1 IV Jornada de Protección de datos para las administraciones locales La experiencia práctica en los ayuntamientos ESTRUCTURA ORGANIZATIVA DE LA PROTECCIÓN.

Presentación del tema: "1 IV Jornada de Protección de datos para las administraciones locales La experiencia práctica en los ayuntamientos ESTRUCTURA ORGANIZATIVA DE LA PROTECCIÓN."— Transcripción de la presentación:

1 1 IV Jornada de Protección de datos para las administraciones locales La experiencia práctica en los ayuntamientos ESTRUCTURA ORGANIZATIVA DE LA PROTECCIÓN DE DATOS EN EL AYUNTAMIENTO DE FUENLABRADA

2 2

3 3 FUENLABRADA

4 4 Escudo de Fuenlabrada

5 5 Casco antiguo

6 6 Fuenlabrada ciudad de paz y antinuclear La historia de Fuenlabrada nos los describe la pluma del licenciado Martín Espinosa, corregidor de esta villa del rey Felipe II, en la que destaca el disfrute del privilegio de los Reyes Católicos (“en que mandan que no se puedan aposentar en este pueblo ninguna gente de armas, ni soldados, ni los puedan llevar a ninguna guerra ni ballestería, ni sacar del pueblo ninguna cosa contra la voluntad del pueblo, el cual se dio porque este pueblo a servido e sirve a la caballeriza de su Magestad”). Dichos privilegios estuvieron en vigor hasta el siglo XIX, a veces, entablando largos y costosos pleitos que finalmente reconocían sus derechos. Fotografía antigua de la Fuente de Fregacedos Privilegio

7 7 Vista aérea de la ciudad de Fuenlabrada

8 8 Antiguo Ayuntamiento

9 9 Aprobación del Primer Plan General Restricción de masivos de licencias mediante convenios urbanísticos Periodo de concesión masiva de licencias de construcción

10 10 NUEVO AYUNTAMIENTO 1998

11 11

12 12 Fuente de las escaleras

13 13 Vista frontal del Edificio Centro de Iniciativas para la Formación y el Empleo de Fuenlabrada

14 14 Maratón

15 15 Vista del Edificio de Tomás y Valiente Residencia de la concejalía de Cultura

16 16 Marcha solidaria Escuela en Senegal

17 17 Festival de música

18 18 Fachada del Edificio Casa de la mujer

19 19 Plantación de árboles por autoridades

20 20 Parque de la Solidaridad

21 21 Chocolatada, morconada y migas

22 22 Feria

23 23

24 24 Proceso de implantación de la Seguridad de los Datos de Carácter Personal

25 25 Proceso de implantación de la seguridad de los datos (primera) Criterios 1º Universalidad de las actuaciones Estructuras donde hay que actuar Inventario de los ficheros a proteger Estudios de los sistemas de gestión, incluyendo los manuales 2º Análisis e Implantación Adaptación a la legislación de seguridad Elaboración de la normativa interna Implantación de esta normativa Divulgación y la Formación 3º Auditorías internas: Jurídica, Informática Organizativa 1ª

26 26 Proceso de implantación de la seguridad de los datos (segunda) Informe de conclusiones del estudio previo: –Auditoría de seguridad –Propuestas de medidas y organizativas –Elaboración del Documento de Seguridad Plan de adecuación: –Identificación y calendario de las actuaciones a realizar

27 27 Proceso de implantación de la seguridad de los datos (tercera) Implantación –Plan de acciones de implantación Desarrollo de las medidas del documento de seguridad. Divulgación y formación. –Curso de formación a usuarios y funcionarios. Seguimiento. –Primer informe de auditoría de seguimiento –Segundo informe de auditoría de seguimiento –2º versión del Documento de seguridad

