¿Cuáles son las medidas de seguridad para ficheros manuales según la LOPD? Lista 2024

Cuando se habla de medidas de seguridad o sobre la protección de datos automáticamente se piensa en lo que son las bases de datos informatizadas, ya que las mismas son las más peligrosas hoy en día, y donde además se almacena una gran cantidad de información valiosa.

La protección de los ficheros manuales se ha convertido en un derecho fundamental en la Constitución Española, donde le otorga al titular de este derecho la facultad de controlar sus datos y a disponer y decidir sobre los mismos. Es así como “La Ley Orgánica de Protección de Datos” (LOPD) y el reglamento que la desarrolla el Real Decreto 1720/2007 concretan y desarrollan este derecho de protección.

Todo esto ha surgido como una necesidad para proteger los datos personales evitando que los mismos sean utilizados de forma inadecuada por tercero o sin el consentimiento del titular. De acuerdo con esto, aquí te vamos a explicar un poco más sobre la importancia de aplicar estas medidas de la LOPD, así como los niveles de seguridad disponibles.

¿Por qué es importante aplicar las medidas de seguridad para los ficheros?

No es un secreto para nadie que la privacidad y la seguridad son dos de los factores más importantes en todo momento, especialmente en aquellos ficheros donde se manejan datos personales de mucha importancia y que no pueden llegar a ser manipulados por terceras personas sin la autorización previa del titular.

De acuerdo con esto, aquí te enseñamos las principales razones del porqué se deben aplicar estas medidas de seguridad para los ficheros:

• Al tratarse de datos personales se deben tener en cuenta que son activos muy valiosos para las empresas, por lo que vale la pena cuidarlos.
• Cuando se tiene una información ordenada y sistematizada te ayudará a mantener y aumentar la calidad de las operaciones de las empresas.
• Si la empresa ofrece y garantiza la protección de los datos personales de cada uno de sus trabajadores, entonces conseguirá ofrecer una mayor confianza al público.
• Estas medidas de seguridad permiten orientar a la empresa hacia un entorno de mayor seguridad y privacidad.
• Adaptarse a la normativa de protección de datos es muy sencillo, por lo que no tendrás complicaciones para ello.
• La protección de datos es considerado como un derecho fundamental, por lo que toda empresa está en la obligación de velar la garantía y el respeto de cada uno de los usuarios.

Lista de las principales medidas de seguridad de nivel alto para ficheros no automatizados

Las medidas de seguridad de ficheros de datos se clasifican en tres niveles de protección, como lo es el nivel básico, nivel medio y nivel alto. De acuerdo con esto, aquí te vamos a explicar un poco más sobre qué trata el nivel alto para ficheros no automatizados que te ayudarán a garantizar la confidencialidad  y la integridad de la información almacenada en dichos ficheros según la LOPD.

En el caso del nivel alto se utiliza específicamente para aquellos ficheros que se refieren a datos de religión, ideologías, sindical, creencia, afiliación, vida sexual, salud u origen racial. Así como todos aquellos ficheros que contengan o se refieran a datos recibidos para fines políticos sin el consentimiento de las personas que se ven afectadas.

De acuerdo con las medidas a aplicar según el reglamento LOPD se tienen las siguientes:

Gestión y distribución de soportes

• La identificación de los soportes se deberá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios que tengan un acceso autorizado a los citados soportes y documentos identificar su contenido, y que de esa manera dificulten la identificación para el resto de las personas.
• En el caso de la distribución de los soportes que contengan datos de carácter personal se realizará cifrando dichos datos o bien utilizando otros mecanismos que garantice que toda la información no sea accesible o manipulada durante su transporte.

De la misma manera, los datos que contengan los dispositivos portátiles se cifrarán cuando estos se encuentren fuera de las instalaciones que están bajo control del responsable fichero:

• Se deberá evitar lo que es el tratamiento de datos de carácter personal en dispositivos portátiles que no permitan su cifrado. En el caso que sea estrictamente necesario se hará constar motivadamente en el documento de seguridad. Esto permitirá adoptar medidas que tengan en cuenta los riesgos de realizar tratamientos en entornos desprotegidos.

