LOPD, PROBLEMÁTICA Y ACCIONES CORRECTIVAS

METODOLOGÍA Y ACCIONES CORRECTIVAS CONCLUSIONES CONTENIDO ESCENARIOS RETOS PLANTEADOS METODOLOGÍA Y ACCIONES CORRECTIVAS CONCLUSIONES

ESCENARIOS

ESCENARIOS ORGANIZACIONES PERSONAS TECNOLOGÍA EXIGENCIAS LEGALES Estructuras societarias complejas (HOLDING) Cambios societarios (adquisiciones, fusiones, fusiones por absorción, etc.) Cooperación entre Organizaciones Centralización de operaciones empresariales PERSONAS Sensibilidad con el uso que se hace de sus datos personales Conocimiento de sus derechos en cuanto al uso de los mismos TECNOLOGÍA Mayor implicación en los planes estratégicos de las Organizaciones EXIGENCIAS LEGALES LORTAD (92) RMS (99) LOPD (99)  Borrador RMS

RETOS PLANTEADOS

ALINEARSE CON LA NORMATIVA LEGAL VIGENTE RETOS PLANTEADOS ALINEARSE CON LA NORMATIVA LEGAL VIGENTE Concienciando Actuando con diligencia Obteniendo una instantánea de la situación real Reduciendo cuanto antes el riesgo Optimizando el conjunto de recursos destinados Clientes de GMV-SGI GMV-SGI Maximizando El uso de la excepción a la cesión de datos y al tránsito de datos entre países de la UE o con nivel de protección equiparable al de la LOPD Minimizando Ficheros a declarar Contratos a establecer entre sociedades

METODOLOGÍA Y ACCIONES CORRECTIVAS

METODOLOGÍAS Inscripción (Art. 25, 26) Auditoría (Art. 17) Identificación del mapa de ficheros Auditoría de estado LOPD Auditoría de medidas Identificación de líneas de acción Despliegue de líneas de acción Auditoría (Art. 17) Inscripción (Art. 25, 26) Información (Art. 5) Cesión de datos (Art. 7, 8, 11, 12, 27, 33) Medidas técnicas y organizativas (Art. 9, 10) Tratamiento (Art. 6, 7, 8) Procedimientos (Art. 15, 16, 17)

ACCIONES CORRECTIVAS (Legales) Directorio Activo (Sociedad Matriz y resto de sociedades) Problema: Consulta de datos de empleados desde cualquier sociedad del Holding (Art. 11)  CESIÓN DE DATOS Problema añadido: tránsito de datos internacionalmente (Art. 33) Acciones Correctivas: Contratos con personal Cláusula de Consentimiento: (Art. 6 y 11.2.c): tratamiento y cesión a cualquier sociedad del Holding (incluido el extranjero). Excepción al tránsito internacional (Art. 34.k) Declaración de un fichero por cada sociedad (Art. 25 y 26)

ACCIONES CORRECTIVAS (Legales) Consolidación de aplicativos financieros en ERP (Sociedad Matriz y resto de sociedades) Problema: Centralización de ficheros en el hosting de la Matriz Visibilidad de algunos datos de clientes y proveedores entre sociedades (Art. 11)  CESIÓN DE DATOS Problema añadido: Impacto en la imagen de la Organización al recabar el consentimiento de los interesados Acciones Correctivas Eliminar la visibilidad de las cabeceras Relación contractual entre la Matriz y resto sociedades (Art. 12): La Matriz es la encargada del tratamiento por cuenta del resto de sociedades (prestación de servicio de hosting) Declaración de un fichero por cada sociedad (Art. 25 y 26) Recomendar el recabo del consentimiento de cara al futuro

ACCIONES CORRECTIVAS (Técnicas) Procedimiento de disociación Transmisión de DCP de alto nivel para su tratamiento por terceros (estadísticas para prevención de enfermedades laborales) Cifrado de soportes y de telecomunicaciones Mecanismos de control de accesos (lógico y físico – CPD) Procedimientos Registro de incidencias cuando aplican a DCP Copias de respaldo para DCP y pruebas de verificación Ciclos de Vida de desarrollo y de infraestructuras Realización de pruebas (sanitización) Fases de reutilización o eliminación de soportes

CONCLUSIONES

CONCLUSIONES Concienciación de la obligatoriedad del cumplimiento Implicación de toda la Organización Hincapié en la función de Auditoría Implantación de SGSI Diversidad de escenarios Aplicar metodologías adecuadas para cada caso Priorización por riesgos Mínimo impacto Existencia de precedentes resolutivos para la búsqueda de acciones correctivas

Gracias Enrique Aristi Rodríguez División de Auditoría y Planificación de la Seguridad Email: earisti@gmv.com www.gmv.com