DOCUMENTO DE SEGURIDAD DEL FICHERO DE DATOS MÉDICOS

Transcripción

1 DOCUMENTO DE SEGURIDAD DEL FICHERO DE DATOS MÉDICOS

2 A) DATOS IDENTIFICATIVOS DEL FICHERO A.1 Introducción A.2 Ámbito de aplicación A.3 Estructura del fichero y descripción de los sistemas de información que lo tratan. A.4 Nivel de seguridad B) FUNCIONES Y RESPONSABILIDADES DEL PERSONAL B.1 Funciones y responsabilidades del personal. C) ESPECIFICACIONES TÉCNICAS C.1 Niveles de acceso interno a la información. C.2 Medidas de seguridad, procedimientos operacionales establecidos y gestión de incidencias. C.2.1 Registro informatizado de incidencias. Gestión de incidencias. C.2.2 Procedimientos de acceso a la información digital. C.2.3 Procedimientos de tratamiento y acceso a la información en soporte papel. C.2.4 Procedimiento de copias de seguridad. C.2.5 Control de acceso a los diferentes locales. D) INSTRUCCIONES SOBRE TRATAMIENTO DE DATOS D.1 Instrucciones sobre tratamiento de datos de carácter personal. ANEXO I Relación de las aplicaciones informáticas que acceden a los diferentes bloques de información Índice Página 2 de 11

3 A. DATOS IDENTIFICATIVOS DEL FICHERO A.1 Introducción La Ley 15/1999 de 13 de diciembre de Protección de Datos de Carácter Personal (en adelante Ley de Protección de Datos ), limita el uso de la informática y otras técnicas y medios de tratamiento automatizado de datos de carácter personal, con el fin de garantizar el honor, la intimidad familiar y personal de las personas físicas y el pleno ejercicio de sus derechos. El presente documento es elaborado en cumplimiento del mandato legal del artículo 9 de la Ley de Protección de Datos, desarrollado por el Real Decreto 994/1999 de 11 de junio por el que se aprueba el Reglamento de medidas de seguridad de ficheros automatizados de datos de carácter personal, (en adelante "RD 994/1999") que si bien desarrolla la derogada LO 5/1992 de 29 de octubre de Tratamiento Automatizado de Datos de Carácter Personal, ha sido declarado vigente en tanto no se apruebe un nuevo reglamento de medidas de seguridad. La Ley de Protección de Datos en su artículo 9 establece la obligación del responsable del fichero de adoptar las medidas de índole técnica y organizativas que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que estén expuestos. El presente documento de seguridad en los términos y condiciones que siguen (en adelante el "Documento de Seguridad"), establece las normas internas en materia de funciones y responsabilidades del personal implicado en el tratamiento de datos, las medidas técnicas de seguridad y las instrucciones de tratamiento de datos y da cumplimiento al mandato legal del artículo 9 de la Ley de Protección de Datos. El presente Documento de Seguridad se concibe como un documento vivo en continua revisión que debe ser actualizado periódicamente según establece la normativa. A.2 Ámbito de aplicación. El presente Documento de Seguridad (DS) es de aplicación a la información corporativa de la Universidad de Zaragoza relativa al denominado Fichero de Datos Médicos que contiene información médica del personal de la Universidad (personal docente e investigador, personal de administración y servicios y becarios) así como datos de las minusvalías manifestadas por el personal o los estudiantes, tal y como se detalla en la definición del fichero creado en virtud a la Resolución de la Universidad de Zaragoza de 16 de julio de 2001 (en adelante el Fichero). Este DS es de aplicación tanto a la información en formato digital contenida en los ordenadores de la Universidad como a la impresa residente en las Unidades que manipulan esta información. Este DS es de obligado cumplimiento para todo el personal que intervenga en cualquier fase del tratamiento, modificación o explotación de los datos contenidos en el fichero o simplemente acceda parcial o totalmente a consultar su contenido. Así mismo, este documento es de obligado cumplimiento para todo el personal técnico que diseña mantiene, administra, opera o programa las aplicaciones, sistemas o equipos de comunicaciones y que por su trabajo puedan tener acceso a la información del fichero. La relación completa de A) Datos identificativos del fichero. Página 3 de 11

4 todas estas personas se encuentra en el Registro Informático de Incidencias tal y como se señala en el apartado C.2.1 de este documento. A.3 Estructura del fichero y descripción de los sistemas de información que lo tratan. La información del fichero de datos médicos se localiza en dos servicios universitarios: Servicio Médico y Servicio de Ergonomía; ambos dependientes de la Unidad de Protección y Prevención de Riesgos. La información se almacena tanto en papel como en soporte digital. Esta última consiste en dos subficheros que residen localmente en sendos ordenadores personales situados uno en cada uno de los servicios mencionados. Esta información sólo es accesible directamente desde los ordenadores personales que la contienen, no estando disponible su acceso a través de la red informática universitaria. Dichos subficheros se tratan mediante aplicaciones informáticas desarrolladas específicamente para ese uso. A.4 Nivel de seguridad. La finalidad de este fichero es la gestión del control médico de los universitarios y el desarrollo de las competencias del Servicio de Ergonomía. El conjunto de información contenida consta de los siguientes bloques de información: Datos identificativos Datos de características personales Datos académicos y profesionales Datos de detalle del empleo Datos de salud En virtud a esa información y a tenor de lo dispuesto en el articulo 4 del RD 994/1999 debemos declarar este fichero como de nivel alto. A) Datos identificativos del fichero. Página 4 de 11

