Sector público y órganos jurisdiccionales

Conducta

Cualquier infracción cometida por una entidad del sector público, un órgano jurisdiccional o el resto de sujetos que enumera el artículo 77.1 de la Ley Orgánica 3/2018, que es donde cae prácticamente todo el universo de esta ley.

Importe

Sin multa. La autoridad dicta resolución declarando la infracción y estableciendo las medidas que procedan para que cese la conducta o se corrijan sus efectos, propone la iniciación de actuaciones disciplinarias cuando haya indicios suficientes y, cuando la infracción sea imputable a autoridades y directivos y se acredite que había informes técnicos o recomendaciones desatendidos, incluye una amonestación con el nombre del cargo responsable y ordena su publicación en el boletín oficial que corresponda.

Art. 62.1 · art. 77 de la Ley Orgánica 3/2018

Muy grave

Conducta

Infracción muy grave cometida por un sujeto distinto de los del artículo 77.1 de la Ley Orgánica 3/2018. En materia de seguridad entran aquí el acceso, cesión, alteración o divulgación de datos al margen de los supuestos autorizados, y la falta de notificación a la autoridad o de comunicación al interesado de una violación de la seguridad cuando de ello se deriven perjuicios muy graves.

Importe

Multa de 360.001 a 1.000.000 euros

Art. 62.2.a) · art. 58.b) y 58.l)

Grave

Conducta

Infracción grave cometida por un sujeto distinto de los del artículo 77.1 de la Ley Orgánica 3/2018. En materia de seguridad entran aquí la ausencia de medidas técnicas y organizativas apropiadas, el incumplimiento de la llevanza del registro de actividades o del registro de operaciones con perjuicio grave, el incumplimiento de la evaluación de impacto y el tratamiento sin consulta previa cuando era preceptiva.

Importe

Multa de 60.001 a 360.000 euros

Art. 62.2.b) · art. 59.f), 59.h), 59.l) y 59.m)

Leve

Conducta

Infracción leve cometida por un sujeto distinto de los del artículo 77.1 de la Ley Orgánica 3/2018. En materia de seguridad entran aquí la insuficiencia de las medidas implantadas con afectación leve de derechos, los registros que no incorporen toda la información exigida y la notificación incompleta o defectuosa de una violación de la seguridad.

Importe

Multa de 6.000 a 60.000 euros

Art. 62.2.c) · art. 60.a), 60.d) y 60.h)

Este régimen no es el de notificación de incidentes de ciberseguridad. La notificación va a la autoridad de protección de datos, no a un equipo de respuesta a incidentes, y lo que dispara el reloj es la afectación a datos personales, no la indisponibilidad de un servicio. Una misma autoridad puede tener encima otros relojes por sus propias normas sectoriales, y un mismo suceso puede exigir comunicaciones distintas a destinatarios distintos.

Violación de la seguridad de los datos personales que el responsable del tratamiento debe notificar a la autoridad de protección de datos competente, salvo que sea improbable que constituya un peligro para los derechos y libertades de las personas físicas.

Plazo

72 horas; pasado el plazo, la notificación debe ir acompañada de los motivos de la dilación

Desde cuándo corre

El momento en que el responsable tiene constancia de la violación. No es el momento en que se produce ni el momento en que se cierra la investigación interna.

Art. 38.1

Violación de la seguridad de la que tenga conocimiento el encargado del tratamiento, que debe comunicarla al responsable.

Plazo

Sin dilación indebida, sin plazo numérico

Desde cuándo corre

El conocimiento por parte del encargado. Es el eslabón que hace posible el plazo de 72 horas del responsable, porque este no puede notificar lo que no le han contado.

Art. 38.2

Violación de la seguridad respecto de la que existan indicios de que supondría un alto riesgo para los derechos y libertades de las personas físicas, que se comunica al interesado.

Plazo

Sin dilación indebida, sin plazo numérico

Desde cuándo corre

La existencia de indicios de alto riesgo. La comunicación puede aplazarse, limitarse u omitirse por los mismos motivos que restringen los derechos del interesado en el artículo 24.

Art. 39.1 y 39.5

Violación que afecte a datos transmitidos por el responsable a otro Estado miembro de la Unión Europea, o transmitidos a él desde otro Estado miembro.

