|
Ya
tengo inscritos mis ficheros en el RGPD (Registro General de
Protección de Datos) y redactado el documento de seguridad. Con eso
puedo estar tranquilo.
Este
es el error que mas se suele cometer. El pensar que con la
realización de estos dos pasos uno ya no tiene nada mas que hacer al
respecto de esta materia.
En
realidad, el realizar el registro de los ficheros en el RGPD y el
desarrollo del Documento de seguridad significa el cumplimiento
"básico" de todo lo que conlleva la gestión de la LOPD.
El
registro de los ficheros, significa decirle a la Agencia Española de
Protección de Datos con que tipo de información estamos trabajando
y sobre los cuales se centrará la gestión. Mientras que el
desarrollo del documento de seguridad, o mas bien, del manual de
procedimientos a seguir para garantizar la seguridad e integridad de
los datos que se encuentran automatizados, es un modo de resumir o
especificar todos los procedimientos diseñados para garantizar la
seguridad de la información y que dicho documento será puesto a
disposición de los inspectores de la Agencia Española de Protección
de Datos en el caso de una inspección.
En
el R.D. 1720/2007 de 21 de diciembre, por el que se aprueba el
Reglamento de desarrollo de la Ley Orgánica 15/1999 de 13 de
diciembre, de protección de datos de carácter personal, se
especifica en su artículo 88, puntos 1 y 7.
El
responsable del fichero o tratamiento elaborará un documento de
seguridad que recogerá las medidas de índole técnica y
organizativa acordes a la normativa de seguridad vigente que será de
obligado cumplimiento para el personal con acceso a los sistemas de
información.
El
documento de seguridad deberá mantenerse en todo momento actualizado
y será revisado siempre que se produzcan cambios relevantes en el
sistema de información, en el sistema de tratamiento empleado, en su
organización, en el contenido de la información incluida en los
ficheros o tratamientos o, en su caso, como consecuencia de los
controles periódicos realizados. En todo caso, se entenderá que un
cambio es relevante cuando pueda repercutir en el cumplimiento de las
medidas de seguridad implantadas.
Lo
que viene a significar que no podemos entender el cumplimiento de la
LOPD, como una mera inscripción de ficheros y una simple redacción
del documento de seguridad.
La
información es tratada día a día. Cada día es posible recoger
nuevos datos, comunicarlos, cederlos, almacenarlos, etc., la
incorporación de nuevo personal con permiso al tratamiento de la
misma, la revocación de permisos a usuarios, nombramientos de nuevos
responsables, etc. Así como la aplicación de las medidas de
seguridad establecidas (copias de seguridad, autorizaciones de
acceso, salidas de soportes, etc) o el diseño de unas nuevas por
cambios o mejoras en el sistema de información. Todo ello conlleva
en que la gestión de la LOPD sea realizada de manera continua.
En
el caso de una PYME, la realización de dicha gestión puede ser
llevada a cabo periódicamente realizando una revisión de todo lo
necesario y aplicando dichos cambios. No es necesario un gran
esfuerzo y dedicación para ello.
Sin
embargo, en el caso de las grandes empresas, dada sus características
del tamaño de la misma, seguramente hará falta un mayor esfuerzo
para poder actualizar dichas gestiones o una realización en periodos
menos dilatados.
Otro
aspecto importante, que desmonta la teoría de limitarse a la
inscripción y redacción del documento de seguridad, y debido al
continuo uso o tratamiento de la información, es lo relativo a la
comunicación de los datos.
Resulta
muy habitual que los responsables de las empresas o de algunos de sus
departamentos, necesiten realizar alguna gestión o contratación de
servicio que conlleva la comunicación de datos personales. Esto no
puede realizarse del mismo modo que se ha estado realizando durante
muchos años y sobretodo antes de la existencia de dicha normativa.
La comunicación de datos (salida de datos de su ubicación habitual)
requiere el cumplimiento de ciertas reglas.
Un
caso muy habitual de esto es la solicitud o tramitación de alguna
subvención que conlleva la comunicación de datos personales,
generalmente de trabajadores.
Como
se puede observar en lo escrito, hay muchas razones para pensar que
una adaptación "básica" al cumplimiento de la LOPD no es lo
adecuado, ni una garantía de no ser sancionados por incumplimiento
de la misma.
La
gestión de la LOPD ha de ser continua. Adaptando la periodicidad de
dicha gestión a las necesidades de la empresa, pero nunca deshacerse
de dicha gestión.
|
