El artículo 18.4 de la Constitución Española establece
que «la ley limitará el uso de la informática para
garantizar el honor y la intimidad personal y familiar de los ciudadanos
y el pleno ejercicio de sus derechos».
La Ley Orgánica 5/1992, de 29 de octubre, de Regulación del
Tratamiento Automatizado de Datos de carácter personal, prevé
en su artículo 9, la obligación del responsable del fichero
de adoptar las medidas de índole técnica y organizativas
que garanticen la seguridad de los datos de carácter personal y
eviten su alteración, pérdida, tratamiento o acceso no autorizado,
habida cuenta del estado de la tecnología, la naturaleza de los
datos almacenados y los riesgos a que estén expuestos, ya provengan
de la acción humana o del medio físico o natural, estableciéndose
en el artículo 43.3.h) que mantener los ficheros, locales, programas
o equipos que contengan datos de carácter personal sin las debidas
condiciones de seguridad que por vía reglamentaria se determinen
constituye infracción grave en los términos previstos en
la propia Ley.
Sin embargo, la falta de desarrollo reglamentario ha impedido disponer
de un marco de referencia para que los responsables promovieran las adecuadas
medidas de seguridad y, en consencuencia, ha determinado la imposibilidad
de hacer cumplir uno de los más importantes principios de la Ley
Orgánica.
El presente Reglamento tiene por objeto el desarrollo de lo dispuesto en
los artículos 9 y 43.3.h) de la Ley Orgánica 5/1992. El Reglamento
determina las medidas de índole técnica y organizativa que
garanticen la confidencialidad e integridad de la información con
la finalidad de preservar el honor, la intimidad personal y familiar y
el pleno ejercicio de los derechos personales frente a su alteración,
pérdida, tratamiento o acceso no autorizado.
Las medidas de seguridad que se establecen se configuran como las básicas
de seguridad que han de cumplir todos los ficheros que contengan datos
de carácter personal, sin perjuicio de establecer medidas especiales
para aquellos ficheros que por la especial naturaleza de los datos que
contienen o por las propias características de los mismos exigen
un grado de protección mayor.
En su virtud, a propuesta de la Ministra de Justicia, de acuerdo con el
Consejo de Estado, y previa deliberación del Consejo de Ministros
en su reunión del día 11 de junio de 1999,
DISPONGO:
Artículo único.
Aprobación del Reglamento.
Se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados
que contengan datos de carácter personal, cuyo texto se inserta
a continuación.
Disposición final
única. Entrada en vigor.
El presente Real Decreto entrará en vigor el día siguiente
al de su publicación en el «Boletín Oficial del Estado».
Dado en Madrid a 11 de junio de 1999.
JUAN CARLOS R.
La Ministra de Justicia,
Margarita Mariscal de
Gante y Mirón
REGLAMENTO DE MEDIDAS DE SEGURIDAD
DE LOS FICHEROS
AUTOMATIZADOS QUE CONTENGAN DATOS
DE CARÁCTER PERSONAL
CAPÍTULO
I
Disposiciones
generales
Artículo 1.
Ámbito de aplicación y fines.
El presente Reglamento tiene por objeto establecer las medidas de índole
técnica y organizativas necesarias para garantizar la seguridad
que deben reunir los ficheros automatizados, los centros de tratamiento,
locales, equipos, sistemas, programas y las personas que intervengan en
el tratamiento automatizado de los datos de carácter personal sujetos
al régimen de la Ley Orgánica 5/1992, de 29 de octubre, de
Regulación del Tratamiento Automatizado de los Datos de Carácter
Personal.
Artículo 2.
Definiciones.
A efectos de este Reglamento, se entenderá por:
1. Sistemas de información:
conjunto de ficheros automatizados, programas, soportes y equipos empleados
para el almacenamiento y tratamiento de datos de carácter personal.
2. Usuario:
sujeto o proceso autorizado para acceder a datos o recursos.
3. Recurso:
cualquier parte componente de un sistema de información.
4. Accesos
autorizados: autorizaciones concedidas a un usuario para la
utilización de los diversos recursos.
