Situación Actual
Tradicionalmente, la gente ha ido dando sus datos personales en entidades públicas y privadas, de buena fe, como al registrarse en un hotel, al ingresar en un hospital, solicitar un empleo o una tarjeta de crédito, etc, sin pensar en los efectos secundarios que esta entrega de datos pudiera originar.
El resultado ha sido una invasión en nuestro domicilio de correo no deseado para vendernos un viaje de placer, una segunda vivienda en la playa, un préstamo etc. Más preocupante que esto, puede ser, que nuestros datos personales pasen a formar parte de ficheros de morosos que las instituciones consultan a efectos de concesión de créditos, o que nuestros datos de salud, situación familiar o ideología política terminen en papeleras públicas.
Para evitar este mal uso y proteger así el derecho fundamental sobre la privacidad e intimidad de las personas, las Instituciones Españolas han puesto en vigor la LOPD (Ley Orgánica de Protección de Datos Personales).
Situación Deseada
El cambio de la situación tradicional a la que impone la legislación requiere una inversión en tiempo y dinero por parte de las empresas e instituciones. En la actualidad, se calcula que más del 80% de las empresas e instituciones españolas apenas han hecho algo al respecto, a pesar de las sanciones económicas que la Agencia Española de Protección de Datos (AEPD) impone cuando un ciudadano acude a ella denunciando la violación de sus derechos y de que la cuantía de una sola sanción puede llegar a la cifra de 600.000 Euros.
La adecuación a la LOPD no se puede ver como algo que se hace una sola vez. Más bien ha de verse como algo continuado, que ha de cumplirse día a día.
El vigente Reglamento de esta Ley así lo entiende al obligar a una auditoría al menos cada dos años, que muestre el grado de cumplimiento de la misma.
Nuevo Reglamento
El nuevo Reglamento de Protección de Datos, cuya entrada en vigor se espera a comienzos de 2007, prevé una ampliación y endurecimiento de las obligaciones sobre protección de datos. La AEPD ya ha hecho públicas las siguientes medidas entre otras muchas:
a) Preparar un inventario de documentos con datos personales, tanto si están soportados en archivos automatizados como en papel.
b) Disponer de zonas igní-fugas donde se almacenen datos personales con acceso limitado y controlado.
c) Cifrado de facturas y albaranes.
d) Pruebas de que el consumidor ha podido ejercer el derecho de bloqueo de cesión de sus datos de una empresa a otra.
Servicios Relativos a la LOPD
La transformación de una empresa o institución de una situación de no cumplimiento de la LOPD a una situación de cumplimiento de la misma suele tener un cierto grado de dificultad. Las razones pueden ser la implicación y participación de forma continuada de muchos departamentos, tales como Recursos Humanos, Jurídico, Organización, Informática, Dirección General, e incluso en muchos casos, de las empresas externas a las que se entregan datos personales para su tratamiento.
De la misma manera, para llevar a cabo esta transformación se requiere la acción combinada de personal especialista en diferentes ámbitos: jurídico, informático y organizativo.
Todo esto hace que muchas empresas decidan externalizar este cumplimiento y ponerlo en manos de empresas especializadas. Si este es el caso, ESA Security le puede ofrecer los siguientes servicios:
• Sesión de Sensibilización
gaciones que impone la Ley, en la identificación de los cargos o personas responsables directos de su cumplimiento y en la descripción de los pasos a seguir para la adecuación a la Ley. A esta sesión deben asistir los Directores de Departamento y el Director General Este servicio no tiene coste alguno.
• Diagnóstico
Consiste en identificar las debilidades jurídicas, organizativas y técnicas de la empresa o institución, diciendo al mismo tiempo el artículo incumplido de la ley o del reglamento, su grado de severidad y la acción correctora recomendada.
Para ello se requiere que nuestros consultores hagan unas entrevistas con algunos Directores de Departamento. Las entrevistas suelen durar una jornada y el diagnóstico está listo en el plazo máximo de una semana.
• Adecuación
Se realizan entrevistas con los Directores de Departamento y se solicita la documentación de las distintas áreas de la compañía. Del estudio de la documentación e información obtenida en las entrevistas se definen qué medidas de control jurídicas, técnicas y organizativas deben llevarse a cabo en la empresa para una correcta adecuación a la LOPD.
ESA Security se encarga de realizar la declaración de ficheros ante la AEPD, así como de redactar el Documento de Seguridad, los Procedimientos del Reglamento de Medidas de Seguridad (RMS), las cláusulas y los documentos.
