Cumprimento normativo en materia de Protección de Datos

LOPD

Na lexislación española considerase datos de carácter persoal a calquera información numérica, alfabética, gráfica, fotográfica, acústica ou de calquera tipo concernente a persoas físicas identificadas ou identificables. Por exemplo, o nome, DNI, dirección, datos de contacto, currículo vitae, salario, historia clínica, … Os datos de carácter persoal son clasificados pola lexislación en tres niveis segundo á súa seguridade:

Datos de carácter persoal según a LOPD

Datos de nivel Básico	Datos de nivel Medio	Datos de nivel Alto
• Identificativos. • Características persoais. • Circunstancias sociais. • Académicos e profesionais. • Emprego e postos de traballo. • Información comercial. • Económico-financeiros. • Transaccións.	• Facenda Pública. • Os das Administracións tributarias relacionados co exercicio das súas potestades tributarias. • Os das Entidades Xestoras e Servizos Comúns da Seguridade Social e relaciónense co exercicio das súas competencias. • Os das mutuas de accidentes de traballo e enfermidades profesionais da Seguridade Social. • Servizos financeiros. • Solvencia patrimonial e crédito. • Infraccións penais e administrativas. • Os que permitan avaliar determinados aspectos da personalidade ou do comportamento dos mesmos.	• Ideoloxía. • Afiliación sindical. • Relixión. • Crenzas. • Orixe racial. • Saúde. • Vida sexual. • Datos solicitados para fins policiais sen consentimento das persoas afectadas • Violencia de xénero.

Fig. Datos de carácter persoal según a LOPD

A lexislación denomina Ficheiro ó conxunto organizado de datos de carácter persoal, calquera que sexa a forma ou modalidade da súa creación, almacenamento, organización e acceso. Un ficheiro é tanto o conxunto de fichas en papel dos pacientes que un dentista garda por orde alfabética, como a máis sofisticada base de datos de clientes dunha multinacional en forma automatizada. A LOPD clasifica os ficheiros en varios tipos:

• Ficheiro automatizado: os datos atópanse almacenados en dispositivos informáticos (discos duros, computadores, DVD...) que requiren de ferramentas capaces de descifrar a información que conteñen para o seu tratamento.
• Ficheiro non automatizado ou manual: os datos están almacenados en soportes que non requiren de ferramentas para o seu tratamento, como o papel (a condición de que o ficheiro estea estruturado conforme a criterios específicos relativos a persoas físicas, que permitan acceder sen esforzos desproporcionados ós seus datos persoais). Por exemplo, o arquivo físico de historias clínicas de pacientes dun hospital, arquivo de nóminas en formato papel dunha empresa, currículo vitae de candidatos a un posto de traballo, facturas de provedores, albaráns de clientes, tarxeteiros con contactos, ...
• Ficheiro mixto: os datos están distribuídos entre soportes automatizados e non automatizados.

Aínda que xa ten anos e algunha cousa está obsoleta, na Guía de Seguridade da Axencia Española de Protección de Datos aparecen resumidas as medidas a aplicar para protexer este tipo de datos:

