Joselv: Página creada con «= LOPD = Na lexislación española considerase datos de carácter persoal a calquera información numérica, alfabética, gráfica, fotográfica, acústica ou de calquera…»

2026-02-26T12:52:43Z

Página creada con «= LOPD = Na lexislación española considerase datos de carácter persoal a calquera información numérica, alfabética, gráfica, fotográfica, acústica ou de calquera…»

Página nueva

= LOPD =

Na lexislación española considerase datos de carácter persoal a calquera información numérica, alfabética, gráfica, fotográfica, acústica ou de calquera tipo concernente a persoas físicas identificadas ou identificables. Por exemplo, o nome, DNI, dirección, datos de contacto, currículo vitae, salario, historia clínica, … Os datos de carácter persoal son clasificados pola lexislación en tres niveis segundo á súa seguridade:

{| class="wikitable"
|+ Datos de carácter persoal según a LOPD
|-
! Datos de nivel Básico !! Datos de nivel Medio !! Datos de nivel Alto
|-
| • Identificativos. • Características persoais. • Circunstancias sociais. • Académicos e profesionais. • Emprego e postos de traballo. • Información comercial. • Económico-financeiros. • Transaccións. || • Facenda Pública. • Os das Administracións tributarias relacionados co exercicio das súas potestades tributarias. • Os das Entidades Xestoras e Servizos Comúns da Seguridade Social e relaciónense co exercicio das súas competencias. • Os das mutuas de accidentes de traballo e enfermidades profesionais da Seguridade Social. • Servizos financeiros. • Solvencia patrimonial e crédito. • Infraccións penais e administrativas. • Os que permitan avaliar determinados aspectos da personalidade ou do comportamento dos mesmos. || • Ideoloxía. • Afiliación sindical. • Relixión. • Crenzas. • Orixe racial. • Saúde. • Vida sexual. • Datos solicitados para fins policiais sen consentimento das persoas afectadas • Violencia de xénero.
|}
<center>Fig. Datos de carácter persoal según a LOPD</center>

A lexislación denomina Ficheiro ó conxunto organizado de datos de carácter persoal, calquera que sexa a forma ou modalidade da súa creación, almacenamento, organización e acceso. Un ficheiro é tanto o conxunto de fichas en papel dos pacientes que un dentista garda por orde alfabética, como a máis sofisticada base de datos de clientes dunha multinacional en forma automatizada. A LOPD clasifica os ficheiros en varios tipos:

* '''Ficheiro automatizado''': os datos atópanse almacenados en dispositivos informáticos (discos duros, computadores, DVD...) que requiren de ferramentas capaces de descifrar a información que conteñen para o seu tratamento.
* '''Ficheiro non automatizado ou manual''': os datos están almacenados en soportes que non requiren de ferramentas para o seu tratamento, como o papel (a condición de que o ficheiro estea estruturado conforme a criterios específicos relativos a persoas físicas, que permitan acceder sen esforzos desproporcionados ós seus datos persoais). Por exemplo, o arquivo físico de historias clínicas de pacientes dun hospital, arquivo de nóminas en formato papel dunha empresa, currículo vitae de candidatos a un posto de traballo, facturas de provedores, albaráns de clientes, tarxeteiros con contactos, ...
* '''Ficheiro mixto''': os datos están distribuídos entre soportes automatizados e non automatizados.

Aínda que xa ten anos e algunha cousa está obsoleta, na Guía de Seguridade da Axencia Española de Protección de Datos aparecen resumidas as medidas a aplicar para protexer este tipo de datos:

