La información almacenada en equipos, soportes magnéticos y otro tipo de soporte debe someterse a la siguiente normativa y medidas de seguridad encaminadas a la protección de la misma:

· Los soportes magnéticos que vayan a ser retirados, reciclados, destruidos, etc., deben ser sometidos a procesos de borrado que garanticen la imposibilidad de recuperación posterior, incluso parcialmente, de la información que contienen.

· Serán sometidos a las mismas consideraciones especificadas en el punto anterior, aquellos equipos informáticos con capacidad de almacenamiento que vayan a ser retirados o reutilizados por usuarios diferentes a los usuales.

· En el caso de rotura de equipos con capacidad de almacenamiento, si deben ser reparados fuera de las dependencias de la empresa, deben tomarse medidas que impidan la posibilidad de extraer la información y, si es viable, el dispositivo de almacenamiento debe ser retirado.

Medio de almacenamiento

Procedimiento para reutilizar / desechar

Fichero en disco duro en puesto o servidor.

Se procede a eliminar el archivo desde el sistema operativo correspondiente. Asegurar que también se elimine de la papelera de reciclaje.

Cinta que provenga de cualquiera de los servidores

Se procede a formatear la cinta con el objeto de borrar la información definitivamente.

Cinta para desechar que provenga de cualquiera de los servidores

Se procede a destruir físicamente la cinta del cartucho.

Documentos en papel con Datos de Carácter Personal

Destruir el papel en trituradora

6.1.8. Ficheros temporales

Los ficheros temporales o copias de documentos que se hubiesen creado exclusivamente para la realización de trabajos temporales o auxiliares deberán cumplir el nivel de seguridad que les corresponda con arreglo al tipo de información que contengan.

Todo fichero temporal o copia de trabajo deberá ser borrado una vez que haya dejado de ser necesario para los fines que motivaron su creación.

Durante la ejecución de los procesos informáticos son generados ficheros temporales que, en muchos casos, contienen información de carácter crítico. Las medidas y procedimientos aplicables a los ficheros temporales son:

1. Las distintas aplicaciones ejecutadas en el Sistema Operativo necesitan diversos ficheros temporales locales para su funcionamiento. Estas aplicaciones son las encargadas de crearlos cuando los requieren y eliminarlos cuando ya no son necesarios.

2. Aún así, ante posibles fallos de las aplicaciones, el Responsable de Seguridad debe revisar de forma periódica, al menos una vez al mes, los directorios donde los ficheros temporales se generan, con el fin de eliminar todos aquellos que no hubieran sido borrados y que ya no fueran necesarios.

3. En la formación y sensibilización al personal, se ha insistido a los mismos en que, si crean un fichero temporal con información de carácter personal, deben eliminarlo una vez finalicen su trabajo con él mismo.

En los casos que por motivos justificados de trabajo se creen copias de ficheros o documentos exclusivamente para trabajos temporales o auxiliares (por ejemplo la exportación de ficheros a hojas de cálculo o bases de datos paralelas), deberán cumplir el nivel de seguridad que les corresponda con arreglo a los criterios establecidos en el presente Manual.

6.1.9. Encargados de Tratamiento

Cuando el Responsable del Tratamiento facilite a un encargado de tratamiento el acceso a los datos o a los soportes que los contengan o a los recursos del sistema de información que los trate, en las instalaciones del RT o en las instalaciones del propio Encargado, el encargado de tratamiento, firmará un documento de confidencialidad y deber de secreto (modelo Anexo 3).

El Responsable de Tratamiento seleccionará únicamente a encargados que ofrezcan garantías suficientes para poder aplicar las medidas de seguridad apropiadas. Cuando dicho acceso sea remoto igualmente, se firmará un contrato de confidencialidad con el Encargado de Tratamiento, comprometiéndose el personal del encargado al cumplimiento de las medidas de seguridad aplicables previstas en el Reglamento de Protección de datos y documento de seguridad del Responsable del Tratamiento.

Todos los contratos y documentos de confidencialidad en vigor, serán archivados en el anexo del presente Manual. En todo caso, el acceso a los datos por el encargado del tratamiento estará sometido a las medidas de seguridad contempladas en el Reglamento de Protección de Datos.

Cuando la prestación de servicios no conlleve el acceso a datos personales (servicios de limpieza o seguridad) el Responsable del Tratamiento adoptará las medidas adecuadas para limitar el acceso del personal a datos personales, a los soportes que los contengan o a los recursos del sistema de información, para la realización de trabajos que no impliquen el tratamiento de datos personales. Para ello, cuando se trate de personal ajeno, el contrato de prestación de servicios recogerá expresamente la prohibición de acceder a los datos personales y la obligación de secreto respecto a los datos que el personal hubiera podido conocer con motivo de la prestación del servicio (Modelo Anexo 3 bis).

En el documento FS-08 se enumeran los encargados de tratamiento que prestan servicio a los responsables del fichero y se describe para cada uno de ellos:

Nombre
Fichero al que accede
Ubicación del Fichero
Servicio prestado
Fecha de Alta
Fecha de Baja
Si tiene o no acceso remoto
Referencia al documento o anexo donde se recoge el contrato de confidencialidad.

6.1.10.Sistema Antivirus

Todos los equipos informáticos tendrán instalados un sistema de detección y eliminación de virus. Todos los archivos externos serán verificados a su recepción (automáticamente) para conocer si poseen o no virus y eliminarlos en su caso.

El sistema de detección y eliminación de virus deberá actualizarse periódicamente, por medio de alguna de las aplicaciones existentes en el mercado para tales fines. Además, los equipos serán explorados por el antivirus mediante un sistema de programación automática.

