Política de seguridad del tratamiento de datos personales de fecha 25.05.2018 en Labress Sp. Z o.o.
Introducción
En cumplimiento del derecho constitucional de toda persona a la protección de su vida privada y de las disposiciones del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), con el fin de aplicar medidas técnicas y organizativas que garanticen una protección de los datos personales tratados adecuada a los riesgos y a las categorías de datos protegidos, y, en particular, para proteger los datos contra el acceso no autorizado, la sustracción por personas no autorizadas, el tratamiento en violación del reglamento mencionado, así como contra su alteración, pérdida, daño o destrucción, se introduce el siguiente conjunto de procedimientos.
Capítulo 1
Disposiciones generales
1. Siempre que en el documento se haga referencia a:
reglamento – se entenderá por ello el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos);
datos personales – se entenderá por ello toda información sobre una persona física identificada o identificable («interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos específicos de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;
conjunto de datos – se entenderá por ello todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica;
tratamiento de datos – se entenderá por ello cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no automatizados, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;
sistema informático – se entenderá por ello el conjunto de dispositivos, programas, procedimientos de tratamiento de información y herramientas de software que cooperan entre sí, utilizados para el tratamiento de datos;
seguridad de los datos en el sistema informático – se entenderá por ello la implementación y explotación de las medidas técnicas y organizativas adecuadas que garanticen la protección de los datos contra su tratamiento no autorizado;
supresión de datos – se entenderá por ello la destrucción de datos personales o su modificación de tal manera que no permita establecer la identidad del interesado;
responsable del tratamiento – se entenderá por ello la persona física o jurídica, autoridad pública, agencia u otro organismo que, solo o conjuntamente con otros, determine los fines y medios del tratamiento; si los fines y medios de dicho tratamiento están determinados por el Derecho de la Unión o de los Estados miembros, el responsable podrá ser designado por el Derecho de la Unión o de los Estados miembros o se determinarán los criterios específicos para su nombramiento;
consentimiento del interesado – significa toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;
destinatario de los datos – se entenderá por ello la persona física o jurídica, autoridad pública, agencia u otro organismo a la que se comunican datos personales, sea o no tercero.Las autoridades públicas que puedan recibir datos personales en el marco de un procedimiento concreto de conformidad con el Derecho de la Unión o de los Estados miembros no obstante, no se considerarán destinatarios; el tratamiento de dichos datos por las autoridades públicas debe ser conforme con las normas de protección de datos aplicables a los fines del tratamiento;
tercer país – se entenderá por país que no pertenece al Espacio Económico Europeo;
medidas técnicas y organizativas – se entenderán por las medidas técnicas y organizativas necesarias para garantizar la confidencialidad, integridad y rendición de cuentas de los datos personales tratados;
limitación del tratamiento – se entenderá por el marcado de los datos personales almacenados con el fin de limitar su futuro tratamiento;
elaboración de perfiles – significa toda forma de tratamiento automatizado de datos personales que consiste en utilizar datos personales para evaluar determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos al rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos de dicha persona física;
seudonimización – significa el tratamiento de datos personales de tal manera que ya no puedan atribuirse a un interesado concreto sin utilizar información adicional, siempre que dicha información adicional se conserve por separado y esté sujeta a medidas técnicas y organizativas que garanticen que los datos personales no puedan atribuirse a una persona física identificada o identificable;
encargado del tratamiento – significa la persona física o jurídica, autoridad pública, agencia u otro organismo que trate datos personales por cuenta del responsable del tratamiento;
violación de la seguridad de los datos personales – significa toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
Capítulo 2
Responsable del tratamiento
1. El responsable del tratamiento, en particular:
implementa medidas técnicas y organizativas, teniendo en cuenta la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de distinta probabilidad y gravedad para los derechos y libertades de las personas físicas, y que permitan garantizar que el tratamiento de datos se realice de conformidad con el reglamento. Dichas medidas serán revisadas y actualizadas cuando sea necesario,
lleva un registro de las actividades de tratamiento de datos personales, en caso de que esta obligación sea aplicable,
designa un Delegado de Protección de Datos (DPD), en caso de que concurran los supuestos establecidos en el reglamento.