Plazo

Sin dilaciones indebidas

Desde cuándo corre

Que los datos afectados procedan de otro Estado miembro o hayan sido enviados a él. Lo que se traslada es el mismo contenido que la notificación a la autoridad.

Art. 38.6 y 38.7

Autoridad de protección de datos competente

Cuándo

En el plazo de 72 horas desde que se tiene constancia de la violación

En España

La Agencia Española de Protección de Datos, y las autoridades autonómicas de protección de datos respecto de los tratamientos de los que sean responsables en su ámbito de competencia […] Para los tratamientos con fines jurisdiccionales el interlocutor es distinto: la Dirección de Supervisión y Control de Protección de Datos del Consejo General del Poder Judicial o la Unidad de Supervisión y Control de Protección de Datos de la Fiscalía General del Estado.

Agencia Española de Protección de Datos ↗

Art. 38.1

Interesado afectado

Cuándo

Sin dilación indebida cuando haya indicios de alto riesgo para sus derechos y libertades

En España

La comunicación se hace en lenguaje claro, sencillo y accesible conforme a las circunstancias y capacidades de la persona. Decae si los datos eran ininteligibles para quien no estuviera autorizado, por ejemplo por estar cifrados, o si se han tomado medidas posteriores que impidan que el alto riesgo se materialice. Cuando comunicar suponga un esfuerzo desproporcionado se publica en el boletín oficial correspondiente, en la sede electrónica del responsable o en otro canal oficial efectivo.

Art. 39.1

Responsable del tratamiento de otro Estado miembro

Cuándo

Cuando la violación afecte a datos transmitidos por él o a él

En España

Es comunicación entre responsables, no entre autoridades de control, y traslada el mismo contenido del apartado 3: naturaleza de la violación, contacto del delegado de protección de datos, consecuencias posibles y medidas adoptadas.

Art. 38.6

Fuerzas y Cuerpos de Seguridad

Primera de las autoridades competentes que la ley nombra, sin distinguir por nivel de administración. Que la expresión alcanza a los cuerpos autonómicos y a los locales lo confirma la propia ley al repartir entre sus autoridades la autorización de la videovigilancia móvil (art. 4.1.a) y art. 17.1)

Administraciones penitenciarias

Autoridad competente por el fin de ejecución de sanciones penales. La misma ley introduce un artículo 15 bis en la Ley Orgánica General Penitenciaria que somete a esta norma el tratamiento de los datos de los internos (art. 4.1.b) y disposición final primera)

Vigilancia Aduanera y unidades financieras

La Dirección Adjunta de Vigilancia Aduanera de la Agencia Estatal de Administración Tributaria, el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias y la Comisión de Vigilancia de Actividades de Financiación del Terrorismo (art. 4.1.c), d y e)

Jueces penales y Ministerio Fiscal

Son autoridades competentes y su tratamiento se rige por esta ley, pero las autoridades de protección de datos del capítulo VI no son competentes para controlar esas operaciones (art. 4.2 y art. 2.2)

Encargado del tratamiento

Puede ser persona física o jurídica, de naturaleza privada o pública. El responsable solo puede recurrir a quien ofrezca garantías suficientes de medidas técnicas y organizativas apropiadas, y la relación se documenta con contenido tasado (art. 30)

Delegado de protección de datos

Designación obligatoria en todo caso, sin umbral de tamaño ni de volumen, con independencia garantizada, acceso a datos y procesos, y deber de comunicar de inmediato a la dirección cualquier vulneración relevante (art. 40, art. 41)

Autoridades de protección de datos

La Agencia Española de Protección de Datos y las autonómicas respecto de los tratamientos de los que sean responsables en su ámbito. Reciben las notificaciones de violaciones, pueden exigir los registros y ejercen la potestad sancionadora (art. 48, art. 49 y art. 50)

Deber de colaboración

Cualquier administración o persona, física o jurídica, debe entregar los datos, informes, antecedentes y justificantes que le pidan de forma motivada, concreta y específica las autoridades competentes, y no puede informar al interesado de esa entrega (art. 7)

