Angelesadl's Weblog

Se aplica a todos los ficheros automatizados de datos de carácter personal, cualquiera que sea el tipo o la naturaleza de los datos incluidos en el fichero.

CONTENIDO DEL DOCUMENTO DE SEGURIDAD (Nivel Básico)

1.- El ámbito de aplicación del Documento de Seguridad.
2.- Las medidas, normas y procedimientos encaminados a garantizar el nivel de seguridad exigido en Reglamento de Medidas de Seguridad.
3.- Las funciones y obligaciones del personal que tiene acceso a los datos.
4.- La estructura de los ficheros y la descripción de los sistemas de información que los tratan.
5.- El procedimiento de notificación, gestión y respuesta ante las incidencias.
6.- Los procedimientos de realización de copias de respaldo y de recuperación de los datos.

1-AMBITO DE APLICACIÓN.-

.Comunidad de propietarios, sita en Valencia C/………… con codigo postal 46023
Responsable del fichero. – La comunidad de propietarios anteriormente descrita.La ubicación del fichero sera la del domicilio del Presidente de la Comunidad , el su caso el domicilio del Administrador si existiera, o en ambos domicilios si comparten los ficheros.
Datos personales de las personas a las que se les aplica las médidas de Seguridad .-

- Nombre y Apellidos

- Número de puerta.

- Telefono

- Número del DNI.

- Número de cuenta Corriente de cada propietario.

- Lista de impagados

- Cuota de participación.

- Propiedades.

2.-PROCEDIMIENTO

: Los ficheros informaticos se encuentran ubicados dentro del sistema informatico,utilizado por el administrador habitualmente, que cumple con las medidas de seguridad de protección de datos.Este sistema consiste en dos ordenadores:

-caracteristicas tecnicas:

-sist.operativo-office.

-conectados a la red.

-Adsl

-Antivirus—

Medidas de seguridad del local

· .puerta blindada de entrada al local del despacho donde se encuentran los ordenadores que contienen la información que debe protegerse.

· Puerta de acceso al depacho por medio de cerradura de seguridad.

· Sistema de alarma.

Medidas de seguridad del sistema informatico:

Disco duro externo de Seguridad.

Firma electronica. Del presidente y el administrador.

DEL 3- FUNCIONES Y OBLIGACIONES PERSONAL-

A -PERSONAS AUTORIZADAS CON ACCESO A LOS DATOS.

Presidente de la Comunidad.
Administrador de la finca.(y en su caso sus empleados)
Miembros de la Comunidad mediante las circulares informativas de futuras juntas vecinales o cuando se remite a los vecinos el documento donde consta lo acordado en dichas juntas, tanto ordinarias como extraordinarias.

-FUNCIONES,OBLIGACIONESY PRERROGATIVAS DE ACCESO DE DATOS.

FUNCIONES DEL PERSONAL.-

El Documento de Seguridad debe recoger las principales funciones

del personal que accede a los datos de los ficheros; deberán definirse y recogerse los tipos de acceso y permisos, pudiendo relacionarse por grupos de usuarios, por perfiles de usuarios, por funciones laborales, etc… Además, deberá recogerse una lista actualizada de los usuarios que acceden a los sistemas de información, así como aquellos usuarios autorizados a acceder a cada uno de los ficheros de datos. Es recomendable que estos listados sean incorporados como Anexos al Documento de Seguridad.

OBLIGACIONES DEL ADMINISTRADOR. Se atribuye a tal figura según la LOPD. fundamental mente la obligación de pedir el consentimiento de los co-propietarios para el tratamiento de sus datos. La propia LOPD, en su artículo 6.1 nos dice que “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Esto quiere decir, ¿qué todos y cada uno de lo co-propietarios que conforman la Comunidad han de dar su consentimiento inequívoco para que sus datos sean tratados? La respuesta es rotunda, no, puesto que se exime de prestar consentimiento cuando los datos que se recaben “se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento” (artículo 6.2 LOPD), es decir, que los datos recabados, por la propia Comunidad de Propietarios, no necesitarán el consentimiento de los co-propietarios para llevar a cabo su labor principal: el funcionamiento, organización y gestión de la misma, ya que estos se encuentran vinculados a la misma por la compra-venta de la vivienda, debiendo asumir todas y cada una de las obligaciones reflejadas, bien por los estatutos de la propia Comunidad, bien por Ley. Sin embargo, la no obligación de recabar el consentimiento de los co-propietarios, no exime a la Comunidad de Propietarios de informar de los parámetros recogidos en el artículo 5 LOPD, por ello es recomendable que se incluya, por algunos de los medios que se utilicen en la comunidad para informar a los diferentes co-propietarios, una cláusula informativa de la existencia de un fichero de datos personales, de quién es el responsable del fichero, dónde pueden ejercer los derechos de acceso, rectificación, cancelación y oposición, y en general, de los parámetros enunciados en el citado artículo 5LOPD

