1. OBJETO. 2. ALCANCE.

Transcripción

1 13/CM/ PLIEGO DE CONDICIONES TÉCNICAS QUE HA DE REGIR EL CONTRATO PARA LA CONTRATACIÓN DE AUDITORÍAS SOBRE EL CUMPLIMIENTO DE LAS MEDIDAS DE SEGURIDAD REQUERIDAS POR EL REAL DECRETO 1720/2007, DE 21 DE DICIEMBRE, REGLAMENTO DE DESARROLLO DE LA LOPD. 1. OBJETO. El objeto del presente contrato consiste en la realización de una auditoría de los procedimientos e instrucciones vigentes en materia de seguridad de datos personales, de conformidad con lo establecido en los artículos 96 y 100 del Real Decreto 1720/2007, de 21 de diciembre, Reglamento de desarrollo de la LOPD para la Fundació Banc de Teixits de les Illes Balears (a partir de ahora Fundació). Dicha auditoría habrá de verificar, respecto de los ficheros incluidos en el alcance del contrato, el grado de cumplimiento de las medidas de seguridad del nivel correspondiente establecidas en el citado Reglamento. 2. ALCANCE. Los ficheros de datos de carácter general que serán sometidos a la auditoría, cuyas características detalladas se describen en el anexo I, son los siguientes: 7 ficheros contienen datos de nivel alto. 3 ficheros contienen datos de nivel medio. 5 ficheros contienen datos de nivel básico. Fichero Donantes de Tejidos Donantes de Sangre Donantes de Cordón Umbilical Donantes de Leche Materna Histórico patologías de donantes Registro anticuerpos irregulares Eritrocitarios Estudios Sanitarios Candidatos Licitador Adjudicatario Personal Participantes WEB Nivel de seguridad 1

2 Fichero Grupo Sanguíneo Control de Visitas Contactos Profesionales Nivel de seguridad En el "ANEXO I - Aspectos Relativos a los Ficheros" se describen detalladamente cada uno de los ficheros o tratamientos, junto con los aspectos que les afecten de manera particular. El alcance de la auditoría es la revisión y verificación del grado de cumplimento de las medidas de seguridad en los centros de tratamiento, locales, otras instalaciones, equipos, sistemas, aplicaciones, programas, personas que intervengan en el tratamiento, empresas externas que intervengan en los procesos, comunicaciones e infraestructura tecnológica y organizativa de los sistemas de información, así como en las normas, procedimientos y estándares que afecten a los ficheros. Los locales de la Fundació son: Sede en Palma C/ Rosselló i Caçador, Palma Sede en Mahón C/ Pintor Calbó, Mahon Sede en Ibiza C/ Canarias, 29 Bajos Ibiza 3. ENFOQUE. Se deberán analizar y revisar los recursos mencionados en el alcance. Se analizará si están adecuadamente protegidos en función de los requerimientos del reglamento de medidas de seguridad. El informe de auditoría deberá dictaminar sobre la adecuación de las medidas y controles, identificar sus deficiencias y proponer las medidas correctoras o complementarias necesarias. Deberá incluir los datos, hechos y observaciones en que se basen los dictámenes alcanzados y recomendaciones propuestas. Para ello el adjudicatario realizará las entrevistas con el personal que se determine y diseñará y realizará aquellas pruebas que considere oportunas para la evaluación de los controles existentes, permitiendo de este modo la emisión del dictamen de la auditoría. De forma regular, el adjudicatario informará al interlocutor o coordinador designado por la Fundació sobre el grado de desarrollo de la realización de estas pruebas y su alcance. 2

