Niveles de seguridad de LOPD ¿Cuáles son y cómo cumplirlos según esta Ley Orgánica?

Los niveles de seguridad de ficheros fijados por la Ley Orgánica de Protección de Datos de Carácter Personal de España establecen diferentes grados que se deben tener en cuenta a la hora de manejar información de personas físicas.

Por tal motivo, es necesario que conozcas cuáles son esos niveles y cómo debes cumplirlo, según la LOPD. Esta información la podrás encontrar en los párrafos siguientes de este post.

También vas a poder leer un análisis relacionado con la posibilidad de ser sancionado si no cumples con la normativa vigente. Presta atención y conoce todos los aspectos legales de la ciberseguridad.

¿Qué son los niveles de seguridad de ficheros establecidos por la LOPD?

La Ley Orgánica de Protección de Datos de Carácter Personal, también conocida por su acrónimo LOPD, es una ley de España que fue puesta en vigencia su nueva versión en el año 2018 y que regula y protege los derechos de las personas en cuanto a su intimidad y acepción social. Se basa en el artículo 18 de la Constitución española del ´78. En líneas generales la Ley de Protección de Datos Personales enuncia los recaudos que deben tener los organismos y entidades que manejan la información de las personas.

Es decir, debe ser íntegra, estar disponible cuando lo requiera el dueño de los datos o cualquier otra organización establecida por la ley, obtener solo la cantidad de datos necesaria para alcanzar el objetivo y no guardar por más tiempo de lo que corresponda una vez que se terminó la tarea por la cual se necesitaron los datos. En caso de no cumplir con los elementos mencionados en el párrafo anterior se puede aplicar una multa de hasta 600 mil Euros.

Para evitar este inconveniente debido a falta de atención o por otras cuestiones ajenas, cada vez que se quiera guardar, compartir o destruir los documentos que contienen los datos personales se debe elegir un determinado sistema de acuerdo con los niveles de seguridad que establece la ley. Los cuales pueden ser básico, medio o alto. Es decir, la ley organiza 3 niveles de seguridad para considerar que cumple correctamente con el resguardo, entrega y destrucción de los ficheros que guardaban los datos.

Esto se regula de acuerdo con el artículo 103 y sucesivos del reglamento. Este articulado establece cuáles son las bases para determinar el criterio necesario para decidir el nivel de seguridad a emplear. Es en esta sección de la ley en donde hay que tener en cuenta qué datos se guardan en los ficheros. Es posible encontrar temas relacionados con ideologías políticas, religión, orientación sexual y otros tipos de creencias que tienen los individuos que entregan sus datos a los sitios informáticos.

Los tres niveles de seguridad de los datos ¿En qué consiste cada uno según la LOPD?

Como te mencionamos antes, los tres niveles de seguridad que otorga la LOPD son bajo, medio y alto. Debido a la importancia que tiene el cumplimiento de la normativa para no incurrir en falta es necesario analizar cada uno de estos niveles que deben ser cumplidos por las entidades que guardan información personal de los individuos.

A continuación, desarrollamos cada uno: 

Bajo

Los organismos que resguardan la información en ficheros deben tener un nivel de seguridad básico cuando se transfiere los datos entre diferentes entidades autorizadas por la ley. Dentro de estos datos se encuentra, por ejemplo, el domicilio, el DNI o el número telefónico.

Para poder cumplir con la implementación de las medidas es necesario que todo el personal, que trabaja en la compañía que resguarda la información, conozca las funciones y obligaciones que existen sobre la protección de datos. Además, es necesario llevar un registro o cuentas al día, esto permitirá que se notifiquen cualquier tipo de incidencia que haya ocurrido en un período determinado. Por último, se debe llevar adelante una vez a la semana una copia de seguridad.

Medio

Tal como ocurre en muchas leyes, este nivel debe cumplir los requerimientos de seguridad básicos mencionados antes, pero también incluir normas adicionales de protección de privacidad.

Si se desea cumplir con la ley es necesario llevar adelante el siguiente tipo de control: 

• Tener un registro de entrada y salida de todos los ficheros que se guardan en un solo lugar. A esto hay que agregarle el nombre del responsable que saca y entrega las carpetas del lugar del control. También debe haber un registro de la persona encargada de custodiar los ficheros.
• Llevar anotaciones con un detalle pormenorizado del tratamiento de los ficheros.
• Realizar auditorías sorpresivas y planificadas. En este caso es importante hacer conocer los resultados y explicar cuáles son las recomendaciones de las desviaciones encontradas en ese proceso.

Para establecer este nivel de seguridad es necesario que se incluya como datos en los ficheros documentos relacionados con las siguientes actividades:

• Infracciones penales y administrativas.
• Solvencia económica y patrimonial del individuo.
• Administraciones tributarias y cualquier organización que ejerza potestades relacionadas con este tema.
• Servicios de la seguridad social, incluyendo los accidentes de trabajo y enfermedades laborales.
• Profesionales o cualquier persona que realice y evalúe aspectos relacionados con la personalidad de los habitantes del territorio nacional.

Alto

Los niveles de seguridad altos están relacionados con ficheros que traten temas sobre:

• Religión, origen racial, identidad y actividad sexual y afiliación a sindicatos.
• Actos y hechos que estén relacionados con la violencia de género.
• Ficheros que recaben datos e investigaciones policiales.

Por tal motivo, para poder cumplir con los requisitos que establece la ley es necesario disponer de los niveles de seguridad anteriores y agregar otras medidas mucho más eficientes para el resguardo.

Dentro de estas técnicas se encuentran: 

• El cifrado de datos mantener un número importante de backups, los cuales deben ser guardados en diferentes ordenadores que estén protegidos con videocámaras y personal autorizado.
• Conservar el registro de ingreso de las personas a los datos durante 2 años. Esta información debe ser guardada y respaldada con una copia de seguridad realizada una vez por mes.
• Disponer de un sistema de control y protección contra incendio, inundaciones y cualquier otro tipo de catástrofe natural.
• En aquellos datos que no pueden ser respaldados de manera digital, se deberá realizar una o varias copias y guardarlas en un lugar seguro por medio del personal que esté capacitado para el manejo de estos ficheros.

¿Puedo ser sancionado si no cumplo con esta normativa?

Si no se cumple con las disposiciones legales establecidas en la Ley Orgánica de Protección de Datos de Carácter Personal los organismos que manejan los datos personales podrán recibir condenas del ámbito civil y penal. Por lo que se deberá responder con el patrimonio y con penas de prisión. Las sanciones dependerán del grado de incumplimiento al nivel de seguridad y de la recurrencia del mismo.

La cantidad de las sanciones estipulados por ley se clasifican en: 

• Leve: desde 900 a 40.000 €
• Grave: hasta 300.000 €
• Muy grave: se puede pagar hasta 600 mil Euros.