Las instrucciones descritas en este documento lo son en aplicación y en la observancia del cumplimiento del Esquema Nacional de Seguridad, el Reglamento General de Protección de
Datos y la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales.
Consiguientemente, dado que esta legislación trata de salvaguardar un derecho fundamental mediante la adopción de diferentes medidas de seguridad, técnicas y organizativas, el usuario que accede y trata información de carácter personal en el desempeño de las funciones y tareas universitarias, deberá atender a las siguientes obligaciones:
Guardar el necesario secreto respecto a cualquier tipo de información de carácter personal, conocida en función del trabajo desarrollado, incluso una vez concluida la relación laboral con la Universidad de Almería.
Adoptar las medidas de seguridad adecuadas a los tipos de tratamientos que realice, de acuerdo con los principios de responsabilidad que las normas en protección de datos han establecido.
Y, además, debe conocer la definición de qué es un dato de carácter personal y en qué consiste un tratamiento de datos:
Dato personal: Toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.
Tratamiento: Cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.
7.1 Ficheros informáticos
De acuerdo con lo expuesto anteriormente deberá tenerse en cuenta:
Normas de uso de los Sistemas de Información de la UAL 9 / 14
Claves de acceso al sistema informático. Las contraseñas de acceso al sistema informático son personales e intransferibles, siendo el usuario el único responsable de las consecuencias que pudieran derivarse de su mal uso, divulgación o pérdida. Queda prohibido, asimismo, emplear identificadores y contraseñas de otros usuarios para acceder al sistema informático.
Bloqueo o apagado del equipo informático. Bloquear la sesión del usuario en el supuesto de ausentarse temporalmente de su puesto de trabajo, a fin de evitar accesos de otras personas al equipo informático. Esto, sobre todo, deberá tenerse en cuenta, por parte del personal que esté en atención al público.
Almacenamiento de archivos o ficheros en la red informática. Guardar todos los ficheros de carácter personal empleados por el usuario, en el servicio de almacenamiento institucional habilitado por la Universidad de Almería, en concreto por el ATIC, a fin de facilitar la realización de las copias de seguridad o respaldo y proteger el acceso frente a personas no autorizadas.
Manipulación de los archivos o ficheros informáticos. Únicamente las personas autorizadas podrán introducir, modificar o anular los datos personales contenidos en los ficheros.
No deberá usarse el correo electrónico para envíos de información de datos de carácter personal sensible. Se prohíbe usar correo electrónico (incluso el corporativo) para enviar información personal sensible (esto es, salud, ideología, religión, creencias, origen racial o étnico). Excepcionalmente, este tipo de envíos únicamente podrán realizarse si se adoptan los mecanismos necesarios para que la información no sea inteligible ni manipulada por terceros.
Comunicación de incidencias y en su caso, violaciones de seguridad. Comunicar qué incidencias puedan afectar a la seguridad de los datos o los sistemas, dirigiéndose a la
Comisión de Seguridad e informando de lo sucedido, cuando se tenga conocimiento de lo ocurrido.
Desechado y destrucción de soportes de almacenamiento. No podrán tirarse soportes de almacenamiento (pendrive, disco duro o cualquier otro dispositivo que guarde información institucional) a papeleras o contenedores, de modo que pueda ser legible o fácilmente recuperable la información. A estos efectos, el dispositivo deberá ser siempre destruido mediante cualquier medio de destrucción que no permita la recuperación de la información. El ATIC dispone de una destructora de discos duros.
Normas de uso de los Sistemas de Información de la UAL 10 / 14 7.2 Ficheros en papel
En relación con los ficheros o cualquier otro dispositivo o soporte que permita almacenaje en papel, deberán cumplir con las siguientes diligencias:
Custodia de llaves de acceso a archivadores o dependencias. Mantener debidamente custodiadas las llaves de acceso a locales o dependencias, despachos, armarios, archivadores u otros elementos con soportes o documentos en papel con datos personales.
Cierre de despachos o dependencias. Cerrar con llave la puerta al término de la jornada laboral o cuando deba ausentarse temporalmente de esta ubicación, a fin de evitar accesos no autorizados.
Almacenamiento de soportes o documentos en papel. Guardar los soportes o documentos con información personal en un lugar seguro cuando estos no sean usados, en particular, fuera de la jornada laboral. Cuando estos soportes o documentos no se encuentren almacenados, por revisarse o tramitarse, será la persona que deba custodiar e impedir que un tercero no autorizado pueda acceder.
No dejar en fotocopiadoras, faxes o impresoras papeles con datos de carácter personal.
Asegurarse de que no quedan documentos impresos que contengan datos personales, en la bandeja de salida de fotocopiadoras, impresoras o faxes.
Documentos no visibles en los escritorios, mostradores u otro mobiliario. Se mantendrá la confidencialidad de los datos personales de los documentos depositados o almacenados en los escritorios, mostradores u otros muebles; especialmente en las zonas de atención al público, guardando así una adecuada política de prevención de mesas limpias.
Desechado y destrucción de soportes o documentos en papel con datos personales.
No tirar soportes o documentos en papel, que contengan datos personales, a papeleras o contenedores, de modo que pueda ser legible o fácilmente recuperable la información. A estos efectos, deberá ser siempre desechada o destruida mediante las destructoras de papel de las que dispone la Universidad de Almería. Se prohíbe terminantemente echar en papeleras, contenedores de cartón o papel, soportes o documentos, que contengan datos personales sin destruir.
Archivo de soportes o documentos. Los soportes o documentos en papel se almacenarán según el criterio de archivo de la Universidad de Almería. Dichos criterios
Normas de uso de los Sistemas de Información de la UAL 11 / 14 deberán garantizar la correcta conservación de los documentos, su localización y consulta de la información. No podrá acceder o utilizar los archivos pertenecientes a otros departamentos, que compartan la sala o dependencia habilitada a archivo.
Traslado de soportes o documentos en papel con datos de carácter personal. En los procesos de traslado de soportes o documentos se adoptarán medidas dirigidas a impedir el acceso o manipulación por terceros y, de manera que no se vea el contenido, sobre todo, si hay datos personales.
Traslado de dependencias. En caso de cambiar de dependencia, en el proceso de traslado de los soportes o documentos en papel, se deberá realizar con el debido orden.
Asimismo, se mantendrá fuera de la vista de cualquier personal de la entidad, documentos o soportes en papel con datos personales.
Envío de datos personales sensibles en sobre cerrado. Si se envían a terceros ajenos a la Universidad de Almería