6.1.11. Revisiones del documento de Seguridad

El Responsable de Seguridad realizará un control interno anual para verificar el cumplimiento de lo dispuesto en los documentos que componen el Sistema de Seguridad, utilizando para ello como base los propios documentos de seguridad, de forma que el año que se realice una auditoría de los sistemas de información, no será necesario la realización del control interno, pues la propia auditoría servirá asimismo de control interno. Se podrá utilizar el documento FS-10 CONTROL INTERNO.

Cualquier desviación respecto a las medidas definidas en el Sistema de Seguridad será registrada por el Responsable de Seguridad en un INFORME DE INCIDENCIA y será gestionada tal y como establece el procedimiento de Gestión de Incidencias.

6.1.12. Control de Acceso Físico

Exclusivamente el personal autorizado en el documento FS-09 REGISTRO DE AUTORIZACIONES podrá tener acceso a los lugares donde se hallen instalados los equipos físicos que den soporte a los sistemas de información (sala de servidores, por ejemplo). Los locales donde se encuentren los servidores están siempre cerrados con llave.

6.1.13. Telecomunicaciones

Actualmente no se envían ficheros calificados de categoría especial a través de internet o cualquier otra red pública. No obstante, cuando el personal autorizado tenga que transmitir datos de carácter personal a través de redes públicas o redes inalámbricas de comunicaciones electrónicas lo realizará cifrando dichos datos o bien utilizando un mecanismo (o canal seguro) que garantice que la información no sea legible o manipulada por terceros.

7. medidas de seguridad APLICABLES A los ficheros Y TRATAMIENTOS NO automatizados

A los ficheros no automatizados les será de aplicación:

a. Alcance.

b. Niveles de seguridad.

c. Encargado del tratamiento.

d. Prestaciones de servicios sin acceso a datos personales.

e. Delegación de autorizaciones.

f. Régimen de trabajo fuera de los locales del Responsable del Tratamiento o encargado del tratamiento.

g. Copias de trabajo de documentos.

h. Documento de seguridad.

i. Funciones y obligaciones del personal.

j. Registro de incidencias.

k. Control de acceso.

l. Gestión de soportes.

Bajo ningún concepto se deben de depositar en papeleras o contenedores de basura, documentos con datos de carácter personal legibles por persona no autorizada.

Se utilizarán trituradoras de papel para la destrucción de este. Si no se dispone de ellas, se cortarán los documentos hasta que los trozos resulten ilegibles.

En caso de utilizar los servicios de recogida de papel de alguna entidad externa se deberá firmar un contrato que incluya las cláusulas de confidencialidad. Se adjunta modelo en Anexo 3.

En caso de realizar mudanzas o traslado de archivos completos, se abrirá un INFORME DE INCIDENCIA para planificar las acciones preventivas que eviten cualquier pérdida o acceso no autorizado a datos de carácter personal.

7.1.1. Criterios de Archivo

En el documento FS-07 “Criterios de archivo” el Responsable de Seguridad establecerá el inventario de archivos en papel y los criterios de archivo para los ficheros no automatizados, registrando:

@ Descripción del fichero no automatizado

@ Persona responsable de su archivo y custodia

@ Ubicación del fichero

@ Criterios de archivo

@ Persona o departamento que tiene autorización para acceder al fichero.

7.1.2. Dispositivos de almacenamiento.

Los archivadores o armarios donde se almacenen documentos que contengan datos de carácter personal deberán disponer de mecanismos que obstaculicen su apertura como por ejemplo una cerradura.

En su defecto, los armarios, archivadores u otros elementos en los que se almacenen los ficheros no automatizados con datos de carácter personal deberán encontrarse en áreas en las que el acceso esté protegido con puertas de acceso dotadas de sistemas de apertura mediante llave u otro dispositivo equivalente. Dichas áreas deberán permanecer cerradas cuando no sea preciso el acceso a los documentos incluidos en el fichero.

7.1.3. Custodia de los soportes.

Cuando la documentación de un expediente con datos personales no se encuentre almacenada en el lugar establecido en el registro FS-07 Criterios de Archivo, por estar en proceso de revisión o tramitación, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada.

7.1.4. Almacenamiento de la información

Los armarios, archivadores u otros elementos en los que se almacenen los ficheros no automatizados con datos de carácter personal deberán encontrarse en áreas en las que el acceso esté protegido con puertas de acceso dotadas de sistemas de apertura mediante llave u otro dispositivo equivalente. Dichas áreas deberán permanecer cerradas cuando no sea preciso el acceso a los documentos incluidos en el fichero o cuando el personal encargado de su custodia no se encuentre en el departamento.

7.1.5. Copia o reproducción

La generación de copias o la reproducción de los documentos únicamente podrán ser realizadas bajo el control del personal autorizado. Las personas autorizadas a realizar copias o reproducción de documentos son las mismas que tiene acceso a los ficheros calificados de nivel alto. En caso contrario se nombrarán las mismas en el documente FS-09 REGISTRO DE AUTORIZACIONES.

Deberá procederse a la destrucción mediante trituradora, de las copias o reproducciones desechadas, de forma que se evite el acceso a la información contenida en las mismas o su recuperación posterior.

7.1.6. Traslado de documentación

Siempre que se proceda al traslado físico de la documentación contenida en un fichero, deberán adoptarse medidas dirigidas a impedir el acceso o manipulación de la información objeto de traslado. Las medidas de seguridad mínimas serán:

1.- Todas las operaciones de recogida, transporte y entrega de documentación, deben ser realizadas por personal debidamente autorizado. Si el personal que efectúa el traslado es externo deberá existir un contrato de prestación de servicios y cláusulas de confidencialidad conforme a la LOPD.

