Guía de Seguridad de Datos de la AEPD

La Agencia Española de Protección de Datos (AEPD) ha publicado una guía para la adecuación de ficheros de titularidad pública y privada al Reglamento de medidas de seguridad.

Con el fin de ayudar a los responsables de ficheros y encargados del tratamiento, tanto públicos como privados, la AEPD ha publicado una “Guía de Seguridad de Datos”, adaptada al Reglamento de desarrollo de la LOPD que deroga al Real Decreto 994/1999, de 11 de junio, de medidas de seguridad. La guía se encuentra disponible en la siguiente dirección de Internet: https://www.agpd.es/portalweb/canaldocumentacion/publicaciones/common/pdfs/guia_seguridad_datos_2008.pdf

De esta forma la AEPD actualiza el modelo de documento de seguridad que ya fue publicado en su momento. Además, la nueva guía incluye como novedad un cuestionario de “autoevaluación” de las medidas de seguridad y unas preguntas frecuentes que tienen por objeto dar a conocer algunos aspectos esenciales de las medidas de seguridad.

La protección de datos y las medidas de seguridad

Además de actualizar el modelo de documento de seguridad anterior, la AEPD señala que esta guía es necesaria puesto que durante el año pasado y el presente se han iniciado casi 60 inspecciones por posibles incumplimientos de las medidas de seguridad. De éstas, la mitad se debe al abandono de documentos con datos en la vía pública y el resto al uso de programas informáticos para compartir archivos, tales como E-mule, que han dado lugar al acceso no autorizado a datos de carácter personal.

Aunque no es posible alcanzar una seguridad absoluta, como en cualquier otro ámbito de la vida, la protección de datos pasa necesariamente por la adopción de medidas que permitan controlar el riesgo al que se someten los datos personales cuando son tratados. Es por ello que tanto personas como sistemas de información involucrados en el tratamiento tienen que cumplir con unas normas para evitar que se produzca la vulneración de un derecho fundamental, lo que en primera instancia puede dar lugar a la exigencia de la responsabilidad establecida en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

Algunas consideraciones sobre la guía de seguridad

En relación con la guía publicada por la AEPD, pueden señalarse algunos aspectos a tener en consideración por quien la use:

•    Es necesario atender a que es una guía básica, es decir, corresponde al responsable del fichero y/o al encargado del tratamiento adoptar las medidas de seguridad necesarias, entre las que se encuentran la elaboración del documento de seguridad y la realización de la auditoría bienal, esta última para los niveles medio y alto.
•    Tanto el modelo de documento de seguridad que se incluye en la guía como el cuestionario de “autoevaluación”, no significan que el responsable del fichero o el encargado del tratamiento, según corresponda, cumplan con las obligaciones consistentes en la adopción del documento de seguridad y en la realización de la auditoría de seguridad. Es necesario tener en consideración que el cumplimiento de las medidas de seguridad puede requerir asesoramiento legal y técnico.
•    La guía está dirigida a ficheros de titularidad pública y privada, automatizados y no automatizados (manuales o en papel). Por tanto, corresponde al responsable del fichero y/o encargado del tratamiento adecuar el contenido del documento de seguridad a los tratamientos que lleve a cabo, automatizados o no.

En conclusión, tanto los responsables de los ficheros como los encargados del tratamiento tienen la obligación legal de adoptar las medidas de índole técnica y organizativa necesarias para garantizar la confidencialidad, integridad y disponibilidad de la información. La guía publicada por la AEPD servirá de ayuda a cumplir con dicha obligación, si bien es responsabilidad de quien trate datos adoptar las medidas de seguridad necesarias.