3 Los resultados de las pruebas serán analizados puntualmente con el coordinador o interlocutor designado por el órgano u organismo responsable del fichero, así como con el responsable de seguridad de este último si fuera persona distinta, con el fin de establecer el alcance de las circunstancias puestas en evidencia por las pruebas realizadas. Asimismo, el adjudicatario realizará una formación de divulgación y concienciación al personal de las diferentes áreas en los que se dará a conocer su alcance para con los procesos de negocio en los que la LOPD se ve afectada. Esta formación se financiará en la medida de lo posible a través de la Fundación Tripartita. 4. DOCUMENTACIÓN A ENTREGAR. A la finalización del trabajo, el adjudicatario entregará a la Administración contratante, tanto en formato papel como en versión electrónica, la siguiente documentación: 1. Informe ejecutivo con las conclusiones de la auditoría (con una extensión máxima de 5 páginas). 2. Informe detallado de conclusiones de la auditoría, incluyendo en sus anexos descripción pormenorizada de las evidencias analizadas, hechos y observaciones en que se basen los dictámenes alcanzados, reuniones mantenidas, recomendaciones propuestas, y otros detalles del trabajo elaborado. 3. Documento-resumen para la comunicación de los resultados de la auditoría a la Agencia de Protección de Datos. 4. Manuales departamentales de LOPD relacionados con sus procesos de negocio. 5. Documento de seguridad de la Fundació. 5. PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL. El contratista, como encargado del tratamiento, tal y como se define en la letra g) del artículo 3 de ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal, declara expresamente que conoce quedar obligado al cumplimiento de lo dispuesto en la citada LOPD y especialmente en lo indicado en sus artículos 9, 10, 11 y 12, y adoptará las medidas de seguridad que le correspondan según el Real Decreto 1720/2007, de 21 de diciembre. El encargado del tratamiento se compromete explícitamente a formar e informar a su personal en las obligaciones que de tales normas dimanan. La empresa adjudicataria y el personal encargado de la realización de las tareas guardarán secreto profesional sobre toda la información, documentos o datos a los que tengan acceso o de los que tengan conocimiento con ocasión de la oferta de colaboración o cumplimiento del contrato, incluso después de finalizar el plazo contractual, comprometiéndose a no hacer pública cualquier información o dato obtenidos o elaborados durante la ejecución del contrato. Los datos de carácter personal entregados (por el responsable o administración contratante) y utilizados (por el contratista o encargado del tratamiento): 1. Serán únicamente los precisos para la ejecución de la finalidad del contrato. 2. No podrán ser utilizados con finalidad distinta a la que figure en estas prescripciones técnicas. 3. Deberán ser destruidos por el contratista o devueltos al responsable del fichero una vez finalizada la auditoría, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 3

4 En particular, si el contratista aporta equipos informáticos, una vez finalizadas las tareas de auditoría reflejadas en el presente contrato, deberá borrar de los mismos toda la información utilizada o que se derive del cumplimiento del contrato, con carácter previo a la retirada de tales equipos. 6. PROPIEDAD DE LOS TRABAJOS. Todos los estudios y documentos elaborados en ejecución del contrato serán propiedad de la Fundació, quien podrá reproducirlos, publicarlos y divulgarlos total o parcialmente sin que pueda oponerse a ello el adjudicatario autor de los trabajos. El adjudicatario no podrá hacer ningún uso o divulgación de los estudios y documentos elaborados con motivo de la ejecución de este contrato, bien sea en forma total o parcial, directa o extractada, sin autorización expresa del órgano de contratación. 7. CRITERIOS DE ADJUDICACIÓN. Los criterios que servirán de base de valoración para la adjudicación de este contrato, serán los siguientes: Metodología propuesta. Cualificación del equipo profesional que desarrollará los trabajos (por ejemplo, la participación en el mismo de profesionales de la auditoría con certificaciones reconocidas tales como CISA, CISM u otras equivalentes). Enfoque de la propuesta. El plazo de ejecución. El coste económico, que no podrá superar los , IVA no incluido. Los gastos de viaje serán a cargo del adjudicatario. 8. CONTENIDO DE LA PROPUESTA TÉCNICA. Los licitadores habrán de incluir los siguientes apartados en la propuesta de colaboración que presenten para su valoración por la Fundació: Enfoque global del proyecto, y descripción clara y detallada de las tareas a realizar. Composición y organización del equipo de trabajo propuesto, duración del proyecto y calendario de trabajo. Metodología Propuesta. 4