2.- La documentación se transportará en un maletín, porta documentos o similar, valija o mensajería.

3.- En la documentación enviada por mensajería quedará especificado claramente el Remitente y el Destinatario.

No obstante, el Responsable de Seguridad en casos específicos (como por ejemplo Mudanzas) detallará en un INFORME DE INCIDENCIA la documentación que se traslada, indicando los responsables de la custodia, así como las medidas de seguridad adoptadas a impedir el acceso o manipulación de la información objeto de traslado.

8. Funciones y obligaciones del personal

Las funciones y obligaciones de cada una de las personas con acceso a los datos de carácter personal y a los sistemas de información están definidas con el fin de asegurar que todas las personas conocen las normas de seguridad que afectan al desarrollo de sus funciones, así como las consecuencias del incumplimiento de las mismas. Estas funciones y obligaciones serán informadas a todo el personal con acceso a sistemas de información o ficheros (automatizados o no) de acuerdo con alguno de los siguientes procedimientos:

a) Entrega de una copia en papel de sus funciones, junto al contrato de trabajo o nómina, firmando el trabajador una copia como acuse de recibo.

b) Entrega de una copia informática a través del correo electrónico, solicitando un acuse de lectura del envío, guardando copia del envío realizado.

c) La remisión periódica de información sobre seguridad: circulares, recordatorios, etc.

8.1. Todo el personal con acceso a datos de carácter personal.

Las funciones y obligaciones de cada una de las personas con acceso a los datos de carácter personal y a los sistemas de información están definidas de forma general en el Anexo 6.

8.2. Responsable del Tratamiento

Las funciones referentes al sistema de seguridad del Responsable del Tratamiento son las siguientes:

· Velar por el cumplimiento de todos los requisitos establecidos en la Ley Orgánica de Protección de Datos Personales, en el Reglamento General de Protección de Datos y en cualesquiera otras normas que las desarrollen.

· Determinar y documentar las medidas técnicas y organizativas apropiadas que deben aplicar a fin de garantizar y acreditar que el tratamiento es conforme con el Reglamento UE 679/2016, con la LOPDGDD, sus normas de desarrollo y la legislación sectorial aplicable. En particular valorarán si procede la realización de la evaluación de impacto en la protección de datos y la consulta previa a que se refiere la Sección 3 del Capítulo IV del citado reglamento UE.

· Mantener el registro de actividades de tratamiento al que se refiere el artículo 30 del Reglamento (UE) 2016/679, salvo que sea de aplicación la excepción prevista en su apartado 5.

· Redactar, establecer y comprobar la aplicación y el cumplimiento del documento de seguridad.

· Definir y documentar las funciones y obligaciones de las personas con acceso a datos de carácter personal y a los sistemas de información.

· Adoptar las medidas necesarias para que el personal conozca las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento.

· Elaborar y actualizar una relación de usuarios que tengan acceso autorizado al sistema de información.

· Establecer procedimientos de identificación y autenticación para el acceso de los usuarios al sistema de información.

· Establecer los criterios que el Responsable de Seguridad debe seguir al realizar la función de conceder, alterar o anular el acceso autorizado a los datos y recursos.

· Establecer los criterios a seguir para conceder, alterar o anular el acceso autorizado a los datos y recursos.

· Adoptar las medidas de seguridad establecidas en los ficheros automatizados a los ficheros no automatizados.

· Establecer criterios de archivos para soportes o documentos.

· Establecer los mecanismos oportunos en los dispositivos de almacenamiento de forma que obstaculicen su apertura

· Establecer las comprobaciones necesarias para que la persona que traslada documentación custodie e impida en todo momento que pueda ser accedida por persona no autorizada. acceder a los contenidos derivados del uso de medios digitales facilitados a los trabajadores a los solos efectos de controlar el cumplimiento de las obligaciones laborales o estatutarias y de garantizar la integridad de dichos dispositivos.

· En colaboración con los representantes de los trabajadores, el responsable de tratamiento deberá establecer criterios de utilización de los dispositivos digitales respetando en todo caso los estándares mínimos de protección de su intimidad de acuerdo con los usos sociales y los derechos reconocidos constitucional y legalmente.

· El acceso al contenido de dispositivos digitales respecto de los que haya admitido su uso con fines privados requerirá que se especifiquen de modo preciso los usos autorizados y se establezcan garantías para preservar la intimidad de los trabajadores, tales como, en su caso, la determinación de los períodos en que los dispositivos podrán utilizarse para fines privados.

· Los trabajadores deberán ser informados de los criterios de utilización de dispositivos digitales.

· El responsable de tratamiento, previa audiencia de los representantes de los trabajadores elaborará una política interna dirigida a trabajadores, incluidos los que ocupen puestos directivos, en la que definirán las modalidades de ejercicio del derecho a la desconexión y las acciones de formación y de sensibilización del personal sobre un uso razonable de las herramientas tecnológicas que evite el riesgo de fatiga informática. En particular, se preservará el derecho a la desconexión digital en los supuestos de realización total o parcial del trabajo a distancia, así como en el domicilio del empleado vinculado al uso con fines laborales de herramientas tecnológicas

8.3. Responsable de Seguridad

Las funciones referentes al sistema de seguridad del Responsable de Seguridad son las siguientes:

· Implantar las medidas, normas, procedimientos, reglas y estándares de seguridad.

· Controlar, y coordinar el cumplimiento de las normas de seguridad contenidas en el documento de seguridad.

· Velar para que los usuarios únicamente tengan acceso autorizado a aquellos datos y recursos que precisen para el desarrollo de sus funciones.

· Establecer y comprobar la aplicación del procedimiento de notificación, gestión y registro de incidencias.

