REAL DECRETO 994/1999, de 11 de junio, por el que se aprueba
el Reglamento de medidas de seguridad de los ficheros automatizados
que contengan datos de carácter personal.
El artículo 18.4 de la Constitución Española
establece que «la ley limitará el uso de la informática
para garantizar el honor y la intimidad personal y familiar de
los ciudadanos y el pleno ejercicio de sus derechos».
La Ley Orgánica 5/1992, de 29 de octubre, de Regulación
del Tratamiento Automatizado de Datos de carácter personal,
prevé en su artículo 9, la obligación del
responsable del fichero de adoptar las medidas de índole
técnica y organizativas que garanticen la seguridad de
los datos de carácter personal y eviten su alteración,
pérdida, tratamiento o acceso no autorizado, habida cuenta
del estado de la tecnología, la naturaleza de los datos
almacenados y los riesgos a que estén expuestos, ya provengan
de la acción humana o del medio físico o natural,
estableciéndose en el artículo 43.3.h) que mantener
los ficheros, locales, programas o equipos que contengan datos
de carácter personal sin las debidas condiciones de seguridad
que por vía reglamentaria se determinen constituye infracción
grave en los términos previstos en la propia Ley.
Sin embargo, la falta de desarrollo reglamentario ha impedido
disponer de un marco de referencia para que los responsables promovieran
las adecuadas medidas de seguridad y, en consencuencia, ha determinado
la imposibilidad de hacer cumplir uno de los más importantes
principios de la Ley Orgánica.
El presente Reglamento tiene por objeto el desarrollo de lo
dispuesto en los artículos 9 y 43.3.h) de la Ley Orgánica
5/1992. El Reglamento determina las medidas de índole técnica
y organizativa que garanticen la confidencialidad e integridad
de la información con la finalidad de preservar el honor,
la intimidad personal y familiar y el pleno ejercicio de los derechos
personales frente a su alteración, pérdida, tratamiento
o acceso no autorizado.
Las medidas de seguridad que se establecen se configuran como
las básicas de seguridad que han de cumplir todos los ficheros
que contengan datos de carácter personal, sin perjuicio
de establecer medidas especiales para aquellos ficheros que por
la especial naturaleza de los datos que contienen o por las propias
características de los mismos exigen un grado de protección
mayor.
En su virtud, a propuesta de la Ministra de Justicia, de acuerdo
con el Consejo de Estado, y previa deliberación del Consejo
de Ministros en su reunión del día 11 de junio de
1999,
DISPONGO:
Artículo único. Aprobación del Reglamento.
Se aprueba el Reglamento de medidas de seguridad de los ficheros
automatizados que contengan datos de carácter personal,
cuyo texto se inserta a continuación.
Disposición final única. Entrada en vigor.
El presente Real Decreto entrará en vigor el día
siguiente al de su publicación en el «Boletín
Oficial del Estado».
Dado en Madrid a 11 de junio de 1999.
JUAN CARLOS R.
La Ministra de Justicia, MARGARITA MARISCAL DE GANTE MIRÓN
REGLAMENTO DE MEDIDAS DE SEGURIDAD DE LOS FICHEROS AUTOMATIZADOS
QUE CONTENGAN DATOS DE CARÁCTER PERSONAL
CAPÍTULO I . Disposiciones generales
Artículo 1. Ámbito de aplicación y fines.
El presente Reglamento tiene por objeto establecer las medidas
de índole técnica y organizativas necesarias para
garantizar la seguridad que deben reunir los ficheros automatizados,
los centros de tratamiento, locales, equipos, sistemas, programas
y las personas que intervengan en el tratamiento automatizado
de los datos de carácter personal sujetos al régimen
de la Ley Orgánica 5/1992, de 29 de octubre, de Regulación
del Tratamiento Automatizado de los Datos de Carácter Personal.
Artículo 2. Definiciones.
A efectos de este Reglamento, se entenderá por
1. Sistemas de información: conjunto de ficheros automatizados,
programas, soportes y equipos empleados para el almacenamiento
y tratamiento de datos de carácter personal.
2. Usuario: sujeto o proceso autorizado para acceder a datos
o recursos.