28 28 Documento de seguridad

29 29 CONDICIONES GENERALES DEL DOCUMENTO DE SEGURIDAD 2ª versión CONTROL DE EDICIONES DEL DOCUMENTO DE SEGURIDAD Documento abierto y potencialmente en constante modificación y adaptación CONTROL DE FIRMAS DEL DOCUMENTO DE SEGURIDAD Asunción de las responsabilidades desde el máximo nivel NORMATIVA APLICABLE AL DOCUMENTO DE SEGURIDAD Permanente adaptación a la normativa cambiante DEFINICIONES Y ABREVIATURAS Garantía de comprensión ELABORACIÓN Y CONTROL DE LA DOCUMENTACIÓN –Permanente documentación de los responsables de edición y modificación del documento –Documentación de las propuestas de mejora y revisión del documento

30 30 AMBITO DE APLICACIÓN, DISTRIBUCIÓN DE RESPONSABILIDADES Y FUNCIONES DEL PERSONAL OBJETO: –Establecimiento de medidas en todos en el Ayuntamiento y los organismos autonómicos ÁMBITO DE APLICACIÓN –Estructura de seguridad en el Ayuntamiento y Organismos autonómicosEstructura de seguridad en el Ayuntamiento y Organismos autonómicos –DISTRIBUCIÓN DE LOS RESPONSABLES POR ÁREAS/CONCEJALÍAS Y CARGOSDISTRIBUCIÓN DE LOS RESPONSABLES POR ÁREAS/CONCEJALÍAS Y CARGOS DIFUSIÓN Y OBLIGACIÓN DEL CUMPLIMIENTO DEL DOCUMENTO DE SEGURIDAD: El Responsable de Seguridad, designado para cada Área de Seguridad, se encargará de concienciar al personal acerca de la importancia de la protección de los datos contenidos en el sistema informático del Ayuntamiento, Organismo Autónomo o Empresa municipal de que se trate. –INVENTARIO DE FICHEROS REGISTRADOS EN LA A.P.D.C.M. DISTRIBUIDOS POR AREA/CONCEJALÍA DE SEGUTIDADINVENTARIO DE FICHEROS REGISTRADOS EN LA A.P.D.C.M. DISTRIBUIDOS POR AREA/CONCEJALÍA DE SEGUTIDAD FUNCIONES Y OBLIGACIONES DEL PERSONAL. –Cada puesto de trabajo está bajo la responsabilidad del usuario autorizado, quien garantizará que la información que muestran no pueda ser visible por personas no autorizadas. Ello implica que tanto las pantallas como las impresoras u otro tipo de dispositivos conectados al puesto de trabajo deberán estar físicamente ubicados en lugares que garanticen esa confidencialidad. Cuando el responsable de un puesto de trabajo lo abandone, bien temporalmente, bien al finalizar su turno de trabajo, deberá dejarlo en un estado que impida la visualización de los datos protegidos. La reanudación del trabajo implicará la introducción de la contraseña correspondiente. –En el caso de las impresoras deberá asegurarse que no quedan documentos impresos en la bandeja de salida que contengan datos protegidos. –Los puestos de trabajo desde los que se tiene acceso al fichero tendrán una configuración fija en sus aplicaciones y sistemas operativos que sólo podrá ser cambiada bajo la autorización del Responsable de Seguridad o responsable en el que aquel delegue. –Cada usuario será responsable de la confidencialidad de su contraseña y, en caso de que la misma sea conocida fortuita o fraudulentamente por personas no autorizadas, deberá registrarlo como incidencia y proceder a su cambio.