· Adoptar las medidas correctoras adecuadas, en función del análisis de los informes de auditoría realizado por el responsable de seguridad.

· Coordinar y controlar la realización de las revisiones periódicas de carácter anual sobre los sistemas de información e instalaciones de tratamiento de datos personales, que verifique el cumplimiento del Reglamento de Seguridad y de los procedimientos e instrucciones vigentes en materia de seguridad de datos, al menos, cada dos años.

· Analizar los controles internos o informes de revisión y elevar las conclusiones al Responsable del Tratamiento.

· Supervisar la correcta implantación de las medidas de seguridad establecidas en los ficheros automatizados a los ficheros no automatizados.

· Comprobar y actualizar los criterios de archivos para soportes o documentos.

· Supervisar el correcto funcionamiento de los mecanismos habilitados en los dispositivos de almacenamiento, de forma que obstaculicen su apertura.

· Comprobar el procedimiento y supervisar el cumplimiento del mismo, respecto de las personas que trasladan documentación, de forma que custodien e impidan en todo momento que pueda ser accedida por persona no autorizada.

· Supervisar que en los procesos de toma de datos a los interesados se les facilita el Derecho de Información, de forma que quede acreditado su cumplimiento.

· Dar cumplimiento al ejercicio de un interesado de los derechos de acceso (en caso de que no existe nombramiento de DPD), rectificación, supresión, limitación, portabilidad y oposición de datos, dando respuesta dentro del plazo establecido en la legislación, al interesado respecto del cumplimiento de los mismos.

· Comprobar el cumplimiento del procedimiento de identificación y autenticación de usuarios.

· Conceder, alterar o anular el acceso autorizado a los datos y recursos, de acuerdo con los criterios establecidos por el Responsable del Tratamiento.

· Establecer y comprobar la aplicación del procedimiento de asignación, distribución y almacenamiento de contraseñas.

· Garantizar que las contraseñas vigentes se almacenan de forma ininteligible.

· Proveer a los usuarios de identificadores cumpliendo las normas de creación (nomenclatura) de los mismos.

· Crear de forma efectiva el identificador en el sistema y de su comunicación al usuario final a través del medio oportuno.

· Verificar el mantenimiento de la confidencialidad de las contraseñas de los usuarios, así como la periodicidad del cambio de las contraseñas de los usuarios establecido en el documento de seguridad.

· Establecer un mecanismo que permita la identificación inequívoca y personalizada de todo aquél usuario que intente acceder al sistema y la verificación de que está autorizado.

· Atender las incidencias surgidas en relación con identificadores y contraseñas de usuarios

· Debe asegurar la realización efectiva de las solicitudes de Alta, Baja y Modificación de usuarios recibidas.

· Mantendrá un inventario actualizado de usuarios con acceso a datos de carácter personal.

· Borrar todos los ficheros temporales generados automáticamente por el sistema.

· Decidirá las medidas de restricción de acceso físico a las salas donde se encuentras los servidores

· Establecer y comprobar la aplicación del procedimiento de notificación, gestión y registro de incidencias.

· Establecer y comprobar la aplicación de un sistema que permita identificar, inventariar y almacenar en lugar seguro los soportes informáticos que contienen datos de carácter personal.

· Establecer y comprobar la aplicación del procedimiento de realización de copias de respaldo y recuperación de datos. Comprobar el cumplimiento de la periodicidad establecida para la realización de copias de respaldo.

· Conservar en lugar protegido las copias de seguridad y respaldo del Fichero de forma que ninguna persona no autorizada tenga acceso a las mismas.

· Establecer y verificar el cumplimiento de las medidas necesarias para impedir la recuperación posterior de la información almacenada en los soportes informáticos que van a ser desechados o reutilizados.

· Establecer y comprobar la aplicación de medidas de control del acceso físico a los locales donde se encuentre ubicado los sistemas de información con datos de carácter personal.

· Establecer y comprobar la aplicación de las medidas necesarias para impedir la recuperación indebida de la información almacenada en los soportes informáticos que vayan a salir fuera de los locales en que se encuentran ubicados los ficheros.

· Llevar a cabo el seguimiento del registro de incidencias y ampliar los campos del mismo para dejar constancia de los procedimientos realizados para la recuperación de los datos, indicando la persona que ejecutó el proceso, los datos restaurados y, en su caso, qué datos ha sido necesario grabar manualmente en el proceso de recuperación.

· Borrar todos los ficheros temporales generados automáticamente por el sistema.

· Controlar los intentos de acceso fraudulento al Fichero, limitando el número máximo de intentos fallidos, y, cuando sea técnicamente posible, guardando en un fichero auxiliar la fecha, hora, código y claves erróneas que se han introducido, así como otros datos relevantes que ayuden a descubrir la autoría de esos intentos de acceso fraudulentos.

· Establecer y comprobar la aplicación de las medidas de seguridad que se deban adoptar cuando un soporte vaya a ser desechado o reutilizado.

· Verificar que en la fase de pruebas de los sistemas de información, éstas no se efectúen con datos personales reales.

· Establecer y verificar la aplicación de las medidas necesarias para que la transmisión de datos personales a través de redes de telecomunicaciones se realiza cifrando dichos datos o utilizando cualquier otro sistema que garantice que dicha información no sea inteligible ni manipulada por terceros.