5. Identificación:
procedimiento de reconocimiento de la identidad de un usuario.
6. Autenticación:
procedimiento de comprobación de la identidad de un usuario.
7. Control
de acceso: mecanismo que en función de la identificación
ya autenticada permite acceder a datos o recursos.
8. Contraseña:
información confidencial, frecuentemente constituida por una cadena
de caracteres, que puede ser usada en la autenticación de un usuario.
9. Incidencia:
cualquier anomalía que afecte o pudiera afectar a la seguridad de
los datos.
10. Soporte:
objeto físico susceptible de ser tratado en un sistema de información
y sobre el cual se pueden grabar o recuperar datos.
11. Responsable
de seguridad: persona o personas a las que el responsable del
fichero ha asignado formalmente la función de coordinar y controlar
las medidas de seguridad aplicables.
12. Copia
del respaldo: copia de los datos de un fichero automatizado
en un soporte que posibilite su recuperación.
Artículo 3. Niveles
de seguridad.
1. Las medidas de seguridad exigibles
se clasifican en tres niveles: básico, medio y alto.
2. Dichos niveles se establecen atendiendo
a la naturaleza de la información tratada, en relación con
la mayor o menor necesidad de garantizar la confidencialidad y la integridad
de la información.
Artículo 4.
Aplicación de los niveles de seguridad.
1. Todos los ficheros que contengan
datos de carácter personal deberán adoptar las medidas de
seguridad calificadas como de nivel básico.
2. Los ficheros que contengan datos
relativos a la comisión de infracciones administrativas o penales,
Hacienda Pública, servicios financieros y aquellos ficheros cuyo
funcionamiento se rija por el artículo 28 de la Ley Orgánica
5/1992, deberán reunir, además de las medidas de nivel básico,
las calificadas como de nivel medio.
3. Los ficheros que contengan datos
de ideología, religión, creencias, origen racial, salud o
vida sexual así como los que contengan datos recabados para fines
policiales sin consentimiento de las personas afectadas deberán
reunir, además de las medidas de nivel básico y medio, las
calificadas de nivel alto.
4. Cuando los ficheros contengan un
conjunto de datos de carácter personal suficientes que permitan
obtener una evaluación de la personalidad del individuo deberán
garantizar las medidas de nivel medio establecidas en los artículos
17, 18, 19 y 20.
5. Cada uno de los niveles descritos
anteriormente tienen la condición de mínimos exigibles, sin
perjuicio de las disposiciones legales o reglamentarias específicas
vigentes.
Artículo 5.
Acceso a datos a través de redes de comunicaciones.
Las medidas de seguridad exigibles a los accesos a datos de carácter
personal a través de redes de comunicaciones deberán garantizar
un nivel de seguridad equivalente al correspondiente a los accesos en modo
local.
Artículo 6.
Régimen de trabajo fuera de los locales de la ubicación del
fichero.
La ejecución de tratamiento de datos de carácter personal
fuera de los locales de la ubicación del fichero deberá ser
autorizada expresamente por el responsable del fichero y, en todo caso,
deberá garantizarse el nivel de seguridad correspondiente al tipo
de fichero tratado.
Artículo 7.
Ficheros temporales.
1. Los ficheros temporales deberán
cumplir el nivel de seguridad que les corresponda con arreglo a los criterios
establecidos en el presente Reglamento.
2. Todo fichero temporal será
borrado una vez que haya dejado de ser necesario para los fines que motivaron
su creación.
CAPÍTULO
II
Medidas
de seguridad de nivel básico
Artículo 8.
Documento de seguridad.
1. El responsable del fichero elaborará
e implantará la normativa de seguridad mediante un documento de
obligado cumplimiento para el personal con acceso a los datos automatizados
de carácter personal y a los sistemas de información.
2. El documento deberá contener,
como mínimo, los siguientes aspectos:
a) Ámbito de aplicación
del documento con especificación detallada de los recursos protegidos.
b) Medidas, normas, procedimientos,
reglas y estándares encaminados a garantizar el nivel de seguridad
exigido en este Reglamento.
c) Funciones y obligaciones del personal.
d) Estructura de los ficheros con datos
de carácter personal y descripción de los sistemas de información
que los tratan.
e) Procedimiento de notificación,
gestión y respuesta ante las incidencias.
f) Los procedimientos de realización
de copias de respaldo y de recuperación de los datos.