Exclusiones

Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales

Identificador

BOE-A-2021-8806

Fuente

BOE · Texto consolidado · Agencia Estatal Boletín Oficial del Estado

Ciberseguridad

El objeto de la ley es la protección de datos, no la ciberseguridad, y buena parte de su articulado trata de principios, derechos del interesado, videovigilancia policial y transferencias internacionales. Lo que le da este peso es la sección segunda del capítulo IV y el artículo que la precede. El artículo 37 hace dos cosas a la vez: importa el Esquema Nacional de Seguridad entero para estos tratamientos y añade encima diez controles con nombre propio que no se gradúan por categoría del sistema ni por nivel de dimensión, sino que se exigen tal cual. El artículo 33 obliga a registrar seis tipos de operación sobre el dato, y de la consulta y la comunicación exige guardar la justificación, la fecha, la hora, quién y a quién. Es el punto del derecho español donde con más claridad se exige poder reconstruir quién miró un dato policial y por qué. Lo que impide subir el nivel es que el resto de la norma no es de seguridad y que el obligado es la administración, no el mercado.

Valoración del curador · nivel 4 de 5

Medidas técnicas y organizativas apropiadas, revisadas y actualizadas Ciber parcial

Aplicar medidas técnicas y organizativas apropiadas atendiendo a la naturaleza, el ámbito, el contexto y los fines del tratamiento y a los niveles de riesgo para los derechos y libertades, y revisarlas y actualizarlas cuando resulte necesario. Entre ellas se incluyen las políticas de protección de datos cuando sean proporcionadas a las actividades de tratamiento. La ley añade responsabilidad proactiva: no basta con cumplir, hay que estar en condiciones de demostrarlo.

Literal de la norma El responsable del tratamiento, tomando en consideración la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los niveles de riesgo para los derechos y libertades de las personas físicas, aplicará las medidas técnicas y organizativas apropiadas para garantizar que el tratamiento se lleve a cabo de acuerdo con esta Ley Orgánica y con lo previsto en la legislación sectorial y en sus normas de desarrollo. Tales medidas se revisarán y actualizarán cuando resulte necesario.

Art. 27 · art. 6.1.f) y 6.5

Protección de datos desde el diseño y por defecto Ciber parcial

Aplicar las medidas técnicas y organizativas apropiadas al determinar los medios del tratamiento y también durante el tratamiento, conforme al estado de la técnica y al coste de aplicación. Garantizar además que por defecto solo se traten los datos necesarios para cada fin específico, lo que alcanza a la cantidad recogida, a la extensión del tratamiento, al periodo de conservación y a la accesibilidad.

Literal de la norma Tales medidas garantizarán que, por defecto, los datos personales no sean accesibles a un número indeterminado de personas sin intervención humana.

Art. 28

Garantías suficientes del encargado y contenido tasado del contrato Ciber parcial

Recurrir únicamente a encargados que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, y documentar la relación en un contrato, convenio u otro instrumento jurídico por escrito que fije objeto, duración, naturaleza, finalidad, tipo de datos y categorías de interesados. El instrumento tiene que estipular seis deberes del encargado, del trabajo solo bajo instrucciones a la puesta a disposición de toda la información necesaria para demostrar el cumplimiento. El encargado que determine por su cuenta fines y medios pasa a ser considerado responsable.

Literal de la norma El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito del responsable del tratamiento. El encargado informará siempre al responsable de cualquier cambio previsto referido a la adición o sustitución de otros encargados, pudiendo el responsable oponerse a dichos cambios.

Art. 30

Registro de actividades de tratamiento, público y con las medidas de seguridad descritas Ciber parcial

Conservar un registro de todas las actividades de tratamiento, con nueve datos tasados para el responsable y cuatro para el encargado, entre ellos la base jurídica, los plazos de supresión, el recurso a la elaboración de perfiles y la descripción general de las medidas de seguridad. El registro se lleva por escrito, incluido formato electrónico, queda a disposición de la autoridad de protección de datos cuando lo pida, y el del responsable se publica y es accesible por medios electrónicos.

Literal de la norma Los responsables de los tratamientos harán público el registro de sus actividades de tratamiento, accesible por medios electrónicos, en el que constará la información a la que se refiere el apartado 1.