Punto importante, para la figura de los administradores, es la posibilidad de dejar de asumir tal figura. En estos casos, la LOPD es clara respecto de las obligaciones y deberes que ha de cumplir, por un lado, el deber de secreto recogido en el artículo 10, y de otra parte, la obligación de devolver o destruir los datos una vez finalizada la prestación del servicio (artículo 12 LOPD). En relación al deber de secreto, comentar que no sólo la Comunidad de Propietarios como responsable, sino que el administrador como encargado de tratamiento y usuario ha de mantener la confidencialidad de los mismos, durante y después de la finalización de sus relaciones con la Comunidad. De esta forma, el artículo 10 dice que “el responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo”. En segundo lugar, en referencia a la obligación de devolver los datos o ser destruirlos comentar que, al tener que suscribir, en la mayoría de los casos, un contrato de prestación de servicios entre la Comunidad y el Administrador de Fincas para regular, el tema de la custodia de los datos y las medidas de seguridad a implantar para permitir el acceso a los mismos, en el supuesto que se rompiese la relación existente entre las dos partes, Comunidad y Administrador, este último debería devolver los datos a la comunidad y bloquear aquellos datos que hayan sido necesarios a efectos fiscales durante un período de cuatro años, transcurrido el cual se podrá proceder a la supresión. El mencionado artículo 12 LOPD hace referencia a esta situación cuando dice que “una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento”.

B-PERSONAS O EMPRESAS AJENAS A LA COMUNIDAD CON ACCESO A DATOS COMO CONSECUENCIA DE CONTRATO DE SERVICIOS.

Pero, qué ocurre si la finalidad de los datos recogidos por la Comunidad de Propietarios es diferente a la común de esta, es decir, si se aparta de la propia actividad de organización y gestión. Nos estamos refiriendo a los casos de cesión de los datos para la prospección comercial de empresas que trabajan con Comunidades de Propietarios (instalación de antenas, reparaciones de fachadas y tejados, etc). Supongamos que la Comunidad de Propietarios necesitase hacer algún tipo de obra o instalación, como por ejemplo la colocación de antenas de televisión de plataformas digitales, y contratasen a una empresa especializada para hacer tal obra y, la Comunidad facilitase los números de teléfono y direcciones de todos los co-propietarios, incluidos los que se oponen a tal instalación. Nos encontraríamos ante un supuesto de cesión de datos que requiere el consentimiento inequívoco y la previa información, por parte del responsable, de la cesión, finalidad a la que los mismos se destinan, la naturaleza de los datos, y el nombre y dirección del cesionario. Esta situación supondría el incumplimiento de una obligación extraída del artículo 11 y 27 LOPD, y en consecuencia la sanción económica (de 300.000€ a 600.000€) por estar tipificada como infracción muy grave (artículo 44 y 45 LOPD). En consecuencia, dicha situación está ubicada bajo la figura del responsable, pero si es el propio administrador, como encargado de tratamiento, quien facilita los datos a la empresa encargada de tal instalación, este estaría excediéndose de las instrucciones estipuladas en el contrato establecido entre la comunidad (responsable) y el administrador (encargado), con lo que este respondería en nombre de la Comunidad y sería la persona en la que recaería la sanción. De este modo se expresa el artículo 12.4 LOPD al afirmar que “en el caso que el encargado de tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.

