Obligaciones generales del responsable y encargado del tratamiento
1. Los responsables y encargados, teniendo en cuenta los elementos enumerados en los artículos 24 y 25 del Reglamento (UE) 2016/679, determinarán las medidas técnicas y organizativas apropiadas que deben aplicar a fin de garantizar y acreditar que el tratamiento es conforme con el citado reglamento, con la presente ley orgánica, sus normas de desarrollo y la legislación sectorial aplicable. En particular valorarán si procede la realización de la evaluación de impacto en la protección de datos y la consulta previa a que se refiere la Sección 3 del Capítulo IV del citado reglamento. 2. Para la adopción de las medidas a que se refiere el apartado anterior los responsables y encargados del tratamiento tendrán en cuenta, en particular, los mayores riesgos que podrían producirse en los siguientes supuestos: a) Cuando el tratamiento pudiera generar situaciones de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico, moral o social significativo para los afectados. b) Cuando el tratamiento pudiese privar a los afectados de sus derechos y libertades o pudiera impedirles el ejercicio del control sobre sus datos personales. c) Cuando se produjese el tratamiento no meramente incidental o accesorio de las categorías especiales de datos a las que se refieren los artículos 9 y 10 del Reglamento (UE) 2016/679 y 9 y 10 de esta ley orgánica o de los datos relacionados con la comisión de infracciones administrativas. d) Cuando el tratamiento implicase una evaluación de aspectos personales de los afectados con el fin de crear o utilizar perfiles personales de los mismos, en particular mediante el análisis o la predicción de aspectos referidos a su rendimiento en el trabajo, su situación económica, su salud, sus preferencias o intereses personales, su fiabilidad o comportamiento, su solvencia financiera, su localización o sus movimientos. e) Cuando se lleve a cabo el tratamiento de datos de grupos de afectados en situación de especial vulnerabilidad y, en particular, de menores de edad y personas con discapacidad. f) Cuando se produzca un tratamiento masivo que implique a un gran número de afectados o conlleve la recogida de una gran cantidad de datos personales. g) Cuando los datos personales fuesen a ser objeto de transferencia, con carácter habitual, a terceros Estados u organizaciones internacionales respecto de los que no se hubiese declarado un nivel adecuado de protección. h) Cualesquiera otros que a juicio del responsable o del encargado pudieran tener relevancia y en particular aquellos previstos en códigos de conducta y estándares definidos por esquemas de certificación.
Controles del Anexo A de ISO 27001 relacionados38
Los 93 controles del Anexo A de ISO/IEC 27001:2022 tienen la misma numeración y título que ISO/IEC 27002:2022, que aporta la guía de implantación de cada uno. Los derechos de los titulares se cubren con 5.34 y, en detalle, con ISO 27701.
Justificación Técnica
Las políticas de seguridad son la base documental de las medidas técnicas y organizativas apropiadas (art. 28 de la LOPDGDD).
⚡ Acción Requerida para TI (Enfoque Informático)
Para dar cumplimiento al Principio de Juridicidad, el área de TI debe formalizar, documentar y publicar la Directriz General de Seguridad, asegurando que existan políticas explícitas sobre el ciclo de vida y protección de los datos personales.
Evidencias Sugeridas
Política de Seguridad de la Información aprobada, Evidencia de comunicación a empleados
Justificación Técnica
La segregación de funciones reduce el riesgo de acceso no autorizado a datos personales como medida organizativa de seguridad.
Evidencias Sugeridas
Matriz de segregación de funciones, Controles de acceso basados en roles
Justificación Técnica
El compromiso de la dirección sostiene la responsabilidad proactiva y demostrada: el responsable debe poder acreditar los mecanismos de protección que implementa.
Evidencias Sugeridas
Actas de comité de seguridad, Declaraciones de la dirección
Justificación Técnica
El control de acceso es una medida técnica fundamental para proteger datos personales contra acceso no autorizado.
Evidencias Sugeridas
Política de control de acceso, Matriz de acceso, Configuración de sistemas
Justificación Técnica
La gestión segura de credenciales protege el acceso a sistemas que procesan datos personales.
Evidencias Sugeridas
Política de contraseñas, Configuración de requisitos de autenticación
Justificación Técnica
La gestión de derechos de acceso es una medida organizativa que asegura que solo personal autorizado acceda a datos personales.
Evidencias Sugeridas
Procedimiento de gestión de accesos, Registro de autorizaciones
Justificación Técnica
Los acuerdos deben incluir las medidas de seguridad que el proveedor debe implementar.
Evidencias Sugeridas
Anexos de seguridad en contratos, SLAs de seguridad
Justificación Técnica
La gestión de la cadena de suministro TIC asegura que los componentes no comprometan la seguridad de datos personales.
Evidencias Sugeridas
Evaluación de seguridad de proveedores TIC
Justificación Técnica
El aprendizaje de incidentes mejora las medidas de seguridad implementadas para prevenir futuras violaciones.
Evidencias Sugeridas
Informes post-incidente, Acciones de mejora implementadas
Justificación Técnica
El control exige identificar y aplicar los requisitos de protección de la PII; es el punto de apoyo de ISO 27002 para las medidas de seguridad que exige la ley.
Evidencias Sugeridas
Política de protección de datos, Análisis de impacto de privacidad
Justificación Técnica
La selección adecuada de personal reduce el riesgo de que personas no confiables accedan a datos personales.
Evidencias Sugeridas
Procedimiento de selección, Verificación de antecedentes
Justificación Técnica
La capacitación en seguridad es una medida organizativa fundamental para que el personal proteja adecuadamente los datos.