Art. 32

Revisión trienal de la necesidad de conservar y tope de veinte años

Conservar los datos solo el tiempo necesario para los fines penales de la ley, y revisar como máximo cada tres años la necesidad de conservar, limitar o suprimir el conjunto de datos de cada actividad de tratamiento, atendiendo a la edad del afectado, al carácter de los datos y a la conclusión de la investigación o del proceso. La revisión se hace mediante tratamiento automatizado si es posible. El plazo máximo general de supresión es de veinte años, salvo circunstancias motivadas como investigaciones abiertas, delitos no prescritos, penas en ejecución, reincidencia o protección de víctimas.

Art. 8

Aplicar al tratamiento las medidas del Esquema Nacional de Seguridad Ciber

Aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento y los niveles de riesgo, con atención especial a las categorías especiales de datos del artículo 13. Y encima de eso, una frase que cambia el peso del artículo entero: hay que aplicar a estos tratamientos las medidas incluidas en el Esquema Nacional de Seguridad. La remisión no la trae la Directiva, es añadido español.

Literal de la norma El responsable y el encargado del tratamiento, teniendo en cuenta el estado de la técnica y los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los niveles de riesgo para los derechos y libertades de las personas físicas, aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado, especialmente en lo relativo al tratamiento de las categorías de datos personales a las que se refiere el artículo 13. En particular, deberán aplicar a los tratamientos de datos personales las medidas incluidas en el Esquema Nacional de Seguridad.

Art. 37.1

Diez controles tasados sobre el tratamiento automatizado Ciber

Poner en práctica, a raíz de una evaluación de los riesgos, diez medidas de control que el texto nombra una a una: acceso a los equipamientos, soportes de datos, almacenamiento, usuarios, acceso a los datos, transmisión, introducción, transporte, restablecimiento, y fiabilidad e integridad. Cada una lleva su propósito escrito, y tres de ellas son de trazabilidad más que de barrera: verificar a qué organismos se han transmitido o pueden transmitirse los datos, constatar a posteriori qué datos se introdujeron, cuándo y quién los introdujo, y señalar los errores de funcionamiento. La lista es cerrada y no se gradúa por categoría del sistema.

Literal de la norma En el control de la introducción, garantizar que pueda verificarse y constatarse, a posteriori, qué datos personales se han introducido en los sistemas de tratamiento automatizado, en qué momento y quién los ha introducido.

Art. 37.2

Registro de operaciones con justificación de cada consulta y cada comunicación Ciber

Mantener registros de al menos seis tipos de operación sobre sistemas automatizados: recogida, alteración, consulta, comunicación incluidas las transferencias, y combinación o supresión. De dos de ellas se exige más: los registros de consulta y comunicación tienen que permitir determinar la justificación, la fecha y la hora, y en la medida de lo posible el nombre de quien consultó o comunicó y la identidad de los destinatarios. El uso de esos registros está tasado: verificar la legalidad del tratamiento, controlar el cumplimiento de las medidas y las políticas, y garantizar la integridad y la seguridad de los datos en el ámbito de los procesos penales. Se ponen a disposición de la autoridad de protección de datos cuando esta lo pida.

Literal de la norma Los responsables y encargados del tratamiento deberán mantener registros de, al menos, las siguientes operaciones de tratamiento en sistemas de tratamiento automatizados: recogida, alteración, consulta, comunicación, incluidas las transferencias, y combinación o supresión. Los registros de consulta y comunicación harán posible determinar la justificación, la fecha y la hora de tales operaciones y, en la medida de lo posible, el nombre de la persona que consultó o comunicó los datos personales, así como la identidad de los destinatarios de dichos datos personales.

Art. 33

Evaluación de impacto previa en tratamientos de alto riesgo Ciber parcial

Realizar con carácter previo una evaluación del impacto cuando sea probable que un tipo de tratamiento, en particular si usa nuevas tecnologías, suponga por su naturaleza, alcance, contexto o fines un alto riesgo para los derechos y libertades. El contenido mínimo está tasado: descripción general de las operaciones previstas, evaluación de riesgos, medidas para hacerles frente, y medidas de seguridad y mecanismos para garantizar la protección de los datos y demostrar la conformidad. Las listas de tratamientos sujetos y no sujetos que publiquen las autoridades son meramente orientativas, así que la decisión sigue siendo del responsable.

