Procedimientos – Actualizar el Documento de seguridad LOPD
Cada vez que hagas uno de los siguientes cambios, tienes que realizar modificaciones en el Documento de Seguridad:
CONTRATAR UN TRABAJADOR
Si contratas a un trabajador tiene que firmar el acuerdo de confidencialidad y la entrega del Manual de Usuario, y no olvides incluir en su contrato la información del tratamiento de sus datos.
Cuando te firme el acuerdo inclúyelo en el Anexo II del Documento de Seguridad y lo incluyes como usuario en el apartado 4 (Medidas de Seguridad – Control de acceso).
Aquí te dejo las plantillas de ambos documentos:
- Acuerdo de trabajador
- Manual de Usuario (es cada vez que hagas uno de los siguientes cambios, tienes que realizar modificaciones en el Documento de Seguridad:
CONTRATAR UN COLABORADOR
Si contratas los servicios de un profesional autónomo para que sea parte del equipo, tendrá que firmar un acuerdo de encargado de tratamiento de datos.
Debe enviarte el acuerdo firmado y lo adjuntas en el Anexo II del Documento de Seguridad y lo incluyes como usuario en el apartado 4 (Medidas de Seguridad – Control de acceso).
Aquí te dejo la plantilla por si no tienen su propio acuerdo:
CAMBIO DE ALGÚN PROVEEDOR
Cuando cambies y proveedor o comiences a trabajar con uno nuevo, como puede ser el hosting, email marketing, gestor fiscal, herramienta de facturación,… tendrás que:
- Modificar la política de privacidad e incluirlo, y certifica el cambio
- Incluir en el Documento de Seguridad el nuevo proveedor, en el punto 4 – Medidas de seguridad – Control de acceso
- Añadir el acuerdo de encargado de tratamiento de datos en el Anexo II.
NUEVO TRATAMIENTO DE DATOS
Si vas a hacer un nuevo tratamiento de datos, tendrás que añadirlo en el punto 1 – Ámbito de aplicación del documento, y hacer un nuevo registro de tratamiento de datos en el Anexo I.
Por ejemplo, si hasta el momento tenías tu web con tus suscriptores y ofrecías servicios tu tratamiento de datos serían los siguientes:
Pero si decides crear un curso, y además creas un programa de afiliados para promocionarlo, tendrías que ampliar el tratamiento de los datos con Alumnos y Afiliados. El tipo dependerá si será solo online (automatizado) u online y en papel (mixto).
PÉRDIDA O ROBO DE DISPOSITIVO
En el caso de pérdida, destrucción o robo de un dispositivo en el que se contienen datos del negocio, se tendrá que anotar como una incidencia en el Documento de Seguridad, en el Anexo V.
USO DE NUEVO DISPOSITIVO
Si se va a utilizar un nuevo dispositivo, como puede ser un móvil disco duro externo, pendrive, ordenador,…. habrá que incluirlo en el Anexo III – Aplicaciones y sistemas informáticos utilizados, del Documento de Seguridad.
USO DE NUEVA HERRAMIENTA DE TRABAJO
Será igual que en el caso del uso de un nuevo dispositivo, hay que incluirlo en el Anexo III del Documento de Seguridad.
BRECHA DE SEGURIDAD
En el ANEXO V se llevará un registro de las brechas de seguridad
Cuando una misma incidencia se repita en más de una ocasión, se tomarán nuevas medidas de seguridad para evitarla, y se dejará constancia en el Documento de Seguridad de la nueva medida de seguridad
PROCEDIMIENTO DE NOTIFICACIÓN INTERNA DE INCIDENCIA:
- El usuario que tenga conocimiento de la incidencia informará al responsable de la incidencia detectada, el lugar, día y hora de la detección de la violación y seguridad, indicando además los sistemas, datos y equipos que se han visto afectados.
- El Responsable de Seguridad tomará de inmediato las medidas oportunas para que, en el menor tiempo posible, se subsane la anomalía que haya generado la incidencia.
- Una vez subsanada, el Responsable de Seguridad analizará las posibles causas por las que se haya podido producir la incidencia, con el fin de tomar las medidas correctoras adecuadas con el fin de que no se vuelva a repetir.