Evidencias Sugeridas
Programa de capacitación, Registros de asistencia, Evaluaciones
Justificación Técnica
El proceso disciplinario disuade y sanciona violaciones de seguridad que puedan afectar datos personales.
Evidencias Sugeridas
Política disciplinaria, Registros de sanciones relacionadas con seguridad
Justificación Técnica
La seguridad en trabajo remoto protege los datos personales cuando se acceden desde fuera de la organización.
Evidencias Sugeridas
Política de trabajo remoto, Controles de seguridad para teletrabajo
Justificación Técnica
Los perímetros de seguridad física protegen las instalaciones donde se procesan datos personales.
Evidencias Sugeridas
Planos de zonas seguras, Controles de perímetro
Entradas físicas
Justificación Técnica
El control de entradas físicas previene el acceso no autorizado a áreas donde se tratan datos personales.
Evidencias Sugeridas
Registros de acceso, Sistema de control de acceso físico
Justificación Técnica
La supervisión física (CCTV, guardias) disuade y detecta intentos de acceso no autorizado a datos.
Evidencias Sugeridas
Sistema de videovigilancia, Procedimiento de monitoreo
Justificación Técnica
La gestión segura de medios de almacenamiento protege los datos personales en dispositivos portátiles y removibles.
Evidencias Sugeridas
Procedimiento de gestión de medios, Cifrado de dispositivos portátiles
Justificación Técnica
La protección de dispositivos endpoint previene el acceso no autorizado a datos personales desde dispositivos de usuario.
Evidencias Sugeridas
Política de dispositivos, Configuración de seguridad de endpoints
Justificación Técnica
La gestión de accesos privilegiados es crítica para proteger datos personales contra uso indebido por usuarios con altos privilegios.
Evidencias Sugeridas
Política de privilegios, Revisiones de cuentas privilegiadas, PAM
Justificación Técnica
La restricción de acceso a información asegura que solo personal autorizado acceda a datos personales según su rol.
Evidencias Sugeridas
Matriz de control de acceso, Configuración de permisos
Justificación Técnica
La autenticación segura es fundamental para verificar la identidad antes de permitir acceso a datos personales.
Evidencias Sugeridas
Configuración de autenticación, MFA implementado, Logs de autenticación
Justificación Técnica
La protección contra malware previene el robo o corrupción de datos personales por software malicioso.
Evidencias Sugeridas
Solución antimalware, Registros de detección, Configuración de protección
Justificación Técnica
La gestión de vulnerabilidades reduce el riesgo de explotación de debilidades que podrían comprometer datos personales.
Evidencias Sugeridas
Reportes de escaneo de vulnerabilidades, Plan de remediación
Justificación Técnica
La gestión de configuración asegura que los sistemas estén configurados de forma segura para proteger datos personales.
Evidencias Sugeridas
Líneas base de configuración, Revisiones de configuración
Justificación Técnica
La prevención de fuga de datos (DLP) es una medida técnica directa para evitar divulgación no autorizada de datos personales.
Evidencias Sugeridas
Solución DLP, Políticas de prevención de fuga, Alertas configuradas
Justificación Técnica
Las copias de seguridad protegen la disponibilidad de datos personales ante pérdida o daño.
Evidencias Sugeridas
Política de backup, Registros de respaldo, Pruebas de restauración
Justificación Técnica
El registro de actividades (logging) permite detectar y auditar accesos no autorizados a datos personales.
Evidencias Sugeridas
Política de logging, Logs de acceso a datos, Retención de logs
Justificación Técnica
La criptografía es una medida técnica fundamental para proteger la confidencialidad e integridad de datos personales.
Evidencias Sugeridas
Política de cifrado, Cifrado de datos en reposo y tránsito, Gestión de llaves
Justificación Técnica
La seguridad de redes protege los datos personales durante su transmisión por la red.
Evidencias Sugeridas
Diseño de red segura, Firewalls, Segmentación
Justificación Técnica
La segregación de redes aísla los sistemas que procesan datos personales de otras redes.
Evidencias Sugeridas
Diagrama de segmentación, VLANs configuradas
Justificación Técnica
El desarrollo seguro implementa la protección de datos desde el diseño en el ciclo de vida del software.
Evidencias Sugeridas
Procedimiento de desarrollo seguro, Requisitos de privacidad en desarrollo
Justificación Técnica
Los requisitos de seguridad de aplicaciones incluyen requisitos de privacidad por defecto.
Evidencias Sugeridas
Especificaciones de requisitos de privacidad, Checklist de seguridad
Justificación Técnica
La arquitectura segura incorpora principios de protección de datos desde el diseño del sistema.
Evidencias Sugeridas
Documentación de arquitectura con consideraciones de privacidad
Justificación Técnica
La codificación segura previene vulnerabilidades que podrían comprometer datos personales.
Evidencias Sugeridas
Estándares de codificación, Revisiones de código
Justificación Técnica
La separación de entornos asegura que los datos personales de producción no se expongan en desarrollo o pruebas.
Evidencias Sugeridas
Política de separación de ambientes, Evidencia de ambientes aislados
Justificación Técnica
La seguridad en gestión de proyectos incluye la realización de evaluaciones de impacto para nuevos tratamientos.
Evidencias Sugeridas
Procedimiento de EIPD, Plantilla de evaluación de impacto
Justificación Técnica
La inteligencia de amenazas informa la valoración de los riesgos que exige el art. 28 de la LOPDGDD.
Evidencias Sugeridas
Informes de amenazas, Metodología de análisis de riesgos