8.4. Delegado de Protección de datos

El delegado de protección de datos desempeñará sus funciones prestando la debida atención a los riesgos asociados a las operaciones de tratamiento, teniendo en cuenta la naturaleza, el alcance, el contexto y fines del tratamiento. El delegado de protección de datos tendrá como mínimo las siguientes funciones:

· Informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del presente Reglamento y de otras disposiciones de protección de datos de la Unión o de los Estados miembros;

· Supervisar el cumplimiento de lo dispuesto en el presente Reglamento, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes;

· Ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto relativa a la protección de datos y supervisar su aplicación de conformidad con la EIPD;

· Cooperar con la autoridad de control;

· Actuar como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento, incluida la consulta previa a la AGPD y realizar consultas, en su caso, sobre cualquier otro asunto.

Estas funciones, serán ejercidas en el grupo empresarial DACSA por el Responsable de Seguridad, al no tener obligación formal de designar un DPD.

9. derecho de informacion

Cuando se recopilen datos personales, se ha de poner claramente de manifiesto la transparencia y el Derecho de información en la recogida de datos según se establece en el artículo 11 de la LOPDGDD y se ajustará a las siguientes normas.

Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:

a) La identidad del responsable del tratamiento y de su representante

b) Los datos de contacto del delegado de protección de datos, en su caso.

c) La finalidad del tratamiento y la base jurídica del tratamiento

d) El modo en que el afectado podrá ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.

e) Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles

f) Las categorías de datos objeto de tratamiento.

g) Las fuentes de la que procedieran los datos.

h) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;

i) la intención del responsable de transferir datos personales a un tercer país u organización internacional

j) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;

k) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;

l) el derecho a presentar una reclamación ante una autoridad de control;

m) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;

Cuando los datos de carácter personal no hubieran sido obtenidos del afectado, el responsable podrá dar cumplimiento al deber de información establecido en el artículo 14 del Reglamento (UE) 2016/679 facilitando a aquél la información básica señalada en el apartado anterior, indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información.

En el Anexo 1 del Manual se recoge un documento para cumplir con el derecho de información.

El deber de información debe llevarse a cabo a través de un medio que permita acreditar su cumplimiento, debiendo conservarse mientras persista el tratamiento de los datos del afectado.

10. Procedimiento general para facilitar el ejercicio de los derechos de acceso, rectificación, oposicion y DERECHO de supresion (OLVIDO), PORTABILIDAD Y LIMITACION AL TRATAMIENTO.

El personal de está obligado a posibilitar en todo momento al afectado el ejercicio de los derechos fundamentales sobre los datos objeto de tratamiento.

La normativa de protección de datos permite que el interesado pueda ejercer ante el responsable del tratamiento tus derechos de acceso, rectificación, oposición, supresión (“derecho al olvido”), limitación del tratamiento, portabilidad y de no ser objeto de decisiones individualizadas

Estos derechos se caracterizan por lo siguiente:

Su ejercicio es gratuito

Si las solicitudes son manifiestamente infundadas o excesivas (p. ej., carácter repetitivo) el responsable podrá:
- Cobrar un canon proporcional a los costes administrativos soportados
- Negarse a actuar
Las solicitudes deben responderse en el plazo de un mes, aunque, si se tiene en cuenta la complejidad y número de solicitudes, se puede prorrogar el plazo otros dos meses más
El responsable está obligado a informarte sobre los medios para ejercitar estos derechos. Estos medios deben ser accesibles y no se puede denegar este derecho por el solo motivo de que optes por otro medio
Si la solicitud se presenta por medios electrónicos, la información se facilitará por estos medios cuando sea posible, salvo que el interesado solicite que sea de otro modo
Si el responsable no da curso a la solicitud, informará y a más tardar en un mes, de las razones de su no actuación y la posibilidad de reclamar ante una Autoridad de Control
Puedes ejercer los derechos directamente o por medio de tu representante legal o voluntario
Cabe la posibilidad de que el encargado sea quien atienda la solicitud del interesado por cuenta del responsable si ambos lo han establecido en el contrato o acto jurídico que les vincule

10.1.1. Derecho de acceso

El derecho de acceso es el derecho del interesado a dirigirse al responsable del tratamiento para conocer si está tratando o no tus datos de carácter personal y, en el caso de que se esté realizando dicho tratamiento, obtener la siguiente información:

Una copia de sus datos personales que son objeto del tratamiento
Los fines del tratamiento
Las categorías de datos personales que se traten
Los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular, los destinatarios en países terceros u organizaciones internacionales
El plazo previsto de conservación de los datos personales, o si no es posible, los criterios utilizados para determinar este plazo
La existencia del derecho del interesado a solicitar al responsable: la rectificación o supresión de sus datos personales, la limitación del tratamiento de sus datos personales u oponerse a ese tratamiento
El derecho a presentar una reclamación ante una Autoridad de Control
Cuando los datos personales no se hayan obtenido directamente de ti, cualquier información disponible sobre su origen
La existencia de decisiones automatizadas, incluida la elaboración de perfiles, y al menos en tales casos, información significativa sobre la lógica aplicada, la importancia y las consecuencias previstas de ese tratamiento para el interesado
Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tiene derecho a ser informado de las garantías adecuadas en las que se realizan las transferencias

10.1.2. Derecho de rectificación

El ejercicio de este derecho supone que el interesado puede obtener la rectificación de sus datos personales que sean inexactos sin dilación indebida del responsable del tratamiento.

Teniendo en cuenta los fines del tratamiento, el interesado tiene derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional.

En la solicitud deberá indicar a qué datos se refiere y la corrección que hay que realizar. Además, cuando sea necesario, deberá acompañar su solicitud de la documentación que justifique la inexactitud o el carácter incompleto de tus datos.