5 B. FUNCIONES Y RESPONSABILIDADES DEL PERSONAL B.1 Funciones y responsabilidades del personal. Debe considerarse incluido en este documento el capítulo II de la Normativa Interna para la protección de datos de carácter personal que recoge las funciones y responsabilidades de todo el personal implicado en el tratamiento de datos. B) Funciones y responsabilidades del personal Página 5 de 11

6 C. ESPECIFICACIONES TÉCNICAS C.1 Niveles de acceso interno a la información. Debe considerarse incluido en este documento el capítulo III de la Normativa Interna para la protección de datos de carácter personal que recoge el Régimen de acceso interno a la información. C.2 Medidas de seguridad, procedimientos operacionales establecidos y gestión de incidencias. C.2.1 Registro Informatizado de Incidencias. Gestión de incidencias. Debe considerarse incluido en este documento el capítulo IV de la Normativa Interna para la protección de datos de carácter personal que recoge la definición del Registro de Incidencias. C.2.2 Procedimientos de acceso a la información digital. La información digital del fichero se encuentra almacenada en dos ordenadores personales localizados en la Unidad de Protección y Prevención de Riesgos Laborales y sólo son accesibles directamente desde dichos ordenadores personales, no estando disponible su acceso desde la red informática universitaria. El acceso a estos ordenadores está restringido a los usuarios definidos en el apartado C.1. de este documento, que serán los usuarios directos de estos equipos. Cada ordenador tendrá protegido el acceso mediante contraseña que solo será conocida por el usuario y el Jefe de la UPPR. Esta contraseña deberá cambiarse, al menos, 1 vez cada 3 meses. Es función del Encargados Internos del Tratamiento mantener actualizada la relación del personal de su Unidad autorizado a acceder. Esta relación se construirá dando de alta o baja a cada una de las personas en el Registro Informatizado de Incidencias. Todos los usuarios están obligados a guardar reserva absoluta de su contraseña. Esta no deberá estar escrita en un lugar de fácil acceso ni deberá comunicarse a ninguna otra persona de su Unidad o fuera de ella. Tanto las pantallas como las impresoras u otro tipo de dispositivos conectados al cada ordenador deberán estar físicamente ubicados en lugares que garanticen la confidencialidad de estos datos. Cuando el responsable de un puesto de trabajo lo abandone, bien temporalmente o bien al finalizar su turno de trabajo, deberá dejarlo en un estado que impida la visualización de los datos protegidos. En el caso de las impresoras deberá asegurarse de que no quedan documentos impresos en la bandeja de salida que contengan datos protegidos. Si las impresoras son compartidas con otros usuarios no autorizados para acceder a los datos de Fichero, los C) Especificaciones técnicas Página 6 de 11

7 responsables de cada puesto deberán retirar los documentos conforme vayan siendo impresos. Los puestos de trabajo desde los que se tiene acceso al fichero tendrán una configuración fija en su sistemas operativos y aplicaciones, que solo podrá ser cambiada bajo al autorización del responsable de seguridad. Como cada ordenador sólo es utilizado por un usuario se establecerá un Registro Manual de Acceso a la Información del cual será responsable el usuario de cada uno de los ordenadores. C.2.3 Procedimientos de tratamiento y acceso a la información en soporte papel. A la espera de la aprobación de una norma que regule las medidas de seguridad aplicable a los ficheros en soporte papel (hay que recordar que el Real Decreto 994/1999 de 11 de junio por el que se aprueba el reglamento de medidas de seguridad se refiere exclusivamente a los ficheros automatizados de datos de carácter personal), las medidas de seguridad aplicables a los mismos son las siguientes: Identificación y autenticación Estarán autorizados para acceder a los ficheros en soporte papel los gestores de la información y las personas asignadas a la unidad que tramite los expedientes relacionados con el fichero. Las personas autorizadas a acceder a la información en virtud del apartado C.1 distintas de los gestores de la información o del personal asignado a la unidad, podrá acceder a los ficheros en soporte papel acompañado por personal de la unidad. Control de acceso Los ficheros deben ubicarse en dependencias a las que sólo tenga acceso el personal de la unidad o el personal autorizado para ello de acuerdo con lo dispuesto en el apartado C.1 de este documento maestro. El acceso a la información de terceros no autorizados requiere previa autorización del Responsable Interno del Tratamiento. Los ficheros serán custodiados de manera que se garantice que el acceso a los mismos tan sólo se realizará por personal autorizado. Las dependencias en las que se ubiquen los ficheros deben quedar cerradas con llave. El mobiliario en el que se archiven los documentos que contengan datos de carácter personal debe quedar cerrado con llave, cuando ello sea posible, siempre que el responsable / usuario de tales datos se ausente. Medidas relativas al desecho de la información. Los listados o copias que se desechen deben destruirse bien mediante trituradora cuando ello sea posible y no dificulte la agilidad propia del desarrollo de las tareas, bien prestando especial atención con el fin de que los datos desechados no sean fácilmente asociados. Archivo El soporte papel se archivará de manera lógica que permita el efectivo ejercicio de los derechos de acceso. El sistema de archivo será conocido por todo el personal de la C) Especificaciones técnicas Página 7 de 11

