1. Normas para Empleados que Trabajan con Ficheros de Datos de Carácter Personal

Para garantizar la protección de los datos de carácter personal registrados en el Registro General de Protección de Datos, los empleados de una empresa deben cumplir las siguientes 11 reglas:

• Cada empleado debe conocer qué ficheros con datos de carácter personal maneja.
• Se requiere el consentimiento inequívoco del ciudadano para el tratamiento de sus datos.
• Quedan prohibidos los ficheros para uso estrictamente particular de los empleados.
• Se deberá comunicar el cese en la utilización de un determinado fichero.
• Cualquier modificación en la estructura o en la finalidad de los ficheros de Datos de Carácter Personal (DCP) deberá comunicarse al Departamento de Informática (DI) para su actualización en el Registro General de Protección de Datos (RGPD).
• Cuando se deje de utilizar un fichero, se deberá comunicar su supresión al RGPD.
• Queda prohibida la realización de copias de bases de datos o documentos que contengan DCP.
• Si es necesario realizar copias temporales, estas deben protegerse adecuadamente y borrarse lo antes posible.
• Los empleados deberían evitar la creación de sus propias copias de ficheros.
• No se podrán exportar directorios, archivos o documentos clasificados como confidenciales sin la autorización expresa del DI.
• Los empleados deben mantener estricto secreto sobre los datos personales a los que tienen acceso.

2. Veracidad de Afirmaciones sobre Protección de Datos

Indica si son verdaderas o falsas cada una de las siguientes afirmaciones:

• a. Cada departamento de la empresa tiene que tener actualizada una lista de usuarios que tienen permiso de acceso a cada uno de los ficheros con datos de carácter personal. Verdadero – Porque cada uno de ellos tiene una plantilla donde se especifican los usuarios que acceden.
• b. El empleado no es responsable de los daños y perjuicios que pudiera causar su falta de cumplimiento de las medidas de seguridad sobre los ficheros de datos de carácter personal. Falso – Porque sería responsable de sus actos.
• c. No se pueden subcontratar a otras empresas para el tratamiento de datos de carácter personal. Falso – Porque sí se pueden subcontratar a otras empresas para el tratamiento de datos personales, pero debe existir un contrato donde se especifique la finalidad de dicho tratamiento.

3. Normas de Utilización de Equipos y Servicios Informáticos

Cita las 9 normas relacionadas con la utilización de equipos y servicios informáticos en las empresas que utilicen ficheros con datos de carácter personal registrados en el Registro General de Protección de Datos:

1. Los equipos informáticos de la empresa solo podrán ser utilizados para los fines y servicios previstos por esta.
2. Cada empleado se deberá responsabilizar de la seguridad en la utilización de su equipo.
3. Se deberá dejar el equipo bloqueado con contraseña al ausentarse.
4. Se tendrán que cancelar todas las sesiones activas y conexiones con los servidores antes de terminar la jornada de trabajo.
5. Los equipos no podrán ser sacados al exterior sin la correspondiente autorización y deben transportarse en una bolsa acondicionada.
6. Se debe evitar que otros usuarios puedan visualizar datos en las pantallas de su equipo.
7. Cada usuario será informado de las tareas de monitorización y vigilancia del sistema.
8. Se limitará el acceso a Internet solamente a fines profesionales y se prohíbe la visita de páginas de contenido ajeno a la actividad de la organización o la descarga de ficheros digitales.

4. Normas de Configuración y Mantenimiento de Equipos

A continuación, se detallan las 4 normas de configuración y mantenimiento de los equipos:

• Los empleados solo podrán utilizar las herramientas corporativas, quedando prohibida la instalación de otro tipo de software.
• No se podrán cambiar las configuraciones preestablecidas.
• En caso de un fallo en el equipo, se deberá comunicar al DI para que el problema pueda ser solucionado.
• Las pruebas anteriores a la implantación o modificación de las aplicaciones y sistemas informáticos que traten ficheros con DCP no se realizarán con datos reales.

5. Normas de Gestión de Contraseñas y Permisos de Acceso

Estas son las 3 normas para la gestión de contraseñas y permisos de acceso:

• Cada empleado utilizará siempre su contraseña o usuario personal.
• Los empleados deberán conservar de forma segura sus contraseñas.
• Si el usuario detectase más privilegios de acceso de los que le corresponden, deberá ponerlo en conocimiento del DI.

