Modelo de pliego de prescripciones técnicas/administrativas para la contratación de auditorias.

Tamaño: px

Comenzar la demostración a partir de la página:

Download "Modelo de pliego de prescripciones técnicas/administrativas para la contratación de auditorias."

Carolina Ruiz Calderón
hace 6 años
Vistas:

1 Modelo de pliego de prescripciones técnicas/administrativas para la contratación de auditorias. PLIEGO DE PRESCRIPCIONES TÉCNICAS QUE REGIRÁN EL CONTRATO PARA LA REALIZACIÓN DE UNA AUDITORÍA SOBRE EL CUMPLIMIENTO DE LAS MEDIDAS DE SEGURIDAD REQUERIDAS POR EL REAL DECRETO 1720/2007, DE 21 DE DICIEMBRE, REGLAMENTO DE DESARROLLO DE LA LOPD. Primera. Objeto El objeto del presente contrato consiste en la realización de una auditoria de los procedimientos e instrucciones vigentes en materia de seguridad de datos personales, de conformidad con lo establecido en los artículos 96 y 100 del Real Decreto 1720/2007, de 21 de diciembre, Reglamento de desarrollo de la LOPD. Dicha auditoria habrá de verificar, respecto de los ficheros incluidos en el alcance del contrato, el grado de cumplimiento de las medidas de seguridad del nivel correspondiente establecidas en el citado Reglamento. Segundo. Alcance. Los ficheros de datos de carácter general que serán sometidos a la auditoria, cuyas características detalladas se describen en el anexo I, son los siguientes: Nombre de Fichero Código Descripción Nivel de seguridad El alcance de la auditoria es la revisión y verificación del grado de cumplimento de las medidas de seguridad en los centros de tratamiento, locales, otras instalaciones, equipos, sistemas, aplicaciones, programas, personas que intervengan en el tratamiento, comunicaciones e infraestructura tecnológica y organizativa de los sistemas de información, así como en las normas, procedimientos y estándares que afecten a los ficheros. En el anexo II se describen las características de los sistemas de información que se utilizan para el tratamiento de los datos personales, en el supuesto de tratamientos automatizados. Tercera. Enfoque. 235

2 Se deberán analizar y revisar los recursos mencionados en el alcance. El informe de auditoria deberá dictaminar sobre la adecuación de las medidas y controles, identificar sus deficiencias y proponer las medidas correctoras o complementarias necesarias. Deberá incluir los datos, hechos y observaciones en que se basen los dictámenes alcanzados y recomendaciones propuestas. Para ello el adjudicatario realizará las entrevistas con el personal que se determine y diseñará y realizará aquellas pruebas que considere oportunas para la evaluación de los controles existentes, permitiendo de este modo la emisión del dictamen de la auditoria. De forma regular, el adjudicatario informará al interlocutor o coordinador designado por la Administración contratante sobre el grado de desarrollo de la realización de estas pruebas y su alcance. Los resultados de las pruebas serán analizados puntualmente con el coordinador o interlocutor designado por el órgano u organismo responsable del fichero, así como con el responsable de seguridad de este último si fuera persona distinta, con el fin de establecer el alcance de las circunstancias puestas en evidencia por las pruebas realizadas. Cuarto. Documentación a entregar A la finalización del trabajo, el adjudicatario entregará a la Administración contratante, tanto en formato papel como en versión electrónica, la siguiente documentación: - Informe ejecutivo con las conclusiones de la auditoria (con una extensión máxima de 5 páginas). - Informe detallado de conclusiones de la auditoria, incluyendo en sus anexos descripción pormenorizada de las evidencias analizadas, hechos y observaciones en que se basen los dictámenes alcanzados, reuniones mantenidas, recomendaciones propuestas, y otros detalles del trabajo elaborado. - Documento-resumen para la comunicación de los resultados de la auditoria a la Agencia de Protección de Datos de la Comunidad de Madrid (ver anexo III). Quinto. Protección de datos de Carácter Personal El contratista, como encargado del tratamiento, tal y como se define en la letra g) del artículo 3 de ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal, declara expresamente que conoce quedar obligado al cumplimiento de lo dispuesto en la citada LOPD y especialmente en lo indicado en sus artículos 9, 10, 11 y 12, y adoptará las medidas de seguridad que le correspondan según el Real Decreto 1720/2007, de 21 de diciembre. El encargado del tratamiento se compromete explícitamente a formar e informar a su personal en las obligaciones que de tales 236