31 31 ESQUEMA GENERAL DE LA ESTRUCTURA DE SEGURIDAD Responsable General de Seguridad de Protección de Datos: Corresponde a: Al Cargo Administrativo o de Confianza designado por el Alcalde, El Administrador de los Sistemas Informáticos: Corresponde a: La Dirección de Servicios de Innovación y TIC y/o el Responsable de Informática de cada órgano o empresa municipal. VOLVER

32 32 DISTRIBUCIÓN DE LOS RESPONSABLES POR ÁREAS/CONCEJALÍAS Y CARGOS VOLVER

33 33 INVENTARIO DE FICHEROS REGISTRADOS EN LA A.P.D.C.M. DISTRIBUIDOS POR AREA/CONCEJALÍA DE SEGUTIDAD VOLVER

34 34 PROTOCOLO EJERCICIO DE DERECHOS SOLICITUDES DE ACCESO, RECTIFICACIÓN, CANCELACIÓN Y OPOSICIÓN ANÁLISIS Y RESOLUCIÓN DE LAS SOLICITUDES PLAZOS DE CONTESTACIÓN DENEGACIÓN DEL DERECHO DE ACCESO, RECTIFICACIÓN, CANCELACIÓN Y OPOSICIÓN ACCESO, RECTIFICACIÓN, CANCELACIÓN Y OPOSICIÓN EN FICHEROS DE TERCEROS

35 35 CREACIÓN Y ALTA DE BASES DE DATOS SOLICITUD DE INSCRIPCIÓN EN LA AGENCIA DE PROTECCIÓN DE DATOS DE LA COMUNIDAD DE MADRID CREACIÓN DE LAS BASES DE DATOS DE CARÁCTER PERSONAL PRINCIPIOS FUNDAMENTALES DE LA RECOGIDA DE DATOS PERSONALES: –A. CONSENTIMIENTO DEL AFECTADO –B. INFORMACIÓN AL INTERESADO CASOS PARTICULARES DE LA RECOGIDA DE DATOS PERSONALES –A. DATOS DE MENORES –B. DATOS COMPLEMENTADOS MEDIANTE ENTREVISTAS, LLAMADAS TELEFÓNICAS, ETC –C. DATOS RECOGIDOS EN PÁGINAS WEB MODIFICACIÓN Y SUPRESIÓN DE BASES DE DATOS CARÁCTER PERSONAL COPIAS PARCIALES Y COPIAS DEPARTAMENTALES DE LAS BASES DE DATOS PERSONALES

36 36 PROTOCOLO DE EJERCICIOS DE DERECHOS SILICITUDES DE ACCESO, RECTIFICACIÓN Y OPÒSICIÓN: –Lugar para la solicitud –A quien debe dirigirse –Contenido de la solicitud –Quien resuelve, como resuelve –Plazos para la contestación –Denegación del derecho Acceso de datos por cuenta de TERCEROS –Contratación con terceros

37 37 SISTEMAS DE INFORMACIÓN ESTRUCTURA DE LOS SISTEMAS DE INFORMACIÓN EN EL AYUNTAMIENTO DESCRIPCIÓN DE LOS SISTEMAS DE INFORMACIÓN EN EL AYUNTAMIENTO –Los sistemas de información del AYUNTAMIENTO DE FUENLABRADA se encuentran implementados sobre una LAN de estrella física, circuito digital dedicado de 2 Mbps y ADSL Net-Lan (dos sub-redes) formada por 18 servidores a los que se conectan los puestos de red........... SERVIDORES QUE SE ENCUENTRAN EN EL AYUNTAMIENTO DE FUENLABRADA –Este servidor se encuentra implementado sobre un Linux Enterprise 9.2 con Base de datos Informix V.10. –El servidor de BBDD se encarga de las siguientes gestiones: –- Gestión Tributaria y Recaudación –- Padrón de Habitantes