Literal de la norma La evaluación incluirá, como mínimo, una descripción general de las operaciones de tratamiento previstas, una evaluación de riesgos para los derechos y libertades de los interesados, las medidas contempladas para hacer frente a estos peligros, así como las medidas de seguridad y mecanismos destinados a garantizar la protección de los datos personales y a demostrar su conformidad con esta Ley Orgánica.

Art. 35

Consulta previa a la autoridad antes de crear un fichero de alto riesgo Ciber parcial

Consultar a la autoridad de protección de datos antes de tratar datos que vayan a formar parte de un nuevo fichero cuando la evaluación de impacto indique alto riesgo por falta de medidas mitigadoras, o cuando el tipo de tratamiento pueda generar alto riesgo, en particular por usar tecnologías, mecanismos o procedimientos nuevos. Hay que facilitar la evaluación de impacto y cuanta información adicional se pida. La autoridad asesora por escrito en seis semanas prorrogables un mes, y el silencio no vale como aprobación: la ley dice que no opera la presunción del carácter favorable.

Literal de la norma En caso de no contestar a la consulta en el plazo previsto, no operará la presunción del carácter favorable del mismo.

Art. 36

Notificar la violación de seguridad a la autoridad en 72 horas Ciber

Notificar a la autoridad de protección de datos competente cualquier violación de la seguridad de los datos personales dentro de las setenta y dos horas siguientes al momento en que se tuvo constancia, y si se notifica después, acompañar los motivos de la dilación. Solo se exime cuando sea improbable que la violación constituya un peligro para los derechos y libertades. El contenido mínimo son cuatro puntos: naturaleza de la violación con categorías y número aproximado de afectados y de registros, contacto del delegado de protección de datos, consecuencias posibles y medidas adoptadas o propuestas. Si no puede darse todo a la vez, se facilita de forma progresiva. El encargado avisa al responsable sin dilación indebida, y cuando hay datos de otro Estado miembro implicados, la misma información se traslada a su responsable.

Literal de la norma La notificación deberá realizarse en el plazo de las setenta y dos horas siguientes al momento en que se haya tenido constancia de ella. En caso contrario, deberá ir acompañada de los motivos de la dilación.

Art. 38.1, 38.2, 38.3 y 38.6

Documentar toda violación de seguridad, se notifique o no Ciber

Documentar cualquier violación de la seguridad de los datos personales, incluidos los hechos relativos a ella, sus efectos y las medidas correctivas adoptadas. La obligación no está condicionada a que la violación se haya notificado: alcanza también a las que se consideraron improbables generadoras de peligro, y es lo que permite a la autoridad verificar después si esa valoración fue correcta.

Literal de la norma El responsable del tratamiento documentará cualquier violación de la seguridad de los datos personales, incluidos los hechos relativos a dicha violación, sus efectos y las medidas correctivas adoptadas. Dicha documentación estará a disposición de la autoridad de protección de datos competente al objeto de verificar el cumplimiento de lo dispuesto en este artículo.

Art. 38.5

Comunicar al interesado la violación de alto riesgo Ciber

Comunicar al interesado sin dilación indebida la violación de la seguridad cuando existan indicios de que supondría un alto riesgo para sus derechos y libertades, en lenguaje claro, sencillo y accesible conforme a sus circunstancias y capacidades. La comunicación decae en tres supuestos: que se hubieran aplicado antes medidas de protección que hicieran los datos ininteligibles para quien no estuviera autorizado, como el cifrado; que se hayan tomado medidas posteriores que impidan que el alto riesgo se materialice; o que comunicar suponga esfuerzo desproporcionado, en cuyo caso se publica en un canal oficial. La autoridad puede exigir la comunicación si el responsable no la hizo.

Literal de la norma Que el responsable del tratamiento haya adoptado medidas apropiadas de protección técnica y organizativa y dichas medidas se hayan aplicado a los datos personales afectados por la violación de la seguridad antes de la misma, en particular, aquellas que hagan ininteligibles los datos personales para cualquier persona que no esté autorizada a acceder a ellos, como en el caso del cifrado.