10.1.3. Derecho de oposición

Este derecho, como su nombre indica, supone que el interesado se puede oponer a que el responsable realice un tratamiento de los datos personales en los siguientes supuestos:

Cuando sean objeto de tratamiento basado en una misión de interés público o en el interés legítimo, incluido la elaboración de perfiles:

El responsable dejará de tratar los datos salvo que acredite motivos imperiosos que prevalezcan sobre los intereses, derechos y libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones

Cuando el tratamiento tenga como finalidad la mercadotecnia directa, incluida también la elaboración de perfiles anteriormente citada:

Ejercitado este derecho para esta finalidad, los datos personales dejarán de ser tratados para dichos fines

10.1.4. Derecho de supresión ("al olvido")

El interesado podrá ejercitar este derecho ante el responsable solicitando la supresión de sus datos de carácter personal cuando concurra alguna de las siguientes circunstancias:

Si sus datos personales ya no son necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo
Si el tratamiento de sus datos personales se ha basado en el consentimiento que el interesado prestó al responsable, y retira el mismo, siempre que el citado tratamiento no se base en otra causa que lo legitime
Si te has opuesto al tratamiento de tus datos personales al ejercitar el derecho de oposición en las siguientes circunstancias
El tratamiento del responsable se fundamentaba en el interés legítimo o en el cumplimiento de una misión de interés público, y no han prevalecido otros motivos para legitimar el tratamiento de tus datos
A que sus datos personales sean objeto de mercadotecnia directa, incluyendo la elaboración perfiles relacionada con la citada mercadotecnia
Si sus datos personales han sido tratados ilícitamente
Si sus datos personales deben suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento
Si los datos personales se han obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1 (condiciones aplicables al tratamiento de datos de los menores en relación con los servicios de la sociedad de la información).

Además, el RGPD al regular este derecho lo conecta de cierta forma con el denominado “derecho al olvido”, de manera que este derecho de supresión se amplíe de tal forma que el responsable del tratamiento que haya hecho públicos datos personales esté obligado a indicar a los responsables del tratamiento que estén tratando tales datos personales que supriman todo enlace a ellos, o las copias o réplicas de tales datos.

No obstante, este derecho no es ilimitado, de tal forma que puede ser factible no proceder a la supresión cuando el tratamiento sea necesario para el ejercicio de la libertad de expresión e información, para el cumplimiento de una obligación legal, para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, por razones de interés público, en el ámbito de la salud pública, con fines de archivo de interés público, fines de investigación científica o histórica o fines estadísticos, o para la formulación, el ejercicio o la defensa de reclamaciones.

10.1.5. Derecho a la limitación del tratamiento

Este derecho consiste en que el interesado obtenga la limitación del tratamiento de tus datos que realiza el responsable, si bien su ejercicio presenta dos vertientes:

Puede solicitar la suspensión del tratamiento de sus datos:

Cuando impugne la exactitud de sus datos personales, durante un plazo que permita al responsable su verificación
Cuando se haya opuesto al tratamiento de sus datos personales que el responsable realiza en base al interés legítimo o misión de interés público, mientras aquel verifica si estos motivos prevalecen sobre los suyos

Solicitar al responsable la conservación tus datos:

Cuando el tratamiento sea ilícito y te has opuesto a la supresión de tus datos y en su lugar solicitas la limitación de su uso
Cuando el responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones

10.1.6. Derecho a la portabilidad

La finalidad de este derecho es reforzar aún más el control de los datos personales del interesado, de forma que cuando el tratamiento se efectúe por medios automatizados, reciba sus datos personales en un formato estructurado, de uso común, de lectura mecánica e interoperable, y pueda transmitirlos a otro responsable del tratamiento, siempre que el tratamiento se legitime en base al consentimiento o en el marco de la ejecución de un contrato.

No obstante, este derecho, por su propia naturaleza, no se puede aplicar cuando el tratamiento sea necesario para el cumplimiento de una misión de interés público o en el ejercicio de poderes públicos conferidos al responsable.

10.1.7. Derecho a no ser objeto de decisiones individuales automatizadas

Este derecho pretende garantizar que el interesado no sea objeto de una decisión basada únicamente en el tratamiento de sus datos, incluida la elaboración de perfiles, que produzca efectos jurídicos sobre él o le afecte significativamente de forma similar.

Sobre esta elaboración de perfiles, se trata de cualquier forma de tratamiento de sus datos personales que evalúe aspectos personales, en particular analizar o predecir aspectos relacionados con tu rendimiento en el trabajo, situación económica, salud, las preferencias o intereses personales, fiabilidad o el comportamiento.

No obstante, este derecho no será aplicable cuando:

Sea necesario para la celebración o ejecución de un contrato entre el interesado y el responsable
El tratamiento de sus datos se fundamente en su consentimiento prestado previamente
Esté autorizado por el Derecho de la Unión o de los Estados miembros y se establezcan medidas adecuadas para salvaguardar los derechos y libertades e intereses legítimos del interesado.

A su vez, estas excepciones no se aplicarán sobre las categorías especiales de datos (art.9.1), salvo que se aplique el artículo 9.2.letra a) o g) y se hayan tomado las medidas adecuadas citadas en el párrafo anterior.

Para cumplir con dichos derechos se seguirá en todo momento las siguientes normas:

Los derechos sólo se podrán ejercitar él titular o persona expresamente autorizada por aquél para ello. La autorización deberá ser expresa e incluir la petición en la que se concreta la solicitud.

Los derechos se refieren tanto a los datos informatizados como a los que se guarden en expedientes y archivos en papel.

La solicitud para el ejercicio de estos derechos por el afectado deberá dirigirse al responsable, conteniendo los aspectos que en cada caso sean necesarios según se indica en los anexos del Manual de Seguridad.

Será necesario que el titular de los datos, acredite su identidad, adjuntando fotocopia del DNI, frente al Responsable del Tratamiento.

