Real Decreto. Ficheros con Datos Personales
RD 994/1999, 11 jun. Ficheros automatizados que contengan datos de Carácter Personal. Aprobación del reglamentos de medidas de seguridad
Art. 15
Documento de seguridad.-
El documento de seguridad deberá contener, además
de lo dispuesto en el artículo 8 del presente Reglamento, la
identificación del responsable o responsables de seguridad,
los controles periódicos que se deban realizar para verificar
el cumplimiento de lo dispuesto en el propio documento y las medidas
que sea necesario adoptar cuando un soporte vaya a ser desechado o
reutilizado.
Art. 16
Responsable de seguridad.-
El responsable del fichero designará uno o varios responsables
de seguridad encargados de coordinar y controlar las medidas definidas
en el documento de seguridad. En ningún caso esta designación
supone una delegación de la responsabilidad que corresponde
al responsable del fichero de acuerdo con este Reglamento.
Art. 17
Auditoría.-
- 1. Los sistemas de información e instalaciones de tratamiento de datos se someterán a una auditoría interna o externa, que verifique el cumplimiento del presente Reglamento, de los procedimientos e instrucciones vigentes en materia de seguridad de datos, al menos, cada dos años
- 2. El informe de auditoría deberá dictaminar sobre la adecuación de las medidas y controles al presente Reglamento, identificar sus deficiencias y proponer las medidas correctoras o complementarias necesarias. Deberá, igualmente, incluir los datos, hechos y observaciones en que se basen los dictámenes alcanzados y recomendaciones propuestas
- 3. Los informes de auditoría serán analizados por el responsable de seguridad competente, que elevará las conclusiones al responsable del fichero para que adopte las medidas correctoras adecuadas y quedarán a disposición de la Agencia de Protección de Datos
Identificación y autenticación.-
- 1. El responsable del fichero establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado
- 2. Se limitará la posibilidad de intentar reiteradamente el acceso no autorizado al sistema de información
Art. 19
Control de acceso físico.-
Exclusivamente el personal autorizado en el documento de seguridad
podrá tener acceso a los locales donde se encuentren ubicados
los sistemas de información con datos de carácter personal.
Art. 20
Gestión de soportes.-
- 1. Deberá establecerse un sistema de registro de entrada de soportes informáticos que permita, directa o indirectamente, conocer el tipo de soporte, la fecha y hora, el emisor, el número de soportes, el tipo de información que contienen, la forma de envío y la persona responsable de la recepción que deberá estar debidamente autorizada
- 2. Igualmente, se dispondrá de un sistema de registro de salida de soportes informáticos que permita, directa o indirectamente, conocer el tipo de soporte, la fecha y hora, el destinatario, el número de soportes, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada
- 3. Cuando un soporte vaya a ser desechado o reutilizado, se adoptarán las medidas necesarias para impedir cualquier recuperación posterior de la información almacenada en él, previamente a que se proceda a su baja en el inventario
- 4. Cuando los soportes vayan a salir fuera de los locales en que se encuentren ubicados los ficheros como consecuencia de operaciones de mantenimiento, se adoptarán las medidas necesarias para impedir cualquier recuperación indebida de la información almacenada en ellos
Registro de incidencias.-
- 1. En el registro regulado en el artículo 10 deberán consignarse, además, los procedimientos realizados de recuperación de los datos, indicando la persona que ejecutó el proceso, los datos restaurados y, en su caso, qué datos ha sido necesario grabar manualmente en el proceso de recuperación
- 2. Será necesaria la autorización por escrito del responsable del fichero para la ejecución de los procedimientos de recuperación de los datos
Art. 22
Pruebas con datos reales.-
Las pruebas anteriores a la implantación o modificación de los sistemas de información que traten ficheros con datos de carácter personal no se realizarán con datos reales, salvo que se asegure el nivel de seguridad correspondiente al tipo de fichero tratado.