Art. 39

Designar delegado de protección de datos en todo caso Ciber parcial

Designar un delegado de protección de datos en todo caso, sin umbral de tamaño ni de volumen de tratamiento. Solo quedan exentos los órganos jurisdiccionales y el Ministerio Fiscal cuando el tratamiento se realiza en el ejercicio de funciones jurisdiccionales. La designación atiende a cualidades profesionales, conocimientos especializados en legislación, experiencia en protección de datos y capacidad para las funciones del artículo 42. Puede designarse uno solo para varias autoridades competentes. Los datos de contacto se publican y la designación y el cese se comunican a la autoridad en diez días.

Literal de la norma Los responsables del tratamiento designarán, en todo caso, un delegado de protección de datos.

Art. 40

Posición, independencia y funciones del delegado Ciber parcial

Garantizar que el delegado participe adecuada y oportunamente en todas las cuestiones de protección de datos, mantenga sus conocimientos, cuente con recursos y acceda a los datos y a las operaciones de tratamiento. Ningún deber de confidencialidad o secreto puede oponerse a ese acceso. No puede ser removido ni sancionado por desempeñar sus funciones salvo dolo o negligencia grave, y su independencia dentro de la organización está garantizada. Cuando aprecie una vulneración relevante debe documentarla y comunicarla inmediatamente a los órganos de dirección. Sus funciones tasadas son cinco: informar y asesorar, supervisar el cumplimiento incluidas responsabilidades, formación y auditorías, asesorar sobre la evaluación de impacto y supervisar su realización, cooperar con la autoridad y actuar como punto de contacto de esta.

Literal de la norma Cuando el delegado de protección de datos aprecie la existencia de una vulneración relevante en materia de protección de datos lo documentará y lo comunicará inmediatamente a los órganos de dirección del responsable o del encargado del tratamiento.

Art. 41 · art. 42

Documentar cada transferencia internacional con fecha, hora, destinatario y justificación Ciber parcial

Documentar las transferencias que se apoyen en garantías apropiadas evaluadas por el propio responsable, las que se amparen en las excepciones para situaciones específicas y las transferencias directas a destinatarios que no sean autoridades competentes. La documentación queda a disposición de la autoridad de protección de datos previa solicitud e incluye fecha, hora de la transferencia, información sobre la autoridad competente destinataria, justificación de la transferencia y datos personales transferidos. En el caso de las garantías apropiadas evaluadas por el responsable hay además que informar a la autoridad de las categorías de transferencias.

Literal de la norma La documentación se pondrá a disposición de la autoridad de protección de datos competente, previa solicitud, con inclusión de la siguiente información: fecha, hora de la transferencia, información sobre la autoridad competente destinataria, justificación de la transferencia y datos personales transferidos.

Art. 45.3 · art. 46.3 · art. 47.3

Cooperar con la autoridad de protección de datos cuando lo solicite

Cooperar con la autoridad de protección de datos competente, en el marco de la legislación vigente, cuando esta lo solicite en el desempeño de sus funciones. Es la obligación que sostiene la puesta a disposición de los registros del artículo 32, del registro de operaciones del artículo 33 y de la documentación de violaciones y de transferencias, y su incumplimiento escala: la resistencia u obstrucción de la función inspectora es infracción muy grave.

Literal de la norma El responsable y el encargado del tratamiento cooperarán con la autoridad de protección de datos competente, en el marco de la legislación vigente, cuando esta lo solicite en el desempeño de sus funciones.

Art. 34

Cuerpo normativo de seguridad Compartida

El cuerpo normativo de seguridad: qué se protege, quién decide y contra qué criterios se mide todo lo demás, escrito, comunicado a quien tiene que cumplirlo y vivo.

Art. 27.2 · art. 37.1 · categorización del curador, no de la norma

Clasificación y declaración de aplicabilidad Compartida

Definir contra qué se evalúa la organización: qué sistemas entran en el alcance y qué controles aplican, por escrito y de forma defendible. Este documento es la referencia contra la que se contrastan la auditoría y las obligaciones del proveedor.

Art. 32.1.i) y 32.4 · categorización del curador, no de la norma

Gestión de riesgos de seguridad Compartida

Conocer a qué está expuesto el negocio y decidir qué se acepta y qué se trata: el proceso de gestión de riesgos determina las prioridades del resto de iniciativas.