38 38 MEDIDAS DE SEGURIDAD APLICABLES A FICHEROS DE NIVEL BÁSICO PROCEDIMIENTO DE IDENTIFICACIÓN Y AUTENTICACIÓN CONTRASEÑAS: Las contraseñas tienen un mínimo de 6 caracteres. –No se debe seleccionar como contraseña del sistema por parte de los usuarios palabras en cualquier idioma, códigos con valores asociables al usuario (nombres de personas, matrículas, teléfonos, fechas, etc.), ni utilizar secuencias lógicas deducibles en los cambios de contraseñas, permutaciones sencillas, secuencias de teclado, etc. Las contraseñas deben contener cadenas de caracteres en las que se mezclen caracteres alfabéticos y numéricos sin ningún tipo de significado. REEMPLAZO DE CONTRASEÑAS: Las contraseñas de los usuarios deberán cambiarse por períodos no mayores a noventa días. Las contraseñas son personalizadas. CONFIDENCIALIDAD: La contraseña del usuario no resulta visible en pantalla durante su introducción por teclado. REGLAS DE NOMENCLATURA: La identificación del usuario es inequívoca y personalizada de cada grupo de usuarios CONTROL DE ACCESO LÓGICO: –Administración de usuariosAdministración de usuarios COPIAS DE RESPALDO Y RECUPERACIÓN –GESTIÓN DE SOPORTES TIPOS DE SOPORTES UTILIZADOS –COPIAS DE RESPALDO Y RECUPERACIÓN DESCRIPCIÓN DEL PROCEDIMIENTO GENERAL –INFORME DE RECUPERACIÓN DE DATOSINFORME DE RECUPERACIÓN DE DATOS IDENTIFICACIÓN DE INCIDENCIAS: CATÁLOGO DE INCIDENCIASCATÁLOGO DE INCIDENCIAS REGISTRO Y RESOLUCIÓN DE INCIDENCIAS –: La persona que detecta la incidencia, informa de la misma al Responsable de Seguridad y al Servicio T.I.C por cualquier medio a su alcance (mail, teléfono, etc.…).

39 39

40 40

41 41

42 42

43 43 MEDIDAS DE SEGURIDAD APLICABLES A FICHEROS DE NIVEL MEDIO IDENTIFICACIÓN Y AUTENTICACIÓN IDENTIFICACIÓN DE USUARIOS –Todos los usuarios de los sistemas de información del AYUNTAMIENTO DE FUENLABRADA, disponen de contraseñas BLOQUEO DE UNA CUENTA DE USUARIO RELACIÓN DE USUARIOS GESTIÓN DE SOPORTES: –SALIENTES: Cada vez que un usuario necesita sacar datos de carácter personal en soportes informáticos fuera de los locales donde se encuentra ubicado el fichero, deberá solicitarlo por escrito al Responsable de Seguridad. –ENTRANTES: Las actualizaciones a bases de datos de carácter personal recibidas en soporte informático, deben ir dirigidas al Responsable del Servicio –GRABACIÓN Y REGISTRO DE SALIDA EN SOPORTES INFORMÁTICOS62 –DATOS DEL SOLICITANTEDATOS DEL SOLICITANTE –INFORMACIÓN SOLICITADA –FINES PARA LOS QUE SE DESEA LA INFORMACIÓN –AUTORIZACIÓN DEL RESPONSABLE DE SEGURIDAD DEL FICHERO –DATOS SOBRE EL ENVÍODATOS SOBRE EL ENVÍO –DATOS SOBRE LA GRABACIÓN REGISTRO DE ENTRADA DE SOPORTES INFORMÁTICOS –Almacenamiento de soportes – INVENTARIO DE SOPORTES REUTILIZADOS Y DESECHADOS –CONTROL ACCESO FÍSICO Procedimiento general –PRUEBAS CON DATOS REALES –GESTIÓN DE AUDITORIA Informe de auditoría –CONTROLES PERIÓDICOS DE VERIFICACIÓNCONTROLES PERIÓDICOS DE VERIFICACIÓN