3. Recurso: cualquier parte componente de un sistema de información.
4. Accesos autorizados: autorizaciones concedidas a un usuario
para la utilización de los diversos recursos.
5. Identificación: procedimiento de reconocimiento de
la identidad de un usuario.
6. Autenticación: procedimiento de comprobación
de la identidad de un usuario.
7. Control de acceso: mecanismo que en función de la
identificación ya autenticada permite acceder a datos o
recursos.
8. Contraseña: información confidencial, frecuentemente
constituida por una cadena de caracteres, que puede ser usada
en la autenticación de un usuario.
9. Incidencia: cualquier anomalía que afecte o pudiera
afectar a la seguridad de los datos.
10. Soporte: objeto físico susceptible de ser tratado
en un sistema de información y sobre el cual se pueden
grabar o recuperar datos.
11. Responsable de seguridad: persona o personas a las que el
responsable del fichero ha asignado formalmente la función
de coordinar y controlar las medidas de seguridad aplicables.
12. Copia del respaldo: copia de los datos de un fichero automatizado
en un soporte que posibilite su recuperación.
Artículo 3. Niveles de seguridad.
1. Las medidas de seguridad exigibles se clasifican en tres niveles:
básico, medio y alto.
2. Dichos niveles se establecen atendiendo a la naturaleza de
la información tratada, en relación con la mayor
o menor necesidad de garantizar la confidencialidad y la integridad
de la información.
Artículo 4. Aplicación de los niveles de seguridad.
1. Todos los ficheros que contengan datos de carácter
personal deberán adoptar las medidas de seguridad calificadas
como de nivel básico.
2. Los ficheros que contengan datos relativos a la comisión
de infracciones administrativas o penales, Hacienda Pública,
servicios financieros y aquellos ficheros cuyo funcionamiento
se rija por el artículo 28 de la Ley Orgánica 5/1992,
deberán reunir, además de las medidas de nivel básico,
las calificadas como de nivel medio.
3. Los ficheros que contengan datos de ideología, religión,
creencias, origen racial, salud o vida sexual así como
los que contengan datos recabados para fines policiales sin consentimiento
de las personas afectadas deberán reunir, además
de las medidas de nivel básico y medio, las calificadas
de nivel alto.
4. Cuando los ficheros contengan un conjunto de datos de carácter
personal suficientes que permitan obtener una evaluación
de la personalidad del individuo deberán garantizar las
medidas de nivel medio establecidas en los artículos 17,
18, 19 y 20.
5. Cada uno de los niveles descritos anteriormente tienen la
condición de mínimos exigibles, sin perjuicio de
las disposiciones legales o reglamentarias específicas
vigentes.
Artículo 5. Acceso a datos a través de redes
de comunicaciones.
Las medidas de seguridad exigibles a los accesos a datos de carácter
personal a través de redes de comunicaciones deberán
garantizar un nivel de seguridad equivalente al correspondiente
a los accesos en modo local.
Artículo 6. Régimen de trabajo fuera de los locales
de la ubicación del fichero.
La ejecución de tratamiento de datos de carácter
personal fuera de los locales de la ubicación del fichero
deberá ser autorizada expresamente por el responsable del
fichero y, en todo caso, deberá garantizarse el nivel de
seguridad correspondiente al tipo de fichero tratado.
Artículo 7. Ficheros temporales.
1. Los ficheros temporales deberán cumplir el nivel de
seguridad que les corresponda con arreglo a los criterios establecidos
en el presente Reglamento.
2. Todo fichero temporal será borrado una vez que haya
dejado de ser necesario para los fines que motivaron su creación.
CAPÍTULO II . Medidas de seguridad de nivel básico
Artículo 8. Documento de seguridad.
1. El responsable del fichero elaborará e implantará
la normativa de seguridad mediante un documento de obligado cumplimiento
para el personal con acceso a los datos automatizados de carácter
personal y a los sistemas de información.