Art. 27.1 · art. 35 · art. 36 · art. 37.2, encabezado · categorización del curador, no de la norma

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Art. 37.2.d) y e) · art. 28.2 · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Art. 33 · art. 37.2.f) y g) · categorización del curador, no de la norma

Criptografía y protección del dato Compartida

Protección del dato en reposo y en tránsito mediante cifrado, gobernada por decisiones documentadas sobre qué se cifra, con qué algoritmos y cómo se custodian las claves.

Art. 37.2.h) · art. 39.3.a) · categorización del curador, no de la norma

Copias de seguridad y recuperación Compartida

Un esquema de copias de seguridad orientado a la recuperación: qué se copia, con qué frecuencia y en cuánto tiempo se restaura, verificado mediante pruebas de restauración periódicas.

Art. 37.2.i) · art. 37.1 · categorización del curador, no de la norma

Integridad del dato frente a manipulación Compartida

Controles que impiden que el dato se falsifique, se sustraiga, se altere o se elimine sin autorización, y que permiten demostrarlo después: su objetivo es poder acreditar que el dato no ha sido alterado.

Art. 37.2.j) · art. 37.2.c) · categorización del curador, no de la norma

Seguridad física y del entorno Compartida

Protección del espacio físico donde operan los sistemas, un plano que las medidas lógicas no cubren.

Art. 37.2.a), b) y h) · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Art. 38.1 y 38.3 · art. 39.1 y 39.3 · categorización del curador, no de la norma

Capacidad de respuesta a incidentes Compartida

La capacidad de gestionar un incidente de seguridad de principio a fin, desde la detección del primer indicio hasta la recuperación de la operación normal.

Art. 38.1 y 38.5 · categorización del curador, no de la norma

Gobierno de la ciberseguridad Compartida

Llevar la ciberseguridad al órgano de gobierno: que la seguridad tenga dueño con autoridad, atención regular de la dirección y rastro documental de lo que se decide.

Art. 40.1 · art. 41.1, 41.2 y 41.4 · art. 6.5 · categorización del curador, no de la norma

Gestión de riesgos de terceros (TPRM) Compartida

Gobernar el riesgo que entra por los proveedores: el riesgo del proveedor es riesgo propio, la cadena no termina en quien firma el contrato, y la relación completa, desde la selección hasta la terminación, se gestiona con la seguridad integrada.

Art. 30.1, 30.2 y 30.3 · categorización del curador, no de la norma

Seguridad ligada al personal Compartida

La seguridad dentro del ciclo de vida del empleado: comprobaciones al contratar donde proceda, deberes claros durante la relación y salida ordenada.

Art. 30.3.b) · art. 31 · categorización del curador, no de la norma

Programa de concienciación y formación Compartida

Un programa de concienciación y formación con contenido, calendario y evaluación de resultados, que incorpore a la plantilla a la defensa en lugar de dejarla como el vector de entrada más accesible.

Art. 42.b) · categorización del curador, no de la norma

Autoridad competente

Toda autoridad pública con competencias legalmente encomendadas para tratar datos personales con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales, de ejecución de sanciones penales o de protección frente a amenazas contra la seguridad pública. La ley enumera cinco por su nombre y deja la definición abierta: Fuerzas y Cuerpos de Seguridad, Administraciones penitenciarias, la Dirección Adjunta de Vigilancia Aduanera, el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales y la Comisión de Vigilancia de Actividades de Financiación del Terrorismo.

Literal de la norma Será autoridad competente, a los efectos de esta Ley Orgánica, toda autoridad pública que tenga competencias encomendadas legalmente para el tratamiento de datos personales con alguno de los fines previstos en el artículo 1.

Art. 4.1

Responsable del tratamiento

La autoridad competente que determina los fines y los medios del tratamiento. Es quien carga con casi todo lo que documenta esta ficha: las medidas de seguridad, el registro de actividades, la evaluación de impacto, la notificación de violaciones y la designación del delegado de protección de datos. La ley le impone además responsabilidad proactiva: tiene que garantizar el cumplimiento y estar en condiciones de demostrarlo.