3. El documento deberá mantenerse
en todo momento actualizado y deberá ser revisado siempre que se
produzcan cambios relevantes en el sistema de información o en la
organización del mismo.
4. El contenido del documento deberá
adecuarse, en todo momento, a las disposiciones vigentes en materia de
seguridad de los datos de carácter personal.
Artículo 9.
Funciones y obligaciones del personal.
1. Las funciones y obligaciones de
cada una de las personas con acceso a los datos de carácter personal
y a los sistemas de información estarán claramente definidas
y documentadas, de acuerdo con lo previsto en el artículo 8.2.c).
2. El responsable del fichero adoptará
las medidas necesarias para que el personal conozca las normas de seguridad
que afecten al desarrollo de sus funciones así como las consecuencias
en que pudiera incurrir en caso de incumplimiento.
Artículo 10.
Registro de incidencias.
El procedimiento de notificación y gestión de incidencias
contendrá necesariamente un registro en el que se haga constar el
tipo de incidencia, el momento en que se ha producido, la persona que realiza
la notificación, a quién se le comunica y los efectos que
se hubieran derivado de la misma.
Artículo 11.
Identificación y autenticación.
1. El responsable del fichero se encargará
de que exista una relación actualizada de usuarios que tengan acceso
autorizado al sistema de información y de establecer procedimientos
de identificación y autenticación para dicho acceso.
2. Cuando el mecanismo de autenticación
se base en la existencia de contraseñas existirá un procedimiento
de asignación, distribución y almacenamiento que garantice
su confidencialidad e integridad.
3. Las contraseñas se cambiarán
con la periodicidad que se determine en el documento de seguridad y mientras
estén vigentes se almacenarán de forma ininteligible.
Artículo 12.
Control de acceso.
1. Los usuarios tendrán acceso
autorizado únicamente a aquellos datos y recursos que precisen para
el desarrollo de sus funciones.
2. El responsable del fichero establecerá
mecanismos para evitar que un usuario pueda acceder a datos o recursos
con derechos distintos de los autorizados.
3. La relación de usuarios a
la que se refiere el artículo 11.1 de este Reglamento contendrá
el acceso autorizado para cada uno de ellos.
4. Exclusivamente el personal autorizado
para ello en el documento de seguridad podrá conceder, alterar o
anular el acceso autorizado sobre los datos y recursos, conforme a los
criterios establecidos por el responsable del fichero.
Artículo 13.
Gestión de soportes.
1. Los soportes informáticos
que contengan datos de carácter personal deberán permitir
identificar el tipo de información que contienen, ser inventariados
y almacenarse en un lugar con acceso restringido al personal autorizado
para ello en el documento de seguridad.
2. La salida de soportes informáticos
que contengan datos de carácter personal, fuera de los locales en
los que esté ubicado el fichero, únicamente podrá
ser autorizada por el responsable del fichero.
Artículo 14.
Copias de respaldo y recuperación.
1. El responsable de fichero se encargará
de verificar la definición y correcta aplicación de los procedimientos
de realización de copias de respaldo y de recuperación de
los datos.
2. Los procedimientos establecidos
para la realización de copias de respaldo y para la recuperación
de los datos deberá garantizar su reconstrucción en el estado
en que se encontraban al tiempo de producirse la pérdida o destrucción.
3. Deberán realizarse copias
de respaldo, al menos semanalmente, salvo que en dicho período no
se hubiera producido ninguna actualización de los datos.
CAPÍTULO
III
Medidas
de seguridad de nivel medio
Artículo 15.
Documento de seguridad.
El documento de seguridad deberá contener, además de lo dispuesto
en el artículo 8 del presente Reglamento, la identificación
del responsable o responsables de seguridad, los controles periódicos
que se deban realizar para verificar el cumplimiento de lo dispuesto en
el propio documento y las medidas que sea necesario adoptar cuando un soporte
vaya a ser desechado o reutilizado.