Capítulo 3
Medidas técnicas y organizativas
1) Para la protección de datos, se han cumplido los requisitos establecidos en el reglamento, en particular:
- 1) se ha realizado una evaluación de impacto en la protección de datos de acuerdo con el anexo n.º 1, se ha llevado a cabo un análisis de riesgos en relación con los recursos que participan en los procesos individuales, y solo se ha permitido el tratamiento de datos personales a las personas autorizadas por el responsable del tratamiento de datos,
- 2) se han celebrado acuerdos de encargo de tratamiento de datos de acuerdo con el modelo del anexo n.º 3, y 2) se ha desarrollado e implementado la presente política de seguridad.
2. Para garantizar la protección de los datos personales, se aplican las siguientes medidas de protección física de los datos personales:
- 1) los conjuntos de datos personales se almacenan en una sala protegida con puertas normales (no reforzadas, no ignífugas);
- 2) los conjuntos de datos personales se almacenan en una sala protegida con puertas de mayor resistencia al fuego >= 30 min; los conjuntos de datos personales se almacenan en una sala protegida con puertas de mayor resistencia a la intrusión – puertas de clase C;
- 3) los conjuntos de datos personales se almacenan en una sala donde las ventanas están protegidas con rejas, persianas o láminas antirrobo;
- 4) las salas donde se tratan los conjuntos de datos personales están equipadas con un sistema de alarma antirrobo;
- 5) el acceso a las salas donde se tratan los conjuntos de datos personales está cubierto por un sistema de control de acceso;
- 6) el acceso a las salas donde se tratan los conjuntos de datos personales está controlado por un sistema de vigilancia con cámaras industriales;
- 7) el acceso a las salas donde se tratan los conjuntos de datos personales, en ausencia de los empleados allí, es supervisado por el servicio de seguridad;
- 8) el acceso a las salas donde se tratan los conjuntos de datos personales es supervisado las veinticuatro horas del día por el servicio de seguridad; los conjuntos de datos personales en formato papel se almacenan en un armario no metálico cerrado;
- 9) los conjuntos de datos personales en formato papel se almacenan en un armario metálico cerrado;
- 10) los conjuntos de datos personales en formato papel se almacenan en una caja fuerte o caja acorazada cerrada;
- 11) las copias de seguridad/archivadas de los conjuntos de datos personales se almacenan en un armario no metálico cerrado;
- 12) las copias de seguridad/archivadas de los conjuntos de datos personales se almacenan en un armario metálico cerrado;
- 13) las copias de seguridad/archivadas de los conjuntos de datos personales se almacenan en una caja fuerte o caja acorazada cerrada;
- 14) los conjuntos de datos personales se tratan en una oficina de seguridad, gestionada de acuerdo con los requisitos establecidos en normativas separadas;
- 15) las salas donde se tratan los conjuntos de datos personales están protegidas contra los efectos del fuego mediante un sistema contra incendios y/o un extintor independiente;
- 16) los documentos que contienen datos personales, una vez finalizada su utilidad, se destruyen mecánicamente mediante destructoras de documentos.
3. Para la protección de los datos personales, se aplican las siguientes medidas de hardware en la infraestructura informática y de telecomunicaciones:
- 1) los ordenadores utilizados para el procesamiento de datos personales no están conectados a la red informática local;
- 2) se han utilizado dispositivos tipo UPS, generador de corriente y/o una red eléctrica dedicada, protegiendo el sistema informático utilizado para el procesamiento de datos personales contra los efectos de fallos de alimentación;
- 3) el acceso al conjunto de datos personales, que se procesa en una estación de trabajo dedicada/ordenador portátil, ha sido protegido contra el inicio no autorizado mediante una contraseña de BIOS;
- 4) el acceso al sistema operativo del ordenador, donde se procesan los datos personales, está protegido mediante un proceso de autenticación que utiliza un identificador de usuario y una contraseña;
- 5) el acceso al sistema operativo del ordenador, donde se procesan los datos personales, está protegido mediante un proceso de autenticación que utiliza una tarjeta de procesador y un código PIN o un token;
- 6) el acceso al sistema operativo del ordenador, donde se procesan los datos personales, está protegido mediante un proceso de autenticación que utiliza tecnología biométrica;
- 7) se han implementado medidas que impiden la realización de copias no autorizadas de datos personales procesados mediante sistemas informáticos;
- 8) se han implementado mecanismos de sistema que fuerzan el cambio periódico de contraseñas;
- 9) se ha implementado un sistema de registro de acceso al sistema/conjunto de datos personales;
- 10) se han implementado medidas de protección criptográfica de datos para los datos personales transmitidos por teletransmisión;
- 11) el acceso a los medios de teletransmisión se ha protegido mediante mecanismos de autenticación;
- 12) se ha implementado un procedimiento de rellamada (callback) para la transmisión realizada a través de un módem;
- 13) se ha utilizado una matriz de discos para proteger los datos personales contra los efectos de fallos de la memoria de disco;
- 14) se han implementado medidas de protección contra software malicioso, como, por ejemplo, gusanos, virus, troyanos, rootkits;
- 15) se ha utilizado un sistema Firewall para proteger el acceso a la red informática;
- 16) se ha utilizado un sistema IDS/IPS para proteger el acceso a la red informática.