44 44

45 45

46 46

47 47 MEDIDAS DE SEGURIDAD APLICABLES A FICHEROS DE NIVEL ALTO REGISTRO DE ACCESOS : Para aquellos ficheros que contienen información personal clasificada de nivel alto, los sistemas de información objeto de tratamiento de dichos datos, además de las medidas de control de acceso señaladas previamente para los ficheros de nivel básico, y medio, las que se detallan a continuación. DISTRIBUCIÓN CIFRADA DE SOPORTES: La distribución y salida de soportes que contengan datos de carácter personal se realizará utilizando el procedimiento para cifrar los datos o en su caso para utilizar el mecanismo que garantice que dicha información no sea inteligible ni manipulada durante su transporte CIFRADO DE TELECOMUNICACIONES: La transmisión de datos de carácter personal a través de redes de telecomunicaciones, se realiza cifrando dichos datos utilizando una conexión NETLAN entre el Ayuntamiento y Servicios Sociales con el fin de que la información no sea inteligible ni manipulada por terceros.

48 48 POLÍTICA DE USO DE LOS RECURSOS FÍSICOS Y LÓGICOS(1) TÉRMINOS Y CONDICIONES DE USO DEL CORREO ELECTRÓNICO: El acceso a los recursos del servicio de correo electrónico es un privilegio que está condicionado a la aceptación de la Política de utilización de estos recursos. La calidad de estos servicios depende en gran medida de la responsabilidad individual de los usuarios: REGLAS DE USO: Los usuarios son responsables de todas las actividades realizadas con las cuentas de acceso y su respectivo buzón de correos provistos por el AYUNTAMIENTO DE FUENLABRADA.

49 49 POLÍTICA DE USO DE LOS RECURSOS FÍSICOS Y LÓGICOS (2) TÉRMINOS Y CONDICIONES DE USO DE I NTERNET: El acceso a la red Internet es un privilegio. Los usuarios de ordenadores dispuestos en red deben concienciarse de que se trabaja compartiendo recursos con otras personas en forma permanente. La utilización de los mismos en forma incorrecta, puede obstaculizar el trabajo del resto de los usuarios, llegando a interferir en la normal prestación de los diferentes servicios informáticos privando a otras personas de los medios necesarios para realizar su trabajo. REGLAS DE USO: En ningún caso se pueden modificar las configuraciones de los navegadores (opciones de Internet) del equipo ni la activación de servidores o puertos sin autorización de los responsables de seguridad.

50 50 POLÍTICA DE USO DE LOS RECURSOS FÍSICOS Y LÓGICOS (3) NORMAS DE USO DEL SISTEMA INFORMÁTICO Para garantizar la debida confidencialidad del tratamiento de los datos personales del AYUNTAMIENTO DE FUENLABRADA se han adoptado las siguientes normas preceptivas de obligado cumplimiento para todos los empleados y colaboradores con acceso a equipamiento informático propiedad del Ayuntamiento. Reglas de uso: El trabajador será responsable frente al AYUNTAMIENTO DE FUENLABRADA y frente a terceros, de cualquier daño que pudiera derivarse para unos u otros del incumplimiento de los compromisos anteriores, debiendo resarcir al Ayuntamiento por las indemnizaciones, sanciones o reclamaciones que ésta se vea obligada a satisfacer como consecuencia de dicho incumplimiento

51 51 MODELOS A IMPLANTAR EL LAS VIAS DE COMUNICACIÓN CORREOS ELECTRÓNICOS CUANDO SE TRANSMITE: CORRESPONDENCIA POSTAL TRANSMISIÓN DE DATOS POR FAX: ANEXO A LOS CONTRATOS SUSCRITOS PARA LOS SERVICIOS DE LIMPIEZA Y SEGURIDAD EN LAS INSTALACIONES DEL LOS SERVICIOS SOCIALES DEL AYUNTAMIENTO DE FUENLABRADA CLÁUSULA PRIMERA.- OBJETO CLÁUSULA SEGUNDA.- SERVICIOS CONTRATADOS CLÁUSULA TERCERA.- PROPIEDAD DE LOS DATOS CLÁUSULA CUARTA.- CONFIDENCIALIDAD CLÁUSULA QUINTA.- RESPONSABILIDAD