8 unidad de manera que la ausencia temporal de alguno de ellos no dificulte la correcta atención de los derechos de acceso. Salida de copias de expedientes fuera el recinto universitario La salida de copias fuera del recinto universitario debe ser autorizado por el responsable interno del tratamiento. Envío de listados El envío de listados que contengan datos de carácter personal debe realizarse a través de registro y guardando copia de los envíos efectuados. Registro de Incidencias Cualquier comportamiento anormal en relación a la gestión de los soportes papel debe ser apuntado en el Registro de Incidencias. C.2.4 Procedimientos de copias de seguridad. Gestión de soportes Las copias de seguridad deben permitir hacer recuperaciones totales y puntuales de ficheros de disco para restablecer el funcionamiento de los sistemas y los datos en caso de pérdida o deterioro total o parcial. Todos los elementos del fichero y los registros de acceso y de uso de servicios deben estar incluidos en las copias de seguridad o respaldo de los sistemas centrales. El procedimiento de copias de seguridad debe cumplir estos requisitos: Estar programado para incluir todos los elementos del fichero residentes en distintos equipos de la red. Salvar los datos en un conjunto único de soportes externos. Programar la ejecución automática de las operaciones de copia en todos los equipos desde un equipo maestro o director. Establecer un límite para la reutilización de los soportes externos y controlar su renovación Mantener un inventario de soportes externos y un índice de contenidos. Salvar el índice de contenidos en los propios soportes externos. Permitir hacer recuperaciones completas y selectivas de ficheros y directorios con facilidad y rapidez. Restringir el acceso a los datos copiados. Deberá existir un plan de copias de seguridad debe cumplir estos requisitos: Hacer una copia total cada quince días. Garantizar una retención mínima de los datos en soporte externo de treinta días. Sustituir los soportes externos a los dos años después del primer uso. Destruir los soportes externos sustituidos después de finalizar su tiempo de vida útil. En cada equipo donde residen datos del fichero, sólo un usuario privilegiado ("root" en UNIX) tendrá acceso a los datos copiados procedentes de ese equipo. C) Especificaciones técnicas Página 8 de 11

9 Los soportes externos (cintas, discos, etc.) llevarán anotado un identificador y la fecha en que se usaron por primera vez. El identificador tendrá esta forma: COMPLETO.nnn, donde "nnn" representa una numeración secuencial correlativa completando con ceros a la izquierda. La fecha se ajustará al formato: dia-mes-año. La recuperación de datos, parcial o total, será manual y se hará de acuerdo con el procedimiento establecido para ese tipo de incidencia. El equipamiento para la realización de las copias de seguridad y los soportes externos usados deberán estar ubicados en un local diferente al de los equipos de tratamiento de datos. Además de las copias de seguridad, se harán copias en soporte externo de los datos de registro de acceso a los equipos que contienen datos del fichero; con el fin de conservarlos durante el tiempo necesario para poder responder a los requisitos legales. Ese tipo de registros se acumularán en ficheros de disco a lo largo del mes. Una vez al mes, se pasarán los datos mensuales a un soporte externo y se borrarán del disco. La identificación de los soportes externos responderá a esto modelo: Nombre_equipo - LOGS - Mes - Año - n Nombre_equipo: es el nombre que identifica al equipo en la red N: indica el número de volúmenes en caso de que ocupe más de uno C.2.5 Control de acceso a los diferentes locales. En cumplimiento de lo dispuesto en el articulo 19 del RD 994/1999, sobre el espacio en el que residen los ordenadores que tienen la información del fichero se aplicarán las siguientes medidas de control: Si por razones de trabajo deben acceder a los locales otras personas, estos deberán estar acompañados en todo momento por alguna persona autorizada a acceder a dicha sala. Los permisos de acceso a dicho local serán autorizados por el Responsable o Encargados de Seguridad del Fichero y serán anotadas en el Registro Informático de Incidencias. C) Especificaciones técnicas Página 9 de 11

10 D. INSTRUCCIONES SOBRE TRATAMIENTO DE DATOS D.1 Instrucciones sobre tratamiento de datos de carácter personal. Debe considerarse incluido en este documento el capítulo I de la Normativa Interna para la protección de datos de carácter personal que recoge las normas generales de tratamiento de datos a cumplir en la Universidad de Zaragoza. D) Instrucciones sobre tratamiento de datos. Página 10 de 11

11 ANEXO 1 D) Instrucciones sobre tratamiento de datos. Página 11 de 11