4.-ESTRUCTURA DE LOS FICHEROS:. En este apartado, deberán relacionarse los diferentes Ficheros de Datos regulados por el Documento y las aplicaciones informáticas utilizadas para su tratamiento.
En muchos casos, se realiza una parte expositiva en el Documento y se incorporan como Anexos al mismo dos apartados concretos:

§ Estructura del fichero de datos: Se incorpora la tabla de campos ID que conforman los campos del fichero.

Se especifica el nombre de la aplicación informática (programa) que se utiliza para el tratamiento de los datos; además, suelen incorporarse datos referentes al equipo-servidor en el que se encuentra almacenado el fichero

5.-PROCEDIMIENTO DE INCIDENCIAS–.

, Cualquier incumplimiento de la normativa del Documento de Seguridad, así como todo cambio que afecte a la seguridad de los datos de carácter personal de la comunidad de vecinos que nos ocupa.

La notificación será la comunicación del hecho al administrador o presidente de la comunidad de vecinos,lo mas breve posible para subsanar el error, se comunicará a la persona causante de la incidencia de la misma y en caso de tener posibles repercusiones legales se pondrá en conocimiento de la autoridad competente mediante denuncia.

Se creará un registro de incidencias en soporte papel e informático constará de: el tipo de incidencia, el momento en que se ha producido, la persona que realiza la notificación, a quién se comunica y los efectos que se hubieran derivado de la mis

6.- COPIAS DE RESPALDO: Ha de contemplar un procedimiento de copias de respaldo y de recuperación de los datos.

Se expresará el procedimiento para la realización de copias de respaldo (copias de seguridad), así como el procedimiento para la recuperación de los datos, indicando los medios técnicos o programas que se utilizan para esas tareas.
Tales procedimientos deberán garantizar la reconstrucción de los datos en el estado en que se encontraban al tiempo de su pérdida o destrucción.
Se indicará la periodicidad con que se realicen las copias de respaldo o de seguridad, que deberá ser al menos de una copia por semana.

7.- GESTION DE SOPORTES: Los soportes informáticos que contengan datos de carácter personal deben cumplir los siguientes requisitos:

Deben estar etiquetados de forma que permitan conocer la información que contienen.
Deben ser inventariados.
Deben almacenarse en un lugar al que sólo tenga acceso el personal autorizado para ello en el propio Documento de Seguridad.

8.- IDENTIFICACION Y AUTENTICACION: En orden a la identificación y autenticación de los usuarios debe preverse lo siguiente:

El Responsable del Fichero mantendrá una relación actualizada de usuarios con derecho de acceso al sistema de información que contenga los datos personales
Establecerá igualmente un sistema de identificación (reconocimiento de la identidad) y autenticación (comprobación de la identidad) de tales usuarios
Cuando la autenticación de los usuarios se base en la existencia de contraseñas, éstas deberán cumplir los siguientes requisitos:

o Se establecerá un sistema de asignación, distribución y almacenamiento de las mismas que garantice su integridad y confidencialidad.

o Las contraseñas se almacenarán de forma ininteligible.

o Las contraseñas se cambiarán con la periodicidad que señale el Documento de Seguridad.

Cada usuario podrá acceder únicamente a los datos que sean necesarios para el desarrollo de la función que tiene encomendada.

A continuación se adjunta la relación de vecinos que dan su consentimiento para el tratamiento de sus datos respectivamente:

NOMBRE	PISO	FIRMA

9.-FORMA DEL DOCUMENTO DE SEGURIDAD.
Como normativa de obligado cumplimiento para todo el personal de la empresa que accede a los ficheros de datos de carácter personal al establecer y recoger las directivas de seguridad, normas y procedimientos, el Documento de Seguridad deberá quedar recogido por escrito y deberá ser distribuido, en todo o parte, para su conocimiento a todo el personal.

El Documento de Seguridad deberá estar a disposición de la Agencia Española de Protección de Datos en caso que la misma lo solicite; en ese caso, la Agencia comprobará que lo establecido y recogido en el Documento de Seguridad responde con veracidad a las medidas efectivamente adoptadas.

Encontramos disponibles modelos para la confección del Documento de Seguridad en la página Web de la Agencia Española de Protección de Datos así como en la página de la Agencia de Protección de Datos de la Comunidad de Madrid.

DOCUMENTO ANGELES