Artículo 16.
Responsable de seguridad.
El responsable del fichero designará uno o varios responsables de
seguridad encargados de coordinar y controlar las medidas definidas en
el documento de seguridad. En ningún caso esta designación
supone una delegación de la responsabilidad que corresponde al responsable
del fichero de acuerdo con este Reglamento.
Artículo 17.
Auditoría.
1. Los sistemas de información
e instalaciones de tratamiento de datos se someterán a una auditoría
interna o externa, que verifique el cumplimiento del presente Reglamento,
de los procedimientos e instrucciones vigentes en materia de seguridad
de datos, al menos, cada dos años.
2. El informe de auditoría deberá
dictaminar sobre la adecuación de las medidas y controles al presente
Reglamento, identificar sus deficiencias y proponer las medidas correctoras
o complementarias necesarias.
Deberá, igualmente, incluir los datos, hechos y observaciones en
que se basen los dictámenes alcanzados y recomendaciones propuestas.
3. Los informes de auditoría
serán analizados por el responsable de seguridad competente, que
elevará las conclusiones al responsable del fichero para que adopte
las medidas correctoras adecuadas y quedarán a disposición
de la Agencia de Protección de Datos.
Artículo 18.
Identificación y autenticación.
1. El responsable del fichero establecerá
un mecanismo que permita la identificación de forma inequívoca
y personalizada de todo aquel usuario que intente acceder al sistema de
información y la verificación de que está autorizado.
2. Se limitará la posibilidad
de intentar reiteradamente el acceso no autorizado al sistema de información.
Artículo 19.
Control de acceso físico.
Exclusivamente el personal autorizado en el documento de seguridad podrá
tener acceso a los locales donde se encuentren ubicados los sistemas de
información con datos de carácter personal.
Artículo 20.
Gestión de soportes.
1. Deberá establecerse un sistema
de registro de entrada de soportes informáticos que permita, directa
o indirectamente, conocer el tipo de soporte, la fecha y hora, el emisor,
el número de soportes, el tipo de información que contienen,
la forma de envío y la persona responsable de la recepción
que deberá estar debidamente autorizada.
2. Igualmente, se dispondrá
de un sistema de registro de salida de soportes informáticos que
permita, directa o indirectamente, conocer el tipo de soporte, la fecha
y hora, el destinatario, el número de soportes, el tipo de información
que contienen, la forma de envío y la persona responsable de la
entrega que deberá estar debidamente autorizada.
3. Cuando un soporte vaya a ser desechado
o reutilizado, se adoptarán las medidas necesarias para impedir
cualquier recuperación posterior de la información almacenada
en él, previamente a que se proceda a su baja en el inventario.
4. Cuando los soportes vayan a salir
fuera de los locales en que se encuentren ubicados los ficheros como consecuencia
de operaciones de mantenimiento, se adoptarán las medidas necesarias
para impedir cualquier recuperación indebida de la información
almacenada en ellos.
Artículo 21.
Registro de incidencias.
1. En el registro regulado en el artículo
10 deberán consignarse, además, los procedimientos realizados
de recuperación de los datos, indicando la persona que ejecutó
el proceso, los datos restaurados y, en su caso, qué datos ha sido
necesario grabar manualmente en el proceso de recuperación.
2. Será necesaria la autorización
por escrito del responsable del fichero para la ejecución de los
procedimientos de recuperación de los datos.
Artículo 22.
Pruebas con datos reales.
Las pruebas anteriores a la implantación o modificación de
los sistemas de información que traten ficheros con datos de carácter
personal no se realizarán con datos reales, salvo que se asegure
el nivel de seguridad correspondiente al tipo de fichero tratado.
CAPÍTULO
IV
Medidas
de seguridad de nivel alto
Artículo 23.
Distribución de soportes.
La distribución de los soportes que contengan datos de carácter
personal se realizará cifrando dichos datos o bien utilizando cualquier
otro mecanismo que garantice que dicha información no sea inteligible
ni manipulada durante su transporte.
Artículo 24.