Registro de accesos

• De cada uno de los intentos de acceso se guardarán como mínimo la identificación del usuario, la fecha y la hora en la que se realizó el fichero accedido, así como si se ha autorizado o denegado el acceso y el tipo de acceso.
• Si el acceso ha sido autorizado, entonces será preciso guardar la información que permita identificar el registro accedido.
• Los mecanismos que permiten el registro de acceso estarán bajo el control directo del responsable de seguridad competente sin que se deba permitir la desactivación ni la manipulación de los mismos.
• En el caso del periodo mínimo de conservación de los datos registrados va a ser de dos años.
• No va hacer necesario el registro de acceso definido al menos que ocurra algunas de las siguientes circunstancias:
• Que el responsable del fichero o del tratamiento garantice que únicamente es él quien tiene el acceso y trata los datos personales.
• Que el responsable del fichero o tratamiento sea una persona física.
• El responsable de seguridad es el encargado de revisar al menos una vez al mes toda la información de control registrada y elaborará a su vez un informe de las revisiones realizadas y los problemas detectados.

Copias de seguridad y recuperación

Aquí deberá conservarse lo que es una copia de respaldo de los datos y de los procedimientos de recuperación de los mismos en un lugar diferente de aquel en donde se encuentren los equipos informáticos que los tratan, que deberán cumplir en todo caso con las medidas de seguridad exigidas en este reglamento o bien sea usando elementos que permitan garantizar la integridad y recuperación de la información, de manera que sea posible la recuperación de los datos.

Cifrado de datos

Esta es una de las medidas de seguridad que se debe cumplir según el reglamento de la LOPD, en el caso que se posean datos personales de Nivel Alto como lo es e cifrado de datos. Todo esto consiste en un procedimiento mediante el cual se transforma la información de tal manera que un tercero no autorizado no pueda leerla. Por lo tanto, los datos confidenciales se cifran con un algoritmo de cifrado y una clave que los hace ilegibles si no se conoce dicha clave.

De acuerdo con la LOPD se deberá realizar el cifrado de datos en la distribución de soporte en los dispositivos portátiles fuera de las instalaciones y en la transmisión de datos a través de las redes electrónicas. Esto quiere decir, que será necesario cifrar archivos y correos electrónicos principalmente. Para llevar esto a cabo es necesario utilizar softwares de encriptación o cifrado de datos de alto nivel.

Autenticación de usuarios

La autenticación es un procedimiento mediante el cual se comprueba la identidad del usuario como medida de seguridad, esto con la finalidad de comprobar que es quien dice ser. Esto es considerado como uno de los mecanismos de seguridad más importante, ya que una vez superado satisfactoriamente se puede acceder al sistema de información, donde esta autenticación se suele realizar mediante una contraseña que el usuario autorizado conoce.

Almacenamiento

En el caso de los ficheros no automatizados se almacenan en armarios o archivadores de documentos, en donde a su vez deben encontrarse ubicados en lugares con acceso protegido a través de puertas con llaves, ofreciendo así una mayor protección en todo momento.

Telecomunicaciones

Según el artículo 81.3 se debe implantar las medidas de seguridad de nivel alto, la transmisión de datos de carácter personal a través de redes públicas o redes inalámbricas de comunicaciones electrónicas se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la información no sea inteligible ni tampoco manipulada por terceros.

Traslado de documentación

Durante el traslado de la documentación que contenga datos sensibles se deberá cumplir con una serie de medidas que impidan el acceso o la manipulación de dichos datos. También es fundamental recordar que se encuentra prohibido crear ficheros con la finalidad exclusiva de almacenar datos personales que revelen la ideología, religión, creencia, origen racial, étnico, vida sexual, afiliación sindical, entre otros.