Medidas de seguridade segundo nivel de datos

Ámbito	Datos de nivel Básico	Datos de nivel Medio	Datos de nivel Alto
Responsable seguridade		• O responsable do ficheiro ten que designar a un ou varios responsables de seguridade (non é unha delegación de responsabilidade). • O responsable de seguridade é o encargado de coordinar e controlar as medidas do documento.
Persoal	Funcións e obrigas dos diferentes usuarios ou dos perfís de usuarios claramente definidas e documentadas. Definición das funcións de control e as autorizacións delegadas polo responsable. Difusión entre o persoal, das normas que lles afecten e das consecuencias polo seu incumprimento.
Incidencias	Rexistro de incidencias: tipo, momento da súa detección, persoa que a notifica, efectos e medidas correctoras. Procedemento de notificación e xestión das incidencias. SÓ AUTOMATIZADOS: Anotar os procedementos de recuperación, persoa que o executa, datos restaurados, e no seu caso, datos gravados manualmente. Autorización do responsable do ficheiro para a recuperación de datos.
Control de acceso	Relación actualizada de usuarios e accesos autorizados. Control de accesos permitidos a cada usuario segundo as funcións asignadas. Mecanismos que eviten o acceso a datos ou recursos con dereitos distintos dos autorizados. Concesión de permisos de acceso só por persoal autorizado. Mesmas condicións para persoal alleo con acceso ós recursos de datos. SÓ AUTOMATIZADOS: Control de acceso físico ós locais onde se atopen situados os sistemas de información. SÓ AUTOMATIZADOS: Rexistro de accesos: usuario, hora, ficheiro, tipo de acceso, autorizado ou denegado. Revisión mensual do rexistro polo responsable de seguridade. Conservación 2 anos. Non é necesario este rexistro se o responsable do ficheiro é unha persoa física e é o único usuario. SÓ NON AUTOMATIZADOS: Control de accesos autorizados. Identificación accesos para documentos accesibles por múltiples usuarios.
Identificación e autenticación	SÓ AUTOMATIZADOS: Identificación e autenticación personalizada dos usuarios. Procedemento de asignación e distribución de contrasinais. Almacenamento ininteligible dos contrasinais. Periodicidade do cambio de contrasinais (<1 ano).	SÓ AUTOMATIZADOS: Limite de intentos reiterados de acceso non autorizado.
Xestión de soportes	Inventario de soportes. Identificación do tipo de información que conteñen, ou sistema de etiquetaxe. Acceso restrinxido ó lugar de almacenamento. Autorización das saídas de soportes (incluídas a través de email). Medidas para o transporte e o refugallo de soportes.	SÓ AUTOMATIZADOS: Rexistro de entrada e saída de soportes: documento ou soporte, data, emisor/destinatario, número, tipo de información, forma de envío, responsable autorizado para recepción/entrega. Sistema de etiquetaxe confidencial. Cifrado de datos na distribución de soportes. Cifrado de información en dispositivos portátiles fóra das instalacións (evitar o uso de dispositivos que non permitan cifrado ou adoptar medidas alternativas).
Copias de respaldo	SÓ AUTOMATIZADOS: Copia de respaldo semanal. Procedementos de xeración de copias de respaldo e recuperación de datos. Verificación semestral dos procedementos. Reconstrución dos datos a partir da última copia ou gravación manual no seu caso, si existe documentación que o permita. Probas con datos reais. Copia de seguridade e aplicación do nivel de seguridade correspondente.	SÓ AUTOMATIZADOS: Copia de respaldo e procedementos de recuperación en lugar diferente do que se atopen os equipos.
Criterios de arquivo	SÓ NON AUTOMATIZADOS: O arquivo dos documentos debe realizarse segundo criterios que faciliten a súa consulta e localización para garantir o exercicio dos dereitos de Acceso, Rectificación, Cancelación e Oposición (ARCO).
Almacenamento	SÓ NON AUTOMATIZADOS: Dispositivos de almacenamento dotados de mecanismos que obstaculicen a súa apertura.	SÓ NON AUTOMATIZADOS: Armarios, arquivadores de documentos en áreas con acceso protexido mediante portas con chave.
Custodia soportes	SÓ NON AUTOMATIZADOS: Durante a revisión ou tramitación dos documentos, a persoa a cargo de os mesmos debe ser dilixente e custodiala para evitar accesos non autorizados.
Copia ou reproducción			SÓ NON AUTOMATIZADOS: Só pode realizarse polos usuarios autorizados. Destrución de copias refugadas.
Almacenamento	SÓ NON AUTOMATIZADOS: Dispositivos de almacenamento dotados de mecanismos que obstaculicen a súa apertura.	SÓ NON AUTOMATIZADOS: Armarios, arquivadores de documentos en áreas con acceso protexido mediante portas con chave.
Auditoría		* Polo menos cada dous anos, interna ou externa. * Debe realizarse ante modificacións substanciais nos sistemas de información con repercusións en seguridade. * Verificación e control da adecuación das medidas. * Informe de detección de deficiencias e propostas correctoras. * Análise do responsable de seguridade e conclusións elevadas ó responsable do ficheiro.
Telecomunicacións			SÓ AUTOMATIZADOS * Transmisión de datos a través de redes electrónicas cifradas.
Traslado de documentación			SÓ NON AUTOMATIZADOS * Medidas que impidan o acceso ou manipulación.