4. Para garantizar la protección de los datos personales, se aplican las siguientes medidas de protección dentro de las herramientas de software y las bases de datos:
- 1) se han utilizado medidas que permiten el registro de los cambios realizados en los elementos individuales del conjunto de datos personales;
- 2) se han aplicado medidas que permiten determinar los derechos de acceso al alcance de datos especificado dentro del conjunto de datos personales procesado;
- 3) el acceso al conjunto de datos personales requiere autenticación mediante un identificador de usuario y una contraseña;
- 4) el acceso al conjunto de datos personales requiere autenticación mediante una tarjeta de procesador y un código PIN o un token;
- 5) el acceso al conjunto de datos personales requiere autenticación mediante tecnología biométrica;
- 6) se han aplicado medidas sistémicas que permiten determinar los derechos de acceso adecuados a los recursos informáticos, incluidos los conjuntos de datos personales, para los usuarios individuales del sistema informático;
- 7) se ha aplicado un mecanismo que obliga al cambio periódico de las contraseñas de acceso al conjunto de datos personales;
- 8) se han aplicado medidas criptográficas para la protección de datos personales;
- 9) se han instalado protectores de pantalla en los puestos de trabajo donde se procesan datos personales;
- 10) se ha aplicado un mecanismo de bloqueo automático del acceso al sistema informático utilizado para el procesamiento de datos personales en caso de inactividad prolongada del usuario.
5. Para la protección de los datos personales, se aplican las siguientes medidas organizativas:
- 1) las personas empleadas en el procesamiento de datos han sido familiarizadas con las normativas relativas a la protección de datos personales;
- 2) se ha capacitado al personal empleado en el procesamiento de datos personales en el ámbito de la seguridad del sistema informático;
- 3) el personal empleado en el procesamiento de datos personales ha sido obligado a mantenerlos en secreto;
- 4) los monitores de los ordenadores donde se procesan datos personales están configurados de manera que impiden que personas ajenas vean los datos procesados;
- 5) las copias de seguridad del conjunto de datos personales se almacenan en una sala diferente a aquella donde se encuentra el servidor en el que los datos personales se procesan de forma continua.
Capítulo 4
Procedimiento DPIA (Evaluación de Impacto de Protección de Datos)
1. El propietario del proceso, designado por el responsable del tratamiento de datos, realizará una evaluación de impacto de protección de datos (DPIA) basándose en la hoja que constituye el Anexo n.º 1 del presente acuerdo.
2. La DPIA se llevará a cabo cada vez que haya un cambio significativo en el proceso de tratamiento de datos personales, que incluya, entre otros, un cambio de proveedor de servicios, un cambio en la forma de tratamiento de datos o un intercambio de recursos que participan en el proceso.
3. La DPIA se realizará junto con un análisis de riesgos al menos una vez al año para aquellos procesos que, como resultado de una DPIA anterior, hayan mostrado un alto riesgo para los derechos y libertades de los interesados.
Capítulo 5
Procedimiento de análisis de riesgos y plan de gestión de riesgos
1. El propietario del proceso, designado por el responsable del tratamiento, o el propio responsable del tratamiento, realizará un análisis de riesgos para los recursos involucrados en los procesos.
2. El propietario del proceso o el responsable del tratamiento realizará un análisis de riesgos al menos una vez al año. El análisis de riesgos realizado servirá de base para actualizar la forma de gestionar los riesgos.
3. El propietario del proceso o el responsable del tratamiento implementará de forma autónoma, basándose en los resultados del análisis de riesgos realizado, las formas de gestionar los riesgos.
4. En cada ocasión, el responsable del tratamiento seleccionará la forma de gestionar los riesgos y determinará qué riesgos y en qué orden se abordarán primero.