Las medidas de seguridad de nivel medio que debes aplicar en ficheros manuales

En el caso de las medidas de seguridad del nivel medio para ficheros manuales están deberán aplicarse en los siguientes ficheros de datos con carácter personal:

• Los relativos a la comisión de infracciones administrativas o penales.
• Aquellos donde sean responsables las administraciones tributarias y que se encuentren relacionadas con ejercicios de sus potestades tributarias.
• Los relativos a la prestación de servicios de información sobre solvencia patrimonial y crédito.
• Aquellos que tengan como responsables entidades financieras para finalidades que estén directamente relacionadas con las prestaciones de servicio financiero.
• Todos los que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos.
• Aquellos que tengan como responsable las mutuas de accidentes de trabajos y enfermedades profesionales de la seguridad social.

Teniendo en cuenta los ficheros de datos con carácter personal a los que se le aplicarán las medidas de seguridad del nivel medio, aquí te vamos a enseñar cuales son cada una de ellas:

• Además de tener un contenido específico para el documento de seguridad de Nivel Básico, en el Nivel Medio se deberá detallar los siguientes aspectos:
• La identificación de los responsables de seguridad, el control periódico del cumplimiento del documento y las medidas a adoptar en caso de reutilizar o tirar soportes.
• Conservar un registro de entrada y salida de
• Registro de acceso físico a los locales donde se encuentren ubicados los sistemas de información.
• Indicar las medidas que imposibiliten la recuperación posterior de información de un soporte que vaya a ser desechado o reutilizado.
• Finalmente se debe elaborar una auditoría cada dos años tanto interna como externa.

Las medidas de seguridad de nivel bajo que debes aplicar en ficheros manuales

En el primer nivel todos los ficheros o tratamientos de datos de carácter personal, deben adoptar las medidas de seguridad calificadas de nivel básico. Los ficheros que solo contengan datos identificativos y a todos los niveles medio y alto de seguridad. Un ejemplo de todo esto sería: Nombres, domicilios, DNI, fotografías, firmas, correos electrónicos, datos bancarios, edad, fecha de nacimiento, nacionalidad, sexo, entre otros.

De acuerdo con esto, aquí te enseñamos las principales medidas de seguridad del nivel bajo según la LOPD:

• Las medidas de seguridad del nivel bajo o básico contempla la obligación de contar con un documento de seguridad, en el cual se detalla el ámbito de aplicación, normas, medidas y procedimiento de seguridad, cometidos y deberes del personal, estructura y descripción de ficheros, procedimiento de notificación y gestión de incidencias y procedimiento para realizar copias de respaldo y recuperación de datos.
• Fijar e implementar las funciones y obligaciones del personal de la empresa.
• Establecer procedimientos de concesión y gestión de contraseñas y los periodos en que las mismas deben ser modificadas. En el caso de las contraseñas se acumularan con un formato confuso.
• Proteger el registro de soporte para así poder identificar, anotar y almacenar todos los soportes que incluyan datos de carácter personal.
• Tener y administrar el registro de incidencias a disposición de todos los usuarios, esto permite que todos ellos puedan anotar las irregularidades que ocurran con respecto a la seguridad de los datos que allí se tienen.
• Cada uno de los usuarios tiene la oportunidad de acceder solo a los datos y recursos precisos para realizar cada una de sus funciones. Las asignaciones de permisos se realizarán por personal autorizado para ello.
• Se debe conservar una lista actualizada de los usuarios y de los accesos autorizados de cada uno de ellos.
• Será necesario indicar procedimientos para efectuar copias de seguridad de la información manejada, de esta manera se podrá garantizar la restauración de los datos en el estado en que se encontraba al momento de ocasionar la pérdida o destrucción de los mismos. Para ello las copias de seguridad deberán realizarse de forma semanal.
• Preparar el modelo de autorización para salida de soportes.
• El archivo de los documentos no automatizados se efectuará con arreglo a criterios que permitan facilitar su consulta y ubicación para asegurar el ejercicio de los derechos.
• Los instrumentos de depósito de fichero no automatizados estarán sujetos de mecanismos que dificulten su apertura. Al momento de ejecutarse la verificación o gestión de los mismos, el usuario que está a cargo deberá ser inteligente y vigilar la documentación para evitar entradas no autorizadas.