También se admitirá que este derecho sea ejercitado por tercero que acredite actuar en representación del interesado a través de autorización expresa, a la que se adjunte copia del D.N.I. del interesado y en la que se incluya de forma clara el alcance de la autorización y el dato o datos a los que se concreta la solicitud de acceso.

El DPD competente al que se dirige la solicitud o en su defecto el Responsable de Seguridad, resolverá las solicitudes de acceso en el plazo máximo de un mes, a contar desde la recepción de las mismas, resolución que deberá producirse aunque no disponga de datos personales de los afectados, en cuyo caso, deberá contemplar esta única circunstancia en la misma. Si la resolución de acceso fuese afirmativa, dicho acceso se concederá en un plazo máximo de 10 días. Toda respuesta a una solicitud se realizará por escrito.

El DPD o Responsable de Seguridad notificará las supresiones y rectificaciones de datos, a aquellas entidades personas a las que hubiera comunicado datos ya sea como cesionarios o como encargados de tratamiento.

La supresión dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión.

11. VIDEOVIGILANCIA

En caso de tener instaladas cámaras de videovigilancia solo se podrán llevar a cabo el tratamiento de imágenes a través de estos sistemas con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones.

Sólo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior.

Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación.

Los datos obtenidos a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores previstas en el artículo 20.3 del Estatuto de los Trabajadores, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo. Los empleadores habrán de informar a los trabajadores acerca de esta medida.

Se deberá colocar en la zona videovigilada un cartel informativo, igual al que se adjunta en los anexos del presente manual.

También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información

12. sistema de INFORMACION DE denuncias internas

Cuando se creen sistemas de información de denuncias internas, se informará a los empleados acerca de la existencia de estos sistemas de información, y sólo tendrán acceso los datos contenidos en estos sistemas quienes, incardinados o no en el seno de la entidad, desarrollen las funciones de control interno y de cumplimiento.

Sin perjuicio de la notificación a la autoridad competente de hechos constitutivos de ilícito penal o administrativo, solo cuando pudiera proceder la adopción de medidas disciplinarias contra un trabajador, dicho acceso se permitirá al personal con funciones de gestión y control de recursos humanos.

Se adoptarán las medidas necesarias para preservar la identidad y garantizar la confidencialidad de los datos correspondientes a las personas afectadas por la información suministrada, especialmente la de la persona que hubiera puesto los hechos en conocimiento de la entidad, en caso de que se hubiera identificado.

Los datos de quien formule la comunicación y de los empleados y terceros deberán conservarse en el sistema de denuncias únicamente durante el tiempo imprescindible para decidir sobre la procedencia de iniciar una investigación sobre los hechos denunciados. En todo caso, transcurridos tres meses desde la introducción de los datos, deberá procederse a su supresión del sistema de denuncias, salvo que la finalidad de la conservación sea dejar evidencia del funcionamiento del modelo de prevención de la comisión de delitos por la persona jurídica.

Las denuncias a las que no se haya dado curso solamente podrán constar de forma anonimizada.

13. DERECHO A LA INTIMIDAD Y USO DE DISPOSITIVOS DIGITALES EN EL AMBITO LABORAL.

El Responsable del Tratamiento, DACSA, garantiza los derechos digitales establecidos en la Ley 3/2018, de 5 de diciembre. En concreto, garantizando el derecho de los trabajadores de la entidad a la protección de su intimidad en el uso de los dispositivos digitales puestos a su disposición por DACSA.

DACSA podrá acceder a los contenidos derivados del uso de medios digitales facilitados a los trabajadores a los solos efectos de controlar el cumplimiento de las obligaciones laborales o estatutarias y de garantizar la integridad de dichos dispositivos

DACSA ha establecido los criterios de utilización de los dispositivos digitales respetando en todo caso los estándares mínimos de protección de su intimidad de acuerdo con los usos sociales y los derechos reconocidos constitucional y legalmente.

El acceso por DACSA al contenido de dispositivos digitales respecto de los que haya admitido su uso con fines privados requerirá que se especifiquen de modo preciso los usos autorizados y se establezcan garantías para preservar la intimidad de los trabajadores, tales como, en su caso, la determinación de los períodos en que los dispositivos podrán utilizarse para fines privados.

Los trabajadores deberán ser informados de los criterios de utilización a los que se refiere este apartado.

14. DERECHO A LA DESCONEXION DIGITAL EN EL AMBITO LABORAL.

Los trabajadores de DACSA tienen garantizado el derecho a la desconexión digital a fin de garantizar, fuera del tiempo de trabajo legal o convencionalmente establecido, el respeto de su tiempo de descanso, permisos y vacaciones, así como de su intimidad personal y familiar.

Las modalidades de ejercicio de este derecho atenderán a la naturaleza y objeto de la relación laboral, potenciarán el derecho a la conciliación de la actividad laboral y la vida personal y familiar y se sujetarán a lo establecido en la negociación colectiva o, en su defecto, a lo acordado entre la empresa y los representantes de los trabajadores.

DACSA, previa audiencia de los representantes de los trabajadores, ha elaborado una política interna dirigida a trabajadores, incluidos los que ocupen puestos directivos, en la que definirán las modalidades de ejercicio del derecho a la desconexión y las acciones de formación y de sensibilización del personal sobre un uso razonable de las herramientas tecnológicas que evite el riesgo de fatiga informática.

En particular, se preservará el derecho a la desconexión digital en los supuestos de realización total o parcial del trabajo a distancia así como en el domicilio del empleado vinculado al uso con fines laborales de herramientas tecnológicas.

15. derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabacion de sonidos en el lugar de trabajo.