Capítulo 6
Procedimiento de colaboración con entidades externas
1. Cada vez que se utilicen los servicios de un encargado del tratamiento, se precederá a la celebración de un contrato de encargo de tratamiento de datos personales de conformidad con el anexo n.º 2.
2. El responsable del tratamiento verificará la conformidad con el reglamento de todos los encargados del tratamiento cuyos servicios utiliza o tiene intención de utilizar, mediante una lista de control. La verificación se realizará al menos una vez al año y en cada ocasión antes de la celebración de un contrato de encargo de tratamiento de datos personales.
Capítulo 7
Procedimiento de protección de datos por defecto
1. El responsable del tratamiento, al iniciar el tratamiento de datos personales en un nuevo proceso, realizará una EIPD en relación con dicho proceso.
2. El responsable del tratamiento, al crear un nuevo producto o servicio, tendrá en cuenta los derechos de los interesados en cada etapa estratégica de su diseño e implementación.
Capítulo 8
Procedimiento de gestión de incidentes
1. El responsable del tratamiento verificará cada caso de riesgo potencial de violación de los derechos o libertades de las personas físicas en relación con el tratamiento de datos personales.
2. En caso de constatarse un riesgo de violación de los derechos o libertades de las personas físicas en relación con el tratamiento de datos personales, el responsable del tratamiento notificará dicho hecho a la autoridad de control sin dilación, pero a más tardar en un plazo de 72 horas desde la identificación de la violación.
3. El responsable del tratamiento notificará a los interesados en caso de que se produzcan violaciones que entrañen un riesgo para sus derechos o libertades. La necesidad de notificar a los interesados no se producirá si el responsable del tratamiento ha aplicado medidas que eliminen la probabilidad de un alto riesgo de que se produzca la mencionada violación.
4. El responsable del tratamiento documentará las violaciones que resulten en una violación de los derechos y libertades de las personas físicas.
Capítulo 9
Procedimiento de ejercicio de los derechos de los interesados
1. El responsable del tratamiento examinará individualmente cada solicitud presentada por el interesado para ejercer los derechos establecidos en el reglamento.
2. El responsable del tratamiento ejecutará sin dilación los siguientes derechos de los interesados:
- 1) derecho de acceso a los datos,
- 2) derecho de rectificación de los datos,
- 3) derecho de supresión de los datos,
- 4) derecho a la portabilidad de los datos,
- 5) derecho de oposición al tratamiento de los datos,
- 6) derecho a no ser objeto de decisiones basadas únicamente en la elaboración de perfiles.
3. El responsable del tratamiento de datos informa sin demora a los destinatarios de los datos a quienes haya comunicado datos personales sobre el ejercicio del derecho de rectificación, supresión y limitación del tratamiento de datos, a menos que sea imposible o requiera un esfuerzo desproporcionado.
4. El responsable del tratamiento de datos deniega el ejercicio de los derechos de los interesados si dicha posibilidad se deriva de las disposiciones del reglamento. Toda denegación del ejercicio de los derechos de los interesados requiere una justificación con referencia a la base jurídica derivada del reglamento.
Capítulo 10
Procedimiento de obtención de consentimientos e información a los interesados
1. El responsable del tratamiento de datos informa al interesado sobre cada caso de recogida de datos, de conformidad con el anexo n.º 3.
2. El responsable del tratamiento de datos informa al interesado sobre cada caso de recogida de datos de otras fuentes relacionadas con el interesado. Dicha información se facilita sin demora, pero a más tardar en el momento del primer contacto con el interesado, de conformidad con el anexo n.º 3.
3. El responsable del tratamiento de datos utiliza las cláusulas de consentimiento, según los modelos incluidos en el anexo n.º 3, en cada caso de obtención del consentimiento del interesado.
Capítulo 11
Disposiciones finales
1. Todas las normas descritas en el presente documento serán observadas por las personas autorizadas para el tratamiento de datos personales, prestando especial atención al bienestar de los interesados a los que se refieren dichos datos.
2. El presente documento entrará en vigor a partir de la fecha de su aprobación por el responsable del tratamiento de datos.
Anexos:
– Hoja DPIA (anexo n.º 1),
– Contrato de encargo de tratamiento de datos personales (anexo n.º 2)
– Cláusulas de ejemplo (anexo n.º 3)