{| class="wikitable"
|+ Medidas de seguridade segundo nivel de datos
|-
! Ámbito !! Datos de nivel Básico !! Datos de nivel Medio !! Datos de nivel Alto
|-
| '''Responsable seguridade''' || || • O responsable do ficheiro ten que designar a un ou varios responsables de seguridade (non é unha delegación de responsabilidade). • O responsable de seguridade é o encargado de coordinar e controlar as medidas do documento. ||
|-
| '''Persoal''' || colspan="3" | Funcións e obrigas dos diferentes usuarios ou dos perfís de usuarios claramente definidas e documentadas. Definición das funcións de control e as autorizacións delegadas polo responsable. Difusión entre o persoal, das normas que lles afecten e das consecuencias polo seu incumprimento.
|-
| '''Incidencias''' || colspan="3" | Rexistro de incidencias: tipo, momento da súa detección, persoa que a notifica, efectos e medidas correctoras. Procedemento de notificación e xestión das incidencias. '''SÓ AUTOMATIZADOS:''' Anotar os procedementos de recuperación, persoa que o executa, datos restaurados, e no seu caso, datos gravados manualmente. Autorización do responsable do ficheiro para a recuperación de datos.
|-
| '''Control de acceso''' || colspan="3" | Relación actualizada de usuarios e accesos autorizados. Control de accesos permitidos a cada usuario segundo as funcións asignadas. Mecanismos que eviten o acceso a datos ou recursos con dereitos distintos dos autorizados. Concesión de permisos de acceso só por persoal autorizado. Mesmas condicións para persoal alleo con acceso ós recursos de datos. '''SÓ AUTOMATIZADOS:''' Control de acceso físico ós locais onde se atopen situados os sistemas de información. '''SÓ AUTOMATIZADOS:''' Rexistro de accesos: usuario, hora, ficheiro, tipo de acceso, autorizado ou denegado. Revisión mensual do rexistro polo responsable de seguridade. Conservación 2 anos. Non é necesario este rexistro se o responsable do ficheiro é unha persoa física e é o único usuario. '''SÓ NON AUTOMATIZADOS:''' Control de accesos autorizados. Identificación accesos para documentos accesibles por múltiples usuarios.
|-
| '''Identificación e autenticación''' || '''SÓ AUTOMATIZADOS:''' Identificación e autenticación personalizada dos usuarios. Procedemento de asignación e distribución de contrasinais. Almacenamento ininteligible dos contrasinais. Periodicidade do cambio de contrasinais (<1 ano). || '''SÓ AUTOMATIZADOS:''' Limite de intentos reiterados de acceso non autorizado. ||
|-
| '''Xestión de soportes''' || Inventario de soportes. Identificación do tipo de información que conteñen, ou sistema de etiquetaxe. Acceso restrinxido ó lugar de almacenamento. Autorización das saídas de soportes (incluídas a través de email). Medidas para o transporte e o refugallo de soportes. || '''SÓ AUTOMATIZADOS:''' Rexistro de entrada e saída de soportes: documento ou soporte, data, emisor/destinatario, número, tipo de información, forma de envío, responsable autorizado para recepción/entrega. Sistema de etiquetaxe confidencial. Cifrado de datos na distribución de soportes. Cifrado de información en dispositivos portátiles fóra das instalacións (evitar o uso de dispositivos que non permitan cifrado ou adoptar medidas alternativas). ||
|-
| '''Copias de respaldo''' || '''SÓ AUTOMATIZADOS:''' Copia de respaldo semanal. Procedementos de xeración de copias de respaldo e recuperación de datos. Verificación semestral dos procedementos. Reconstrución dos datos a partir da última copia ou gravación manual no seu caso, si existe documentación que o permita. Probas con datos reais. Copia de seguridade e aplicación do nivel de seguridade correspondente. || '''SÓ AUTOMATIZADOS:''' Copia de respaldo e procedementos de recuperación en lugar diferente do que se atopen os equipos. ||
|-
| '''Criterios de arquivo''' || '''SÓ NON AUTOMATIZADOS:''' O arquivo dos documentos debe realizarse segundo criterios que faciliten a súa consulta e localización para garantir o exercicio dos dereitos de Acceso, Rectificación, Cancelación e Oposición (ARCO). || ||
|-
| '''Almacenamento''' || '''SÓ NON AUTOMATIZADOS:''' Dispositivos de almacenamento dotados de mecanismos que obstaculicen a súa apertura. || '''SÓ NON AUTOMATIZADOS:''' Armarios, arquivadores de documentos en áreas con acceso protexido mediante portas con chave. ||
|-
| '''Custodia soportes''' || '''SÓ NON AUTOMATIZADOS:''' Durante a revisión ou tramitación dos documentos, a persoa a cargo de os mesmos debe ser dilixente e custodiala para evitar accesos non autorizados. || ||
|-
| '''Copia ou reproducción''' || || || '''SÓ NON AUTOMATIZADOS:''' Só pode realizarse polos usuarios autorizados. Destrución de copias refugadas.
|-
| '''Almacenamento''' || '''SÓ NON AUTOMATIZADOS:''' Dispositivos de almacenamento dotados de mecanismos que obstaculicen a súa apertura. || '''SÓ NON AUTOMATIZADOS:''' Armarios, arquivadores de documentos en áreas con acceso protexido mediante portas con chave. ||
|-
| '''Auditoría''' || || * Polo menos cada dous anos, interna ou externa. * Debe realizarse ante modificacións substanciais nos sistemas de información con repercusións en seguridade. * Verificación e control da adecuación das medidas. * Informe de detección de deficiencias e propostas correctoras. * Análise do responsable de seguridade e conclusións elevadas ó responsable do ficheiro.||
|-
| '''Telecomunicacións''' || || || '''SÓ AUTOMATIZADOS''' * Transmisión de datos a través de redes electrónicas cifradas.
|-
| '''Traslado de documentación''' || || || '''SÓ NON AUTOMATIZADOS''' * Medidas que impidan o acceso ou manipulación.
|}

Fig. Título VIII do Regulamento de Desenvolvemento da Lei Orgánica de Protección de Datos de Carácter Persoal (RDLOPD).