5 Anexo I: ANEXO I - ASPECTOS RELATIVOS A LOS FICHEROS A continuación se detallan los ficheros declarados por la Fundació a la Agencia de Protección de Datos. Los campos utilizados para describir cada fichero figuran especificados abajo: Nombre del fichero: Indica el nombre con el que la Fundació declara el fichero. del fichero: Indica el responsable del fichero. : Indica la finalidad del fichero declarado. : Indica el objetivo de la recogida y el uso del fichero. Origen de la Información: Indica la fuente de donde se recibe la información del afectado. Tratamiento de terceros: Indica qué prestaciones de servicios existen en relación a un fichero. : Indica qué entidades son las destinatarias de las cesiones de datos de carácter personal del fichero en cuestión. Transferencia internacional: Indica si datos de carácter personal de un fichero son transferidos al extranjero. Nivel: Dependiendo de los campos especificados en cada fichero, se ha clasificado el nivel de medidas de seguridad implantados, según se establece en el Reglamento de la Ley Orgánica 15/1999. Estructura del fichero: Indica los principales campos que componen cada fichero. : Indica el entorno (plataforma informática) actual en el que se halla el fichero declarado a la Agencia de Protección de Datos. Dpto. : Indica el departamento responsable del fichero. 5

6 Área DONANTES DE TEJIDOS Fichero con datos de los donantes vivos y muertos de tejidos y resultados de los análisis de sangre. Gestión Donaciones. El propio interesado, su representante legal o Familiar directo. Angel24, Servicio de Mensajería, Brújula Nombre, apellidos, resultados de los análisis Papel / Microsoft Access / Windows Server / CentOS / Ficheros Ofimáticos Banco de Tejidos Área DONANTES DE SANGRE Fichero con datos de los donantes de sangre y de los resultados de los análisis (serología, hematología) de las extracciones de sangre. Gestión donaciones y promoción de la donación de sangre. El propio interesado. Maksystem, Angel24, Xilon Solutions, Brújula, Seur 10 (Subcontrata Iberia Cargo), Hermandad de Donantes. Nombre y apellidos del donante, grupo sanguíneo del donante. Resultados de los análisis de serología, hemograma y tipaje. Número de muestra, resultados de los análisis para detectar presencia de anticuerpos de HCV, HIV, Lues, etc. Número de muestra, cantidad de linfocitos, leucocitos, monocitos, hemoglobina, etc. Oracle 10g-11g / eprogesa / Windows Server / CentOS / Ficheros Ofimáticos / Papel / Dispositos portátiles. Banco de Sangre, Laboratorio, Recepción. DONANTES SANGRE CORDÓN UMBILICAL Ficheros con los datos de los donantes de cordón umbilical. Gestión Base De Datos De Donantes De Sangre De Cordón Umbilical. El propio interesado durante el análisis médico. Angel24, Brújula 6

7 Área Nombre y apellidos; telefono; otros datos de caracter identificativo; dirección; número historia clínica. Datos de Salud. Microsoft Access / Windows Server / CentOS / Ficheros Ofimáticos / Papel. Laboratorio, Banc de Teixits Área DONANTES DE LECHE MATERNA Fichero con datos de los donantes de leche materna y de los resultados de los análisis para una correcta gestión de las donanciones. Gestión de las donaciones de leche materna y revisión de las analíticas El propio interesado. Angel24, Servicio de Mensajería, Brújula. Nombre, apellidos, dirección, teléfono, Historia médico (patologías anteriores, cáncer, infecciones, hepatitis) Firebird, Windows Server, CentOS, Ficheros Ofimáticos, Papel. Banco de Tejidos. HISTÓRICO PATOLOGÍAS DE DONANTES Fichero con los datos necesarios para realizar la gestión de las patologías sufridas por los diferentes donantes de sagre. Gestión de Donantes Del propio afectado Angel24, Servicio de Mensajería Nombre, Apelllidos, Teléfono, Dirección, Resultado Analítica, comunicaciones enviadas al aefectado. Papel Laboratorio REGISTRO ANTICUERPOS IRREGULARES ERITROCITARIOS 7

8 Fichero con los datos necesarios para realizar la gestión de las patologías sufridas por los diferentes donantes de sagre. Gestión de Donantes Del propio afectado Angel24, Servicio de Mensajería Nombre, Apelllidos, Teléfono, Dirección, Resultado Analítica, comunicaciones enviadas al aefectado. Papel / Web Laboratorio ESTUDIOS SANITARIOS Fichero con los datos necesarios para realizar la gestión de las patologías sufridas por los diferentes donantes de sagre. Gestión de Donantes Del propio afectado Angel24, Servicio de Mensajería Nombre, Apelllidos, Teléfono, Dirección, Resultado Analítica, comunicaciones enviadas al aefectado. Papel Laboratorio CANDIDATOS Fichero con datos de los candidatos que se presentan a cubrir una plaza en la Entidad Local con un contrato laboral. Selección de personal laboral. El propio afectado, INFOF. Angel 24, Brújula Nombre y apellidos, dirección, correo electrónico, Teléfono, Fax, Datos estado civil, lugar nacimiento, Nacionalidad, Edad, Fecha nacimiento, Sexo, Formación, Titulaciones, Experiencia Profesional, Profesión. 8