52 52

53 53 Texto de la ordenanza ORGANIZACIÓN Y FUNCIONAMIENTO La existencia de ficheros de carácter personal y los avances tecnológicos, singularmente los informáticos, suponen posibilidades de intromisión en el ámbito de la privacidad e intimidad, así como de limitación y vulneración del derecho a la auto-disposición de las informaciones que son relevantes para cada persona. Por ello, el ordenamiento jurídico reconoce los derechos en este campo y establece mecanismos para su garantía. La Constitución Española, en su artículo 18, reconoce como derecho fundamental el derecho al honor, a la intimidad personal y familiar y a la propia imagen, y establece que la “ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de los derechos”. El Tribunal Constitucional, interpretando este artículo, ha declarado en su jurisprudencia, y especialmente en sus sentencias 290 de 2000 y 292 de 2000, que el mismo protege el derecho fundamental a la protección de datos de carácter personal, otorgándole una sustantividad propia. Este derecho ha sido denominado por la doctrina como “derecho a la autodeterminación informática”, o “derecho a la auto-disposición de las informaciones personales”, y que, cuando se refiere al tratamiento automatizado de datos, se incluye el concepto más amplio de “libertad informativa”. La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, establece un conjunto de medidas para garantizar y proteger este derecho fundamental. Es responsabilidad de las administraciones locales lo concerniente a la creación, modificación o suspensión de ficheros de datos de carácter personal. El artículo 20 de la Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, establece que la creación, modificación o supresión de ficheros de las administraciones públicas sólo podrá hacerse por medio de disposición de carácter general publicada en el “Boletín Oficial del Estado” o diario oficial correspondiente. De conformidad con el artículo 41.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y el artículo 2 de la Ley 8/2001, de 13 de julio, de Protección de Datos de Carácter Personal en la Comunidad de Madrid, La Corporación Local, en materia de protección de datos, queda bajo el ámbito de la Agencia de Protección de Datos de la Comunidad de Madrid. En estos términos, de acuerdo con el artículo 14 del Decreto 99/2002, de 13 de junio, de regulación del procedimiento de elaboración de disposición general de creación, modificación y supresión de ficheros que contienen datos de carácter personal, así como su inscripción en el Registro de Ficheros de Datos Personales, las corporaciones locales crearán, modificarán y suprimirán sus ficheros mediante la correspondiente disposición de carácter General y Documento de Seguridad que le acompaña, bajo el marco del Reglamento de Desarrollo de la L.O.P.D. aprobado por el R.D 1720/2007 que ha entrado en vigor el 19 de abril de 2008 o cualquier otra disposición de carácter general, en los términos previstos en la Ley 7/1985, de 2 de abril, Reguladora de Bases de Régimen Local, o en su caso, en la legislación autonómica concordante. Primero. Ratificación e inclusión de Nuevos Ficheros: Se ratifican los ficheros de datos de carácter personal señalados en el Anexo I y se incluyen los señalados en el ANEXO II. Segundo. Medidas de seguridad: Los ficheros automatizados que por la presente ordenanza se ratifican y amplían, cumplen las medidas de seguridad establecidas en el Real Decreto 994/1999, de 11 de junio, por el que se aprueba el Reglamento de Medidas de Seguridad de los ficheros automatizados que contengan datos de carácter personal. Estas medidas se ampliaran y adaptarán en los plazos previstos en el Nuevo Reglamento de Desarrollo de la L.O.P.D. aprobado por el R.D 1720/2007 Tercero. Publicación: De conformidad con el articulo 97-b del Real Decreto 781/1986 se ordena que la presente Ordenanza sea publicada en el Boletín Oficial de la Comunidad de Madrid y en el Boletín General del Estado en el caso de los Ficheros del Instituto de La Vivienda de Fuenlabrada Cuarto. Entrada en vigor: La presente Ordenanza entrará en vigor al día siguiente de su publicación en el Boletín Oficial de la Comunidad de Madrid.