Según establece el artículo 89 de la Ley 3/2018, DACSA podrá tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo.

Los empleadores habrán de informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de esta medida.

En el supuesto de que se haya captado la comisión flagrante de un acto ilícito por los trabajadores o los empleados públicos se entenderá cumplido el deber de informar cuando existiese al menos el dispositivo al que se refiere el artículo 22.4 de esta ley orgánica.

En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos.

La utilización de sistemas similares a los referidos en los apartados anteriores para la grabación de sonidos en el lugar de trabajo se admitirá únicamente cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad que se desarrolle en el centro de trabajo y siempre respetando el principio de proporcionalidad, el de intervención mínima y las garantías previstas en los apartados anteriores. La supresión de los sonidos conservados por estos sistemas de grabación se realizará atendiendo a lo dispuesto en el apartado 3 del artículo 22 de esta ley.

16. Utilización de sistemas de geolocalización en el ámbito laboral.

Se podrán tratar los datos obtenidos a través de sistemas de geolocalización para el ejercicio de las funciones de control de los trabajadores según en el artículo 20.3 del Estatuto de los Trabajadores a, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo.

No obstante, y con carácter previo, los empleadores habrán de informar de forma expresa, clara e inequívoca a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de la existencia y características de estos dispositivos. Igualmente deberán informarles acerca del posible ejercicio de los derechos de acceso, rectificación, limitación del tratamiento y supresión.

17. NOTIFICACION DE UNA VIOLACION DE SEGURIDAD

En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la AEPD, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas.

Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación.

La notificación contemplada en el apartado 1 deberá, como mínimo:

a) describir la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;

b) comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información;

c) describir las posibles consecuencias de la violación de la seguridad de los datos personales;

d) describir las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.

El responsable del tratamiento documentará cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas.

Cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento la comunicará al interesado sin dilación indebida. No obstante, no será necesaria si se cumple alguna de las condiciones siguientes:

a) el responsable del tratamiento ha adoptado medidas de protección técnicas y organizativas apropiadas y estas medidas se han aplicado a los datos personales afectados por la violación de la seguridad de los datos personales, en particular aquellas que hagan ininteligibles los datos personales para cualquier persona que no esté autorizada a acceder a ellos, como el cifrado;

b) el responsable del tratamiento ha tomado medidas ulteriores que garanticen que ya no exista la probabilidad de que se concretice el alto riesgo para los derechos y libertades del interesado;

c) suponga un esfuerzo desproporcionado.

La comunicación se hará a través de la página web de la AEPD en el siguiente enlace:

https://sedeagpd.gob.es/sede-electronica-web/vistas/formBrechaSeguridad/procedimientoBrechaSeguridad.jsf

18. ARCHIVO y control DE LA DOCUMENTACIÓN

MANUAL Y PROCEDIMIENTOS DE SEGURIDAD:

· En portada, deberá indicarse, los responsables de su elaboración, revisión y aprobación (siempre por el Responsable del Tratamiento), con fecha y firma.

· Deberán indicar el código del documento, así como el número y fecha de edición.

FORMATOS:

· Su forma y contenido se adaptarán a las necesidades de sus usuarios y del Sistema de Información en cada momento

· Deberán indicar el código del documento y fecha de edición

· La aprobación formal de un formato o Anexo será el momento en que es firmado y aprobado por el Responsable de Tratamiento el Manual de Seguridad.

En la siguiente Tabla se describen los criterios de codificación de documentos del sistema:

CRITERIO DE CODIFICACIÓN DE DOCUMENTOS DEL SISTEMA

TIPO

CODIGO

OBSERVACIÓN

MANUAL DE SEGURIDAD

XX: Número de Orden de documento relacionado con el MS

PROCEDIMIENTO DE SEGURIDAD

PS-XX

XX: Número de Orden de Procedimiento

FORMATOS DE SEGURIDAD

FS-XX

XX: Número de Orden de Formato

FORMATO REGISTRO DE ACTIVIDAD DE TRATAMIENTO

FS-02-XX

XX: Número de Orden del Fichero

19. CAMBIOS Y ACTUALIZACIONES

Los cambios y actualizaciones realizados sobre los documentos del Sistema de Seguridad serán propuestos y realizados por el Responsable de Seguridad y aprobados por el Responsable del Tratamiento.

El Responsable de Seguridad deberá mantener este documento de seguridad permanentemente actualizado y deberá ser revisado siempre que se produzcan cambios relevantes en el sistema de información, en el contenido de la información incluida en los ficheros o como consecuencia de los controles periódicos realizados.

En todo caso se entenderá como cambio relevante cuando pueda repercutir en el cumplimiento de las medidas de seguridad implantadas. Asimismo, deberá adecuarse, en todo momento, a las disposiciones vigentes en materia de seguridad de los datos de carácter personal.

Todo manual o procedimiento, dispondrá de un apartado al final de este, donde registrar los cambios del documento. Tras la elaboración, modificación o anulación de cualquiera de los documentos que componen el sistema, el Responsable de Seguridad registrará en el apartado de cambios y actualizaciones del documento, lo siguiente:

· Número de edición

· fecha de la modificación.

· Motivo del cambio

A continuación:

· Retirará los documentos obsoletos y entregará las copias de las nuevas ediciones, bien en papel, o documento informático, a las personas que deban conocerlo.

· Explicará los cambios a las personas afectadas

El archivo de los originales de toda la documentación será informático, y si se estima oportuno en papel. El Responsable de Seguridad, archivará por separado:

· Originales de todos los documentos vigentes

· Originales de todos los documentos obsoletos

20. CONTROL DE CAMBIOs

FECHA

NUEVA EDICION

MOTIVO

Qué harás