Aprueban medidas de seguridad para proteger datos personales

 la Dirección Nacional de Protección de Datos Personales (DNPDP) emitió la disposición 11/06 por medio de la cual se aprueba las "Medidas de Seguridad para el Tratamiento y Conservación de los Datos Personales Contenidos en Archivos, Registros, Bancos y Bases de Datos Públicos no estatales y Privados"

A tal fin, se crea un "Documento de Seguridad de Datos Personales", como instrumento para la especificación de la normativa de seguridad. Asimismo, se establecen tres niveles de seguridad: básico, medio y critico.

Así­, para cada uno de los niveles se prevén distintas medidas de seguridad, teniendo en cuenta la mayor o menor necesidad de garantizar la confidencialidad e integridad de la información contenida en el banco de datos, así­ como también el mayor o menor impacto que tendrí­a en las personas el hecho de que la información registrada en los archivos no reúna las condiciones de integridad y confiabilidad debidas.

En tanto, la norma dispone distintos plazos para la implementación de las medidas de seguridad que se propician, teniendo en consideración el nivel de seguridad de que se trate, así­ corno también la posibilidad de otorgar una prórroga previa solicitud debidamente fundamentada.

De esa manera se indica que el plazo para la implementación de las medidas de seguridad a contar desde la fecha del dictado del presente acto, será de 12 meses para las de Nivel Básico, de 24 meses para las de Nivel Medio y de 36 meses para las de Nivel Crí­tico, los que serán prorrogables a pedido de la parte interesada y por razones debidamente fundadas.

Nivel Básico
Los archivos, registros, bases y bancos de datos que contengan datos de carácter personal deberán adoptar las siguientes medidas de seguridad:

• Disponer del Documento de Seguridad de Datos Personales en el que se especifiquen, entre otros, los procedimientos y las medidas de seguridad a observar sobre los archivos, registros, bases y bancos que contengan datos de carácter personal. Deberá mantenerse en todo momento actualizado y ser revisado cuando se produzcan cambios en el sistema de información.

Nivel Crí­tico
Los archivos, registros, bases y bancos de datos que contengan datos personales, definidos como "datos sensibles" además de las medidas de seguridad de nivel Básico y Medio, deberán adoptar las que a continuación se detallan:

• Distribución de soportes: cuando se distribuyan soportes que contengan archivos con datos de carácter personal se deberán cifrar dichos datosa fin de garantizar que no puedan ser leí­dos o manipulados durante su transporte.
• Se deberá disponer de un registro de accesos con información que identifique al usuario que accedió, cuando lo hizo (fecha y hora), tipo de acceso y si ha sido autorizado o denegado. Este registro de accesos deberá ser analizado periódicamente por el responsable de seguridad y deberá ser conservado como minino por el término de 3 años.
• Copias de respaldo: deberán implementarse copias de resguardo externas, situadas fuera de la localización, en caja igní­fuga y a prueba de gases o bien en una caja de seguridad bancaria,. Deberá disponerse de un procedimiento de recuperación de esa información y de tratamiento de la misma en caso de contingencias.
• Transmisión de datos: los datos de carácter personal que se transmitan a través de redes de comunicación1, deberán serlo cifrados o utilizando cualquier otro mecanismo que impida su lectura y/o tratamiento por parte de personas no autorizadas.

Quedan exceptuados de aplicar las medidas de seguridad de nivel crí­tico, los archivos, registros, bases y bancos de datos que deban efectuar el tratamiento de datos sensibles para fines administrativos o por obligación legal.

Nivel Medio
Los archivos, registros, bases y bancos de datos de las empresas privadas que desarrollen actividades de prestación de servicios públicos, así­ como los archivos, registros, bases y bancos de datos pertenecientes a entidades que cumplan una función pública y/o privada que deban guardar secreto de la información personal por expresa disposición legal (v.g.: secreto bancario), además de las medidas de seguridad de nivel básico, deberán adoptar las que a continuación se detallan:

• El instructivo de seguridad deberá identificar al Responsable (u órgano especí­fico) de Seguridad.
• Realización de auditorí­as (internas o externas) que verifiquen el cumplimiento de los procedimientos e instrucciones vigentes en materia de seguridad para datos personales.
• Se limitará la posibilidad de intentar reiteradamente el acceso no autorizado al sistema de información.
• Se establecerá un control de acceso fí­sico a los locales donde se encuentren situados los sistemas de información con datos de carácter personal.

Verónica Morelli
vmorelli@infobae.com