2. El documento deberá contener, como mínimo,
los siguientes aspectos:
a) Ámbito de aplicación del documento con especificación
detallada de los recursos protegidos.
b) Medidas, normas, procedimientos, reglas y estándares
encaminados a garantizar el nivel de seguridad exigido en este
Reglamento.
c) Funciones y obligaciones del personal.
d) Estructura de los ficheros con datos de carácter
personal y descripción de los sistemas de información
que los tratan.
e) Procedimiento de notificación, gestión y
respuesta ante las incidencias. f) Los procedimientos de realización
de copias de respaldo y de recuperación de los datos.
3. El documento deberá mantenerse en todo momento actualizado
y deberá ser revisado siempre que se produzcan cambios
relevantes en el sistema de información o en la organización
del mismo.
4. El contenido del documento deberá adecuarse, en todo
momento, a las disposiciones vigentes en materia de seguridad
de los datos de carácter personal.
Artículo 9. Funciones y obligaciones del personal.
1. Las funciones y obligaciones de cada una de las personas con
acceso a los datos de carácter personal y a los sistemas
de información estarán claramente definidas y documentadas,
de acuerdo con lo previsto en el artículo 8.2.c).
2. El responsable del fichero adoptará las medidas necesarias
para que el personal conozca las normas de seguridad que afecten
al desarrollo de sus funciones así como las consecuencias
en que pudiera incurrir en caso de incumplimiento.
Artículo 10. Registro de incidencias.
El procedimiento de notificación y gestión de incidencias
contendrá necesariamente un registro en el que se haga
constar el tipo de incidencia, el momento en que se ha producido,
la persona que realiza la notificación, a quién
se le comunica y los efectos que se hubieran derivado de la misma.
Artículo 11. Identificación y autenticación.
1. El responsable del fichero se encargará de que exista
una relación actualizada de usuarios que tengan acceso
autorizado al sistema de información y de establecer procedimientos
de identificación y autenticación para dicho acceso.
2. Cuando el mecanismo de autenticación se base en la
existencia de contraseñas existirá un procedimiento
de asignación, distribución y almacenamiento que
garantice su confidencialidad e integridad.
3. Las contraseñas se cambiarán con la periodicidad
que se determine en el documento de seguridad y mientras estén
vigentes se almacenarán de forma ininteligible.
Artículo 12. Control de acceso.
1. Los usuarios tendrán acceso autorizado únicamente
a aquellos datos y recursos que precisen para el desarrollo de
sus funciones.
2. El responsable del fichero establecerá mecanismos
para evitar que un usuario pueda acceder a datos o recursos con
derechos distintos de los autorizados.
3. La relación de usuarios a la que se refiere el artículo
11.1 de este Reglamento contendrá el acceso autorizado
para cada uno de ellos.
4. Exclusivamente el personal autorizado para ello en el documento
de seguridad podrá conceder, alterar o anular el acceso
autorizado sobre los datos y recursos, conforme a los criterios
establecidos por el responsable del fichero.
Artículo 13. Gestión de soportes.
1. Los soportes informáticos que contengan datos de carácter
personal deberán permitir identificar el tipo de información
que contienen, ser inventariados y almacenarse en un lugar con
acceso restringido al personal autorizado para ello en el documento
de seguridad.
2. La salida de soportes informáticos que contengan datos
de carácter personal, fuera de los locales en los que esté
ubicado el fichero, únicamente podrá ser autorizada
por el responsable del fichero.
Artículo 14. Copias de respaldo y recuperación.
1. El responsable de fichero se encargará de verificar
la definición y correcta aplicación de los procedimientos
de realización de copias de respaldo y de recuperación
de los datos.
2. Los procedimientos establecidos para la realización
de copias de respaldo y para la recuperación de los datos
deberá garantizar su reconstrucción en el estado
en que se encontraban al tiempo de producirse la pérdida
o destrucción.
3. Deberán realizarse copias de respaldo, al menos semanalmente,
salvo que en dicho período no se hubiera producido ninguna
actualización de los datos.
CAPÍTULO III Medidas de seguridad de nivel medio
Artículo 15. Documento de seguridad.
El documento de seguridad deberá contener, además
de lo dispuesto en el artículo 8 del presente Reglamento,
la identificación del responsable o responsables de seguridad,
los controles periódicos que se deban realizar para verificar
el cumplimiento de lo dispuesto en el propio documento y las medidas
que sea necesario adoptar cuando un soporte vaya a ser desechado
o reutilizado.