Literal de la norma «responsable del tratamiento» o «responsable»: la autoridad competente que sola o conjuntamente con otras, determine los fines y medios del tratamiento de datos personales […]

Art. 5.g) · art. 6.5 · art. 27

Encargado del tratamiento

Quien trata los datos por cuenta del responsable. Es la única figura del esquema que puede ser privada, y la ley lo dice expresamente. Su entrada está condicionada: el responsable solo puede recurrir a encargados que ofrezcan garantías suficientes de medidas técnicas y organizativas apropiadas, la relación se documenta en un instrumento jurídico con contenido tasado y no puede subcontratar sin autorización previa por escrito. Comparte con el responsable el registro de operaciones y las medidas de seguridad, y responde por su cuenta ante el régimen sancionador.

Literal de la norma «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.

Art. 5.h) · art. 30 · art. 56.2.b)

Delegado de protección de datos

Figura obligatoria sin excepción de tamaño ni de volumen: la ley dice «en todo caso». Solo quedan fuera los órganos jurisdiccionales y el Ministerio Fiscal cuando el tratamiento se realiza en el ejercicio de funciones jurisdiccionales. No es un papel decorativo dentro del esquema de seguridad: supervisa la asignación de responsabilidades, la concienciación y formación del personal y las auditorías, tiene acceso a los datos y a los procesos sin que ningún deber de confidencialidad pueda oponerse, y cuando aprecia una vulneración relevante debe documentarla y comunicarla de inmediato a los órganos de dirección. Queda excluido del régimen sancionador.

Literal de la norma Los responsables del tratamiento designarán, en todo caso, un delegado de protección de datos. No estarán obligados a designarlo los órganos jurisdiccionales o el Ministerio Fiscal cuando el tratamiento de datos personales se realice en el ejercicio de sus funciones jurisdiccionales.

Art. 40.1 · art. 41 · art. 42 · art. 56.3

Autoridad de protección de datos

La Agencia Española de Protección de Datos y las autoridades autonómicas, estas últimas solo respecto de los tratamientos de los que sean responsables en su ámbito de competencia. Reciben la notificación de las violaciones de seguridad, pueden reclamar los registros de operaciones y la documentación de las transferencias, resuelven la consulta previa en seis semanas prorrogables un mes y ejercen la potestad sancionadora. Su competencia tiene un hueco: no alcanza a las operaciones de tratamiento con fines jurisdiccionales.

Literal de la norma A los efectos de esta Ley Orgánica son autoridades de protección de datos independientes: a) La Agencia Española de Protección de Datos. b) Las autoridades autonómicas de protección de datos, exclusivamente en relación a aquellos tratamientos de los que sean responsables en su ámbito de competencia.

Art. 48 · art. 49 · art. 50

Autoridad judicial y Ministerio Fiscal

Los órganos del orden jurisdiccional penal y el Ministerio Fiscal son autoridades competentes a efectos de esta ley, y el tratamiento que hacen al tramitar sus procesos se rige por ella. Lo que cambia es quién los supervisa: las autoridades del capítulo VI no son competentes sobre esas operaciones. La supervisión con fines jurisdiccionales corresponde a la Dirección de Supervisión y Control de Protección de Datos del Consejo General del Poder Judicial y a la Unidad de Supervisión y Control de Protección de Datos de la Fiscalía General del Estado, dos órganos que esta misma ley crea en sus disposiciones finales.

Literal de la norma También tendrán consideración de autoridades competentes las Autoridades judiciales del orden jurisdiccional penal y el Ministerio Fiscal.

Art. 4.2 · art. 2.2 · disposiciones finales segunda y tercera

Sujeto del deber de colaboración

Cualquier administración pública y cualquier persona física o jurídica a la que una autoridad competente pida datos, informes, antecedentes o justificantes necesarios para los fines penales de la ley. Es la puerta por la que una empresa entra en esta norma sin tratar datos policiales: no le aplican las medidas de seguridad del artículo 37, pero sí el régimen sancionador, porque la negativa a proporcionar la información es infracción muy grave y la falta de colaboración diligente, grave. Quien colabora tiene además prohibido informar al interesado de que ha entregado sus datos.

Literal de la norma En los restantes casos, las Administraciones públicas, así como cualquier persona física o jurídica, proporcionarán los datos, informes, antecedentes y justificantes a las autoridades competentes que los soliciten, siempre que estos sean necesarios para el desarrollo específico de sus misiones para la prevención, detección e investigación de infracciones penales y para la prevención y protección frente a un peligro real y grave para la seguridad pública.

Art. 7 · art. 56.2.d) · art. 58.j) · art. 59.j)