6. Normas de Copias de Seguridad de los Datos

Las 3 normas relativas a las copias de seguridad de los datos son:

• El DI se encargará de realizar copias de seguridad diarias de todos los documentos y ficheros de datos de carácter personal.
• Los soportes utilizados para realizar las copias de seguridad estarán debidamente protegidos para impedir que puedan ser dañados.
• Las restauraciones que afecten a ficheros con datos de carácter personal solo podrán realizarse con la correspondiente autorización de seguridad.

7. Incidencia de Seguridad en Ficheros de Datos Personales

¿A qué se llama incidencia de seguridad que pueda afectar a los ficheros con datos de carácter personal?

Se denomina incidencia de seguridad a cualquier anomalía que afecte o pudiera afectar a la seguridad de los datos.

8. Gestión de Soportes Informáticos

a. Inventario de Soportes

• Los soportes deben estar debidamente etiquetados.
• La empresa tiene que tener un inventario actualizado de todos los soportes.

b. Utilización y Conservación de los Soportes

• No se introducirá ningún soporte sin antes haber comprobado si está dañado o si contiene virus.
• Los soportes tendrán que almacenarse de forma segura.
• Solo el personal autorizado podrá tener acceso a los datos de carácter personal contenidos en ellos.

c. Entradas y Salidas de los Soportes

• La salida de soportes que contengan DCP deberá ser autorizada expresamente por el DI. Esta autorización se dará por escrito.
• Cuando los soportes vayan a salir al exterior, deberán adoptarse las medidas necesarias para impedir cualquier recuperación de la información almacenada en ellos.
• Es necesario mantener un registro de todas las entradas y salidas de soportes informáticos que contengan DCP, especialmente cuando estos ficheros correspondan a nivel medio o nivel alto de seguridad.

9. Medidas de Seguridad de Nivel Alto para Ficheros de Datos

Comenta si son Verdaderas o Falsas las siguientes medidas de seguridad de nivel alto para los ficheros de datos:

• a. La distribución de soportes que contengan ficheros de nivel de seguridad alto se hará cifrando el contenido. Verdadero
• b. En cambio, cuando se transmitan a través de redes de telecomunicaciones no será necesario cifrarlos. Verdadero
• c. En el registro de cada acceso a estos ficheros de nivel de seguridad alto se indicará el nombre, el apellido y el número de móvil del usuario que ha accedido a los datos. Falso
• d. El responsable de seguridad se encargará de revisar periódicamente la información de control registrada. Falso
• e. La empresa mantendrá una copia de seguridad de estos ficheros en el mismo lugar en el que se encuentran los equipos informáticos que los tratan. Falso

10. Medidas para Datos de Carácter Personal en Soporte Papel

¿Qué 5 medidas dice la Agencia de Protección de Datos sobre las medidas que se tienen que implantar a los datos de carácter personal que se encuentren en soporte PAPEL?

1. Los documentos siempre serán guardados en un cuarto o en un armario cerrado bajo llave.
2. La persona que tenga acceso a estos documentos deberá responsabilizarse de su custodia y protección.
3. Los documentos que ya no tengan que ser conservados por la empresa deberán ser destruidos de forma segura o procediendo a la incineración.
4. Se habilitará un registro de entradas y de salidas de documentos que contengan datos de carácter personal.
5. Para los ficheros de datos de nivel alto, se habilitará un registro de accesos en el que se anotará la identidad del usuario.

11. Derechos de los Ciudadanos sobre Datos de Carácter Personal

a. Derecho a la Información sobre la Recogida de Datos de Carácter Personal

• Los ciudadanos a los que se soliciten datos personales deben ser previamente informados de modo expreso.
• Se podría utilizar una cláusula para informar y solicitar el consentimiento para el tratamiento de los datos de carácter personal de los interesados.

b. Derecho al Acceso a los Datos de Carácter Personal

• Cada ciudadano tiene derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento.
• La empresa se compromete a responder por escrito a los ciudadanos que ejerzan su derecho de acceso, en un plazo máximo de 30 días.

c. Derecho a la Rectificación y a la Cancelación de los Datos de Carácter Personal

• La empresa tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en un plazo de 10 días.

d. Derecho a Oponerse al Tratamiento de los Datos de Carácter Personal

• No se requiere el consentimiento del afectado para realizar el tratamiento en el marco de un contrato o precontrato, de una relación negocial, laboral o administrativa, siempre que los datos de carácter personal sean necesarios para su mantenimiento o cumplimiento.