Artículo 16. Responsable de seguridad.
El responsable del fichero designará uno o varios responsables
de seguridad encargados de coordinar y controlar las medidas definidas
en el documento de seguridad. En ningún caso esta designación
supone una delegación de la responsabilidad que corresponde
al responsable del fichero de acuerdo con este Reglamento.
Artículo 17. Auditoría.
1. Los sistemas de información e instalaciones de tratamiento
de datos se someterán a una auditoría interna o
externa, que verifique el cumplimiento del presente Reglamento,
de los procedimientos e instrucciones vigentes en materia de seguridad
de datos, al menos, cada dos años.
2. El informe de auditoría deberá dictaminar sobre
la adecuación de las medidas y controles al presente Reglamento,
identificar sus deficiencias y proponer las medidas correctoras
o complementarias necesarias. Deberá, igualmente, incluir
los datos, hechos y observaciones en que se basen los dictámenes
alcanzados y recomendaciones propuestas.
3. Los informes de auditoría serán analizados
por el responsable de seguridad competente, que elevará
las conclusiones al responsable del fichero para que adopte las
medidas correctoras adecuadas y quedarán a disposición
de la Agencia de Protección de Datos.
Artículo 18. Identificación y autenticación.
1. El responsable del fichero establecerá un mecanismo
que permita la identificación de forma inequívoca
y personalizada de todo aquel usuario que intente acceder al sistema
de información y la verificación de que está
autorizado.
2. Se limitará la posibilidad de intentar reiteradamente
el acceso no autorizado al sistema de información.
Artículo 19. Control de acceso físico.
Exclusivamente el personal autorizado en el documento de seguridad
podrá tener acceso a los locales donde se encuentren ubicados
los sistemas de información con datos de carácter
personal.
Artículo 20. Gestión de soportes.
1. Deberá establecerse un sistema de registro de entrada
de soportes informáticos que permita, directa o indirectamente,
conocer el tipo de soporte, la fecha y hora, el emisor, el número
de soportes, el tipo de información que contienen, la forma
de envío y la persona responsable de la recepción
que deberá estar debidamente autorizada.
2. Igualmente, se dispondrá de un sistema de registro
de salida de soportes informáticos que permita, directa
o indirectamente, conocer el tipo de soporte, la fecha y hora,
el destinatario, el número de soportes, el tipo de información
que contienen, la forma de envío y la persona responsable
de la entrega que deberá estar debidamente autorizada.
3. Cuando un soporte vaya a ser desechado o reutilizado, se
adoptarán las medidas necesarias para impedir cualquier
recuperación posterior de la información almacenada
en él, previamente a que se proceda a su baja en el inventario.
4. Cuando los soportes vayan a salir fuera de los locales en
que se encuentren ubicados los ficheros como consecuencia de operaciones
de mantenimiento, se adoptarán las medidas necesarias para
impedir cualquier recuperación indebida de la información
almacenada en ellos.
Artículo 21. Registro de incidencias.
1. En el registro regulado en el artículo 10 deberán
consignarse, además, los procedimientos realizados de recuperación
de los datos, indicando la persona que ejecutó el proceso,
los datos restaurados y, en su caso, qué datos ha sido
necesario grabar manualmente en el proceso de recuperación.
2. Será necesaria la autorización por escrito
del responsable del fichero para la ejecución de los procedimientos
de recuperación de los datos.
Artículo 22. Pruebas con datos reales.
Las pruebas anteriores a la implantación o modificación
de los sistemas de información que traten ficheros con
datos de carácter personal no se realizarán con
datos reales, salvo que se asegure el nivel de seguridad correspondiente
al tipo de fichero tratado.
CAPÍTULO IV Medidas de seguridad de nivel alto
Artículo 23. Distribución de soportes.
La distribución de los soportes que contengan datos de
carácter personal se realizará cifrando dichos datos
o bien utilizando cualquier otro mecanismo que garantice que dicha
información no sea inteligible ni manipulada durante su
transporte.