- En el caso de que se hayan visto afectados ficheros con datos y sea necesario llevar a cabo algún procedimiento de recuperación de datos, será imprescindible que el Responsable del Tratamiento autorice la ejecución del citado procedimiento, haciéndolo constar mediante su firma en el impreso de registro de incidencias.
SE CONSIDERA BRECHA DE SEGURIDAD
- Pérdida de Información.
- Modificaciones y accesos no autorizados a los datos.
- La no revisión o modificación de este Documento cuando ello fuera preciso.
- El desconocimiento de cualquier persona que trabaje en la empresa de las medidas de seguridad que le sean exigibles, según las funciones que tenga asignadas.
- La falta de notificación o de inscripción de incidencias.
- La inexistencia de relación actualizada de los usuarios de los sistemas de información.
- El incumplimiento de los procedimientos previstos para la autenticación.
- El incumplimiento de las medidas establecidas para la asignación, distribución y almacenamiento de contraseñas.
- El almacenamiento de forma inteligible de contraseñas.
- El acceso no autorizado a datos o recursos.
- El acceso a datos o recursos fuera de los horarios laborables.
- La falta de ejecución de los mecanismos que impidan al usuario el acceso a datos no autorizados.
- La modificación no autorizada de datos.
- El borrado no autorizado de datos.
- La salida no autorizada de soportes informáticos.
- El almacenaje de soportes informáticos que contengan datos en lugares de acceso público.
- La no realización de las copias de respaldo preceptivas en el tiempo que se fija en el presente Documento.
- El incumplimiento de las medidas establecidas para el desecho o reutilización de los soportes.
- El incumplimiento de las medidas de seguridad que persiguen salvaguardar la recuperación indebida de la información que se contenga en los soportes.
- La falta de autorización por escrito del Responsable del Tratamiento, para poder ejecutar la recuperación de los datos.
- La distribución en soportes, o transmisión por redes de telecomunicación, de información legible o susceptible de ser manipulada.
- El acceso por personal no autorizado a la sala de servidores.
______
NOTIFICACIÓN DE BRECHA DE SEGURIDAD A LOS PERJUDICADOS Y A LA AEPD
Una vez registrada la incidencia, se analiza si supone un riesgo para los afectados, siguiendo los siguientes criterios:
- Que pueda provocar daños y perjuicios físicos, materiales o inmateriales
- Problemas de discriminación
- Usurpación de identidad o fraudes
- Pérdidas financieras
- Daño para la reputación
- Pérdida de confidencialidad de datos sujetos al secreto profesional reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o social significativo
- Se tratan de datos especialmente sensibles
Si se dan uno de estos criterios hay que notificar a los afectados y a la AEPD en un plazo de 72 horas desde que se detecta la brecha de seguridad. La notificación se realizará aquí:
En el Libro de Incidencias se registrará también la notificación realizada y la resolución del problema.
NO RESTAURACIÓN DE COPIA DE SEGURIDAD
Si se pierde información y no es posible restaurar la información al estado anterior mediante la copia de seguridad (por ejemplo porque no estaba actualizada), deberá anotarse como una brecha de seguridad en el anexo V del Documento de Seguridad.
SOLICITUD DE DERECHOS ARSO
En todo momento se debe asegurar los derechos que los afectados tienen respecto a sus datos personales.
En el momento de que cualquier usuario tenga noticia de una solicitud de derechos por parte de un afectado, se lo comunicará de forma inmediata al Responsable del Tratamiento, con el fin de que éste pueda resolverla en los plazos previstos en la ley.
- Derecho de acceso – podrá solicitar que se le informe de los datos que se tienen de él.
- Derecho de rectificación y cancelación
- Derecho de portabilidad – Si solicita que sus datos se transmitan directamente a otro responsable, siempre que sea técnicamente posible.
Podrán solicitar sus derechos a través de cualquier medio, siempre que se identifiquen, por ejemplo con DNI.
Estas solicitudes deben responderse en un tiempo máximo de 10 días, y deben responderse siempre, aunque no se disponga de ningún dato del usuario (así se le indicará).
Todas las solicitudes irán anotadas en el ANEXO IV del Documento de Seguridad.
Por ejemplo, pueden escribirte directamente un usuario para que no le mandes más correos. En ese caso le das de baja en la lista, le respondes que ya se ha procedido a la baja, y ese email de solicitud y tu respuesta, le haces un pantallazo y los incluyes en el Anexo IV.