También entregamos El Manual de Procedimientos para el cumplimiento de la normativa vigente, El Manual de Funciones y Obligaciones del personal y un informe ejecutivo.
Por otra parte, se averigua si existen transferencias internacionales de datos y en caso afirmativo se recomiendan las acciones oportunas.
• Plan de Implantación
Una vez hecha la adecuación, se hace necesario hacer que las medidas indicadas en el informe ejecutivo sean una realidad llevándolas a la práctica. Esto es lo que se llama “la implantación”, lo que a su vez exige un Plan de Implantación.
ESA Security dispone de una metodología propietaria, única y específica para llevar a cabo esta implantación de una forma ágil, rápida y fiable. Mediante el uso de esta metodología podemos ofrecerle un plan de implantación detallado donde se desglosan y se personalizan las medidas jurídicas, técnicas y organizativas detectadas en el proceso de adecuación previo, por cada área o departamento de la organización y para cada situación del negocio en que la Ley aplica
.
• Mantenimiento
Una vez realizada la adecuación, se hace necesario estar al día en los cambios de la Ley, del Reglamento y en su aplicación práctica en la empresa. De la misma manera pueden surgir consultas o dudas sobre la adecuación. Todo esto se puede cubrir con un servicio de mantenimiento.
• Revisiones de Situación
Los cambios estructurales de la empresa cliente pueden hacer recomendables revisiones de la LOPD.
ESA Security, a través de un informe ejecutivo, puede darle a conocer el grado de adaptación de la empresa a la Normativa de Protección de Datos verificando el cumplimiento de los controles, procedimientos e instrucciones en materia de seguridad de datos, así como todo lo contemplado en el Reglamento de Medidas de Seguridad.
• Auditoría
La auditoría informática es obligatoria por Ley al menos cada 2 años. La auditoría establece si las medidas correctoras descritas en la adecuación se han llevado a la práctica, Por esta razón, recomendamos hacerlas con la periodicidad que marquen los cambios estructurales de la empresa. La auditoría obligatoria abarca los aspectos técnico – organizativos de los ficheros de nivel medio y alto. Se debe complementar con una revisión de los aspectos jurídicos.
• Planes de Formación
• Cursos presenciales.
Están orientados al personal de la organización, (ya sean Directivos o Empleados) para dar a conocer las tareas y responsabilidades que les impone la normativa de la LOPD.
• Cursos interactivos.
En los casos en que un colectivo se interese por un curso adaptado a su actividad específica, confeccionamos cursos interactivos a la medida de las características de esta actividad.
Beneficios
• Ganar confianza frente a los clientes, proveedores, empleados, accionistas y/o terceros.
• Eliminación de muchos riesgos propios del negocio. Durante la adecuación, revisión o auditoría se encuentran debilidades tales como ficheros desprotegidos que pueden ser copiados, robados o dañados, falta de procedimientos adecuados o no establecidos en el documento de seguridad, ausencia de relaciones contractuales que regularicen las cesiones o encargos de tratamiento, etc.
• Mejora de la productividad. Como consecuencia de la adecuación y auditoría, se pueden descubrir procesos innecesarios, redundantes, o ineficientes que pueden mejorarse sustancialmente con muy poco esfuerzo.
• Reducción del riesgo de sanciones. Este riesgo va en aumento a medida que el público en general va perdiendo el miedo a denunciar la lesión de sus derechos ante la Agencia Española de Protección de Datos (AEPD). Muy a menudo, son los propios empleados o ex-empleados los que ponen la denuncia.
• Reducción del riesgo de mala imagen. Cumpliendo con la LOPD, se reduce el riesgo de una mala publicidad en los medios de comunicación. Con frecuencia, esto es un factor de motivación superior a la propia sanción.
Sobre ESA Security
ESA Security es una consultora especializada únicamente en la Seguridad de la Información que ha realizado con éxito la preparación de empresas para que consigan su Certificación ISO 27001, además de haber obtenido su propia certificación en gestión de Seguridad de la Información.
Sus profesionales están altamente cualificados, incluyendo certificaciones CISA y CISM, y lo más importante: con la experiencia práctica de haber conseguido Certificaciones ISO y haber realizado en múltiples ocasiones Planes Directores de Seguridad, Planes de Continuidad de Negocio, Análisis y Gestión de Riesgos, Proyectos de Hacking Ético, Formación en Seguridad, Adecuaciones y Auditorías LOPD y servicios relativos a la Seguridad de la Información en general.