3 normas dimanan. La empresa adjudicataria y el personal encargado de la realización de las tareas guardaran secreto profesional sobre toda la información, documentos o datos a los que tengan acceso o de los que tengan conocimiento con ocasión de la oferta de colaboración o cumplimiento del contrato, incluso después de finalizar el plazo contractual, comprometiéndose a no hacer pública cualquier información o dato obtenidos o elaborados durante la ejecución del contrato. Los datos de carácter personal entregados (por el responsable o administración contratante) y utilizados (por el contratista o encargado del tratamiento): - Serán únicamente los precisos para la ejecución de la finalidad del contrato. - No podrán ser utilizados con finalidad distinta a la figure en estas prescripciones técnicas. - Deberán ser destruidos por el contratista o devueltos al responsable del fichero una vez finalizada la auditoria, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. En particular, si el contratista aporta equipos informáticos, una vez finalizadas las tareas de auditoria reflejadas en el presente contrato, deberá borrar de los mismos toda la información utilizada o que se derive del cumplimiento del contrato, con carácter previo a la retirada de tales equipos. De acuerdo con lo establecido en el artículo 9.3 de la Ley 8/2001, de 13 de julio, de Protección de Datos de Carácter Personal en la Comunidad de Madrid, el contrato a que se refiere el presente pliego de prescripciones técnicas será comunicado a la Agencia de Protección de Datos de la Comunidad de Madrid antes de su perfeccionamiento. Sexto. Propiedad de los Trabajos Todos los estudios y documentos elaborados en ejecución del contrato serán propiedad de la Administración contratante, quien podrá reproducirlos, publicarlos y divulgarlos total o parcialmente sin que pueda oponerse a ello el adjudicatario autor de los trabajos. El adjudicatario no podrá hacer ningún uso o divulgación de los estudios y documentos elaborados con motivo de la ejecución de este contrato, bien sea en forma total o parcial, directa o extractada, sin autorización expresa del órgano de contratación. Séptimo. Criterios para la adjudicación Los criterios que servirán de base de valoración para la adjudicación de este contrato, serán los siguientes: o Metodología propuesta. o Cualificación del equipo profesional que desarrollará los trabajos (por ejemplo, 237

4 la participación en el mismo de profesionales de la auditoria con certificaciones reconocidas tales como CISA, CISM u otras equivalentes). o Enfoque de la propuesta. o El plazo de ejecución. o Es coste económico. 1 Octavo. Contenido de la propuesta técnica Los licitadores habrán de incluir los siguientes apartados en la propuesta de colaboración que presenten para su valoración por la Administración contratante: - Enfoque global del proyecto, y descripción clara y detallada de las tareas a realizar. - Composición y organización del equipo de trabajo propuesto, duración del proyecto y calendario de trabajo. - Metodología Propuesta. Fichero Nombre del fichero. ANEXO I 1. Órgano, ente o autoridad administrativa responsable del fichero: 2. Órgano, servicio o unidad ante el que se deberán ejercitar los derechos de accesos, rectificación, cancelación y oposición: 3. Nombre y Descripción del fichero: 4. Carácter informatizado, manual estructurado o parcialmente informatizado (mixto) del fichero: 5. Sistema de información al que pertenece el fichero: 6. Medidas de seguridad que le corresponden: 7. Tipos de datos de carácter personal que se incluyen en el fichero: 8. Descripción detallada de finalidad del fichero y usos previstos del mismo: 9. Personas o colectivos sobre los que se obtienen datos o que resulten obligados a suministrarlos: 238

5 10. Procedencia o procedimiento de recogida de los datos: 11. Órganos y entidades destinatarias de las cesiones previstas, indicando de forma expresa las que constituyan transferencias internacionales: ANEXO II Incorporar en este anexo la descripción de los sistemas de información que se utilicen para el tratamiento de los ficheros automatizados de datos personales que son objeto de auditoria (nombre de las aplicaciones informáticas, sistemas operativos y sistemas de gestión de bases de datos, lenguajes de programación, carácter estándar de las aplicaciones o por el contrario, si se trata de desarrollos informáticos a medida, ubicación y dimensiones de los equipos físicos que dan soporte al sistema, telecomunicaciones, etc ) 239

Documentos relacionados

Guía del Curso Auditoría y protección de datos en la empresa

Guía del Curso Auditoría y protección de datos en la empresa Modalidad de realización del curso: Titulación: A distancia Diploma acreditativo con las horas del curso OBJETIVOS VOLUMEN I: Reconocer los