Registro de accesos.
1. De cada acceso se guardarán,
como mínimo, la identificación del usuario, la fecha y hora
en que se realizó, el fichero accedido, el tipo de acceso y si ha
sido autorizado o denegado.
2. En el caso de que el acceso haya
sido autorizado, será preciso guardar la información que
permita identificar el registro accedido.
3. Los mecanismos que permiten el registro
de los datos detallados en los párrafos anteriores estarán
bajo el control directo del responsable de seguridad competente sin que
se deba permitir, en ningún caso, la desactivación de los
mismos.
4. El período mínimo
de conservación de los datos registrados será de dos años.
5. El responsable de seguridad competente
se encargará de revisar periódicamente la información
de control registrada y elaborará un informe de las revisiones realizadas
y los problemas detectados al menos una vez al mes.
Artículo 25.
Copias de respaldo y recuperación.
Deberá conservarse una copia de respaldo y de los procedimientos
de recuperación de los datos en un lugar diferente de aquél
en que se encuentren los equipos informáticos que los tratan cumpliendo
en todo caso, las medidas de seguridad exigidas en este Reglamento.
Artículo 26.
Telecomunicaciones.
La transmisión de datos de carácter personal a través
de redes de telecomunicaciones se realizará cifrando dichos datos
o bien utilizando cualquier otro mecanismo que garantice que la información
no sea inteligible ni manipulada por terceros.
CAPÍTULO
V
Infracciones
y sanciones
Artículo 27.
Infracciones y sanciones.
1. El incumplimiento de las medidas
de seguridad descritas en el presente Reglamento será sancionado
de acuerdo con lo establecido en los artículos 43 y 44 de la Ley
Orgánica 5/1992, cuando se trate de ficheros de titularidad privada.
El procedimiento a seguir para la imposición de la sanción
a la que se refiere el párrafo anterior será el establecido
en el Real Decreto 1332/1994, de 20 de junio, por el que se desarrollan
determinados aspectos de la Ley Orgánica 5/1992, de 29 de octubre,
de Regulación del Tratamiento Automatizado de los Datos de Carácter
Personal.
2. Cuando se trate de ficheros de los
que sean responsables las Administraciones públicas se estará,
en cuanto al procedimiento y a las sanciones, a lo dispuesto en el artículo
45 de la Ley Orgánica 5/1992.
Artículo 28.
Responsables.
Los responsables de los ficheros, sujetos al régimen sancionador
de la Ley Orgánica 5/1992, deberán adoptar las medidas de
índole técnica y organizativas necesarias que garanticen
la seguridad de los datos de carácter personal en los términos
establecidos en el presente Reglamento.
CAPÍTULO
VI
Competencias
del Director de la Agencia de Protección de Datos
Artículo 29.
Competencias del Director de la Agencia de Protección de Datos.
El Director de la Agencia de Protección de Datos podrá, de
conformidad con lo establecido en el artículo 36 de la Ley Orgánica
5/1992:
1. Dictar, en su caso y sin perjuicio
de las competencias de otros órganos, las instrucciones precisas
para adecuar los tratamientos automatizados a los principios de la Ley
Orgánica 5/1992.
2. Ordenar la cesación de los
tratamientos de datos de carácter personal y la cancelación
de los ficheros cuando no se cumplan las medidas de seguridad previstas
en el presente Reglamento.
Disposición transitoria
única. Plazos de implantación de las medidas.
En el caso de sistemas de información que se encuentren en funcionamiento
a la entrada en vigor del presente Reglamento, las medidas de seguridad
de nivel básico previstas en el presente Reglamento deberán
implantarse en el plazo de seis meses desde su entrada en vigor, las de
nivel medio en el plazo de un año y las de nivel alto en el plazo
de dos años.
Cuando los sistemas de información que se encuentren en funcionamiento
no permitan tecnológicamente la implantación de alguna de
las medidas de seguridad previstas en el presente Reglamento, la adecuación
de dichos sistemas y la implantación de las medidas de seguridad
deberán realizarse en el plazo máximo de tres años
a contar desde la entrada en vigor del presente Reglamento.
|