Artículo 24. Registro de accesos.
1. De cada acceso se guardarán, como mínimo, la
identificación del usuario, la fecha y hora en que se realizó,
el fichero accedido, el tipo de acceso y si ha sido autorizado
o denegado.
2. En el caso de que el acceso haya sido autorizado, será
preciso guardar la información que permita identificar
el registro accedido.
3. Los mecanismos que permiten el registro de los datos detallados
en los párrafos anteriores estarán bajo el control
directo del responsable de seguridad competente sin que se deba
permitir, en ningún caso, la desactivación de los
mismos.
4. El período mínimo de conservación de
los datos registrados será de dos años.
5. El responsable de seguridad competente se encargará
de revisar periódicamente la información de control
registrada y elaborará un informe de las revisiones realizadas
y los problemas detectados al menos una vez al mes.
Artículo 25. Copias de respaldo y recuperación.
Deberá conservarse una copia de respaldo y de los procedimientos
de recuperación de los datos en un lugar diferente de aquél
en que se encuentren los equipos informáticos que los tratan
cumpliendo en todo caso, las medidas de seguridad exigidas en
este Reglamento.
Artículo 26. Telecomunicaciones.
La transmisión de datos de carácter personal a
través de redes de telecomunicaciones se realizará
cifrando dichos datos o bien utilizando cualquier otro mecanismo
que garantice que la información no sea inteligible ni
manipulada por terceros.
CAPÍTULO V Infracciones y sanciones
Artículo 27. Infracciones y sanciones.
1. El incumplimiento de las medidas de seguridad descritas en
el presente Reglamento será sancionado de acuerdo con lo
establecido en los artículos 43 y 44 de la Ley Orgánica
5/1992, cuando se trate de ficheros de titularidad privada.
El procedimiento a seguir para la imposición de la sanción
a la que se refiere el párrafo anterior será el
establecido en el Real Decreto 1332/1994, de 20 de junio, por
el que se desarrollan determinados aspectos de la Ley Orgánica
5/1992, de 29 de octubre, de Regulación del Tratamiento
Automatizado de los Datos de Carácter Personal.
2. Cuando se trate de ficheros de los que sean responsables
las Administraciones públicas se estará, en cuanto
al procedimiento y a las sanciones, a lo dispuesto en el artículo
45 de la Ley Orgánica 5/1992.
Artículo 28. Responsables.
Los responsables de los ficheros, sujetos al régimen sancionador
de la Ley Orgánica 5/1992, deberán adoptar las medidas
de índole técnica y organizativas necesarias que
garanticen la seguridad de los datos de carácter personal
en los términos establecidos en el presente Reglamento.
CAPÍTULO VI Competencias del Director de la Agencia de
Protección de Datos
Artículo 29. Competencias del Director de la Agencia
de Protección de Datos.
El Director de la Agencia de Protección de Datos podrá,
de conformidad con lo establecido en el artículo 36 de
la Ley Orgánica 5/1992:
1. Dictar, en su caso y sin perjuicio de las competencias de
otros órganos, las instrucciones precisas para adecuar
los tratamientos automatizados a los principios de la Ley Orgánica
5/1992.
2. Ordenar la cesación de los tratamientos de datos de
carácter personal y la cancelación de los ficheros
cuando no se cumplan las medidas de seguridad previstas en el
presente Reglamento.
Disposición transitoria única. Plazos de implantación
de las medidas.
En el caso de sistemas de información que se encuentren
en funcionamiento a la entrada en vigor del presente Reglamento,
las medidas de seguridad de nivel básico previstas en el
presente Reglamento deberán implantarse en el plazo de
seis meses desde su entrada en vigor, las de nivel medio en el
plazo de un año y las de nivel alto en el plazo de dos
años.
Cuando los sistemas de información que se encuentren
en funcionamiento no permitan tecnológicamente la implantación
de alguna de las medidas de seguridad previstas en el presente
Reglamento, la adecuación de dichos sistemas y la implantación
de las medidas de seguridad deberán realizarse en el plazo
máximo de tres años a contar desde la entrada en
vigor del presente Reglamento. |