Utilizando como referencia esta táboa podemos deseñar prácticas que permitan abordar o tema da LOPD dun xeito máis práctico. A modo de exemplo, unhas posibles ideas:

== Proposta didáctica #1: Adecuación dun sitio web á LOPD ==

Nesta proposta o alumnado terá que modificar o sitio web adaptado á LSSI-CE para cumprir cos requisitos da LOPD, tomando como punto de partida os documentos modelo de Inteco e/ou a información legal proporciona en sitios web activos.

== Proposta didáctica #2: Deseño e implantación dun sistema de copias de seguridade ==

Nesta proposta o alumnado terá que deseñar e implantar un sistema de copias de seguridade respectando o indicado na LOPD. Podemos facer a práctica máis interesante se traballamos con dispositivos de almacenamento en rede, como cabinas de discos NAS ou montamos os nosos sistemas NAS con equipos reais (ou virtuais) e distribucións como TrueNAS, XigmaNAS ou OpenMediaVault.

<center>Fig. Exemplo de Infraestrutura de backup con FreeNAS. Fonte: http://bumi-alfarisi.blogspot.com.es</center>

Outra opción moi interesante é que o alumnado poña en marcha un sistema de copias de seguridade máis profesional como Bacula:

<center>Fig. Exemplo de Infraestrutura de backup con Bacula. Fonte: https://devops.profitbricks.com</center>

== Proposta didáctica #3: Eliminación segura de documentos ==

O obxectivo desta proposta é que o alumnado comprobe que é posible a recuperación de documentos borrados usando software específico tipo TestDisk & PhotoRec. Unha vez verificado que cun borrado normal é posible a recuperación de información, o alumnado ten que deseñar procedementos de eliminación/destrucción de soportes así como de borrado seguro de información.

== Proposta didáctica #4: Cifrado de soportes ==

Neste escenario deseñarase un sistema de xestión de soportes onde o alumnado teña que:

* Deseñar un sistema de inventario.
* Deseñar un sistema de etiquetado, que en función do tipo de datos pode cambiar.
* Deseñar un sistema de rexistro para controlar entradas/saídas de soportes.
* Implantar medidas técnicas que permitan almacenar e/ou transportar os soportes cifrados para protexer os datos.

Para saber máis sobre este punto ir ó Escenario 7A.

== Proposta didáctica #5: Sistema de videovixilancia ==

Neste escenario deseñarase un sistema de videovixilancia respectando a normativa vixente en materia de protección de datos. Para saber máis sobre este punto ir ó Escenario 7B.

== Proposta didáctica #6: Cifrado correos electrónicos ==

O obxectivo desta proposta é que o alumnado implante unha solución de cifrado das mensaxes de correo electrónico. Aínda que as comunicacións co noso servidor de correo electrónico vaian cifradas, non é seguro que cando enviemos emails (ou alguén nolos envíe) todas as comunicacións que se producirán vaian cifradas; ademais, o comportamento por defecto dos sistemas de correo electrónico é que ó entregar a mensaxe no buzón de correo, ésta gárdase como un ficheiro de texto en claro. Do anterior podemos deducir que ben na viaxe e/ou ben no almacenamento, a información contida nos correos electrónicos é susceptible de ser vista por persoas alleas.

Nesta proposta trabállanse os conceptos criptográficos de módulos anteriores e aplícase ó cifrado e a firma de mensaxes de correo electrónico. Indicar ademais que os conceptos criptográficos manexados nesta proposta son semellantes ós usados na firma electrónica; polo que, abordar a lei de firma electrónica e exemplos prácticos da mesma sería repetir o visto neste escenario, pero adaptándose ás particularidades concretas do software de firma electrónica escollido.

Cumprimento normativo en materia de Protección de Datos - Historial de revisiones

Joselv: Página creada con «= LOPD = Na lexislación española considerase datos de carácter persoal a calquera información numérica, alfabética, gráfica, fotográfica, acústica ou de calquera…»