Siempre que hablamos de Datos de Carácter Personal y LOPD, lo primero que viene a la mente no suele ser nada bueno, mas bien recelamos por lo que nos puede pasar como administradores de estos datos. Lo primero que nos ocurre es que automaticamente una especie de escepticismo, y la convicción de que quieren ROBARNOS nuestra libertad, someternos a normas estúpidas, sacarnos el dinero con servicios profesionales que no necesitamos, etc…
Segun algunos, hace tiempo que los hackers dejaron de ser simples adolescentes con ganas de diversión para convertirse en verdaderos delincuentes, pero realmente ese es el menor de los problemas, ya que la mayoria de los problemas surgen siempre de fallos internos, o empleados desleales con esa custodia de datos, provocando grandes perjuicios económicos. Esta estructura "casi delictiva" se ha ido consolidando hasta tal punto, que a día de hoy existe todo un mercado negro para la comercialización de datos de carácter personal, donde no está exenta la participación de verdaderas mafias y no tantas mafias, ya que es arto conocido a mas de una empresa que directamente vende esas bases de datos o incluso las alquila.
Por ejemplo, se estima que en 2.013 dicho mercado llegó a mover en torno a 400.000.000 €. Solo hay que tener en cuenta que el coste unitario de datos personales (DNI + Tarjeta de crédito) en dicho mercado oscila los 15 € y los 225 €, según los casos. Pues bien, si haces un simple ejercicio de multiplicar esta cifra por el número de registros existente en tus bases de datos, listas de prospectos, etc., te darás cuenta de que robarte los datos de tus prospectos, es un negocio muy lucrativo para todas esas bandas de las que todos hemos oído hablar, e incluso hemos recibido correos, avisándonos de que hemos resultado beneficiarios de una herencia inexistente, o que tenemos que autenticarnos en la página de un banco, con el que ni siquiera trabajamos, para desbloquear nuestra cuenta bancaria, o mejor dicho, para que nos la vacíen estos cibercriminales.
De esta forma, la LOPD y su Reglamente de desarrollo, impongan la obligación, de adoptar MEDIDAS TÉCNICAS Y ORGANIZATIVAS, que puedan garantizar la seguridad de los datos de carácter personal, y evitar su alteración, pérdida, tratamiento o acceso no autorizado. Por supuesto que hacer esto en términos absolutos es imposible,y por ello, añade este párrafo del art. 9 de la LOPD, que se hará “habida cuenta del estado de la tecnología”, entre otros.
Resumamos: ¿cuáles son estas medidas?, y ¿cuáles tengo yo que aplicar?.
Pues bien, estas medidas de seguridad, se pueden resumir en 12 áreas:
1º Funciones y obligaciones del personal
2º Registro de incidencias
3º Control de Acceso
4º Gestión y de soportes y documentos
5º Identificación y autenticación
6º Copias de respaldo y recuperación
7º Responsable de seguridad
8º Auditoría
9º Control de acceso físico a los lugares donde se guardan los datos
10º Gestión y distribución de soportes
11º Registro de Accesos
12º Telecomunicaciones, (accesos remotos).
Hay que tener en cuenta que, no todos los datos son igual de importantes, relevantes y potencialmente peligrosos, dentro de estos se dividen en tres categorías según la ley y en función del tipo de datos que contenga los fichero o ficheros, habrá que aplicarlas todas o solo algunas de ellas.
Los tres niveles de seguridad por tipología de datos contenidos en los ficheros son:
A.- Básico, referidos a todos los datos que no pertenezcan a los dos niveles siguientes, y que suelen ser los más habituales, (nombre, dni, teléfono, email…).
B.- Medio, Se refieren a ficheros que contengan datos relativos a la comisión de infracciones administrativas o penales, o de solvencia patrimonial o de crédito, o que contengan un “conjunto de datos” que, de manera individual o separada no tendrían más transcendencia, pero que considerados de manera conjunta, permitan obtener un perfil o definición de las características de la personalidad de las personas, y evaluar determinados aspectos de ella o de su comportamiento, entre otros.
C.- Alto, referidos a ficheros que contengan datos sobre la ideología, afiliación sindical, religión, creencias, origen racial, saludo o vida sexual, y de violencia de género entre otros.
De esta forma, lo 1º que se debe hacer es clasificar los datos que contienen tus ficheros, para así poder determinar el nivel te encuentras, y despues, aplicar medidas de seguridad de carácter técnico y organizativo para garantizar su seguridad.