Fig. Título VIII do Regulamento de Desenvolvemento da Lei Orgánica de Protección de Datos de Carácter Persoal (RDLOPD).

Utilizando como referencia esta táboa podemos deseñar prácticas que permitan abordar o tema da LOPD dun xeito máis práctico. A modo de exemplo, unhas posibles ideas:

Proposta didáctica #1: Adecuación dun sitio web á LOPD

Nesta proposta o alumnado terá que modificar o sitio web adaptado á LSSI-CE para cumprir cos requisitos da LOPD, tomando como punto de partida os documentos modelo de Inteco e/ou a información legal proporciona en sitios web activos.

Proposta didáctica #2: Deseño e implantación dun sistema de copias de seguridade

Nesta proposta o alumnado terá que deseñar e implantar un sistema de copias de seguridade respectando o indicado na LOPD. Podemos facer a práctica máis interesante se traballamos con dispositivos de almacenamento en rede, como cabinas de discos NAS ou montamos os nosos sistemas NAS con equipos reais (ou virtuais) e distribucións como TrueNAS, XigmaNAS ou OpenMediaVault.

Fig. Exemplo de Infraestrutura de backup con FreeNAS. Fonte: http://bumi-alfarisi.blogspot.com.es

Outra opción moi interesante é que o alumnado poña en marcha un sistema de copias de seguridade máis profesional como Bacula:

Fig. Exemplo de Infraestrutura de backup con Bacula. Fonte: https://devops.profitbricks.com

Proposta didáctica #3: Eliminación segura de documentos

O obxectivo desta proposta é que o alumnado comprobe que é posible a recuperación de documentos borrados usando software específico tipo TestDisk & PhotoRec. Unha vez verificado que cun borrado normal é posible a recuperación de información, o alumnado ten que deseñar procedementos de eliminación/destrucción de soportes así como de borrado seguro de información.

Proposta didáctica #4: Cifrado de soportes

Neste escenario deseñarase un sistema de xestión de soportes onde o alumnado teña que:

• Deseñar un sistema de inventario.
• Deseñar un sistema de etiquetado, que en función do tipo de datos pode cambiar.
• Deseñar un sistema de rexistro para controlar entradas/saídas de soportes.
• Implantar medidas técnicas que permitan almacenar e/ou transportar os soportes cifrados para protexer os datos.

Para saber máis sobre este punto ir ó Escenario 7A.

Proposta didáctica #5: Sistema de videovixilancia

Neste escenario deseñarase un sistema de videovixilancia respectando a normativa vixente en materia de protección de datos. Para saber máis sobre este punto ir ó Escenario 7B.

Proposta didáctica #6: Cifrado correos electrónicos

O obxectivo desta proposta é que o alumnado implante unha solución de cifrado das mensaxes de correo electrónico. Aínda que as comunicacións co noso servidor de correo electrónico vaian cifradas, non é seguro que cando enviemos emails (ou alguén nolos envíe) todas as comunicacións que se producirán vaian cifradas; ademais, o comportamento por defecto dos sistemas de correo electrónico é que ó entregar a mensaxe no buzón de correo, ésta gárdase como un ficheiro de texto en claro. Do anterior podemos deducir que ben na viaxe e/ou ben no almacenamento, a información contida nos correos electrónicos é susceptible de ser vista por persoas alleas.

Nesta proposta trabállanse os conceptos criptográficos de módulos anteriores e aplícase ó cifrado e a firma de mensaxes de correo electrónico. Indicar ademais que os conceptos criptográficos manexados nesta proposta son semellantes ós usados na firma electrónica; polo que, abordar a lei de firma electrónica e exemplos prácticos da mesma sería repetir o visto neste escenario, pero adaptándose ás particularidades concretas do software de firma electrónica escollido.