9 Papel / Windows Server / CentOS / Ficheros ofimáticos. RRHH LICITADOR Fichero que contienen los datos de CV de los empleados que forman parte de las empresas que se presentan a los concursos, así como de las personas representantes de las empresas. Éstos son necesarios para llevar a cabo la selección de la empresa. Gestión de licitaciones. El propio afectado o su representante legal Datos de carácter identificativo: Nombre, Apellidos, DNI, Firma, dirección teléfono, mail. Datos Académicos: Formación, Titulaciones. Datos Profesionales: Experiencia Profesional, Puesto de trabajo, categoría. Mixto (automatizado y no automatizado) Administración ADJUDICATARIO Fichero con los datos relativos a las personas firmantes de los contratos de prestación de servicios y los datos relativos a CV de los empleados de la misma que llevan a cabo la prestación del servicio. Gestión de adjudicatarios. El propio afectado o su representante legal Datos de carácter identificativo: Nombre, Apellidos, DNI, Firma, dirección teléfono, mail. Datos económicos: Datos bancarios de la empresa. Datos Académicos: Formación, Titulaciones. Datos Profesionales: Experiencia Profesional, Puesto de trabajo, categoría. Mixto (automatizado y no automatizado) Administración PERSONAL Fichero con los Datos empleados necesarios para contabilidad y para calcular modificaciones en las nóminas y necesarios para la elaboración de la nómina y para la gestión del personal. Información 9

10 Área necesaria para la presentación de seguros sociales de los trabajadores y para la declaración anual de retenciones e ingresos a cuenta sobre rendimientos del trabajo. Gestión de Personal. El propio interesado o su representante legal. Brújula, CAEB, Gestoría Juan Terrassa, SL; Angel24, Empresas de Formación. Entidades Financieras, Mutua universal, UNIPRESALUD. Nombre, DNI, Domicilio, Sexo, Teléfono, Numero S.S., Datos Familiares, Estado Civil, Situación familiar, Teléfono, cuenta bancaria, lugar y fecha de nacimiento, Nacionalidad, experiencia profesional, titulaciones, profesión, puesto de trabajo, datos económicos de la nómina, Grado de minusvalía. Ficheros Ofimáticos / Windows Server / CentOS / Papel / Logic Class RR.HH. PARTICIPANTES WEB Fichero donde se registran datos de las personas que quieren recibir news letters de la Fundació y participar en los foros Gestión comunicaciones WEB Del propio afectado AT4 Nombre, Apellidos, Código Postal, Población, Provincia, País, , Idioma, Actividad. WEB Dpto. de IT GRUPO SANGUÍNEO Fichero con los datos de los afectados que solicitan la realización de analíticas de sangre y que son necesarios para la gestión de éstas. Gestión de grupos sanguíneos de ciudadanos. El propio afectado en el momento de realizar la solicitud. Datos de carácter personal: Nombre, apellidos, teléfono, dni, nacionalidad. Otros datos identificativos: Edad, sexo, peso, altura. Datos de Salud: grupo sanguíneo 10

11 Papel Laboratorio CONTROL DE VISITAS Fichero donde se recogen los datos de las personas que acuden a la FBSTIB a visitar a algún empleado Control de Visitas Del propio afectado Angel24 Nombre, DNI, Empresa, persona a la que visita Papel Recepción CONTACTOS PROFESIONALES Fichero con los datos necesarios para llevar a cabo las comunicaciones necesarias con los afectados, usada también para la gestión de los procesos de cada una de las áreas. Gestión de comunicaciones, contactos profesionales. Del propio afectado, fuentes accesibles al público Brújula Nombre y apellidos, Dirección, Teléfono, correo electrónico. Ficheros ofimáticos / Gestor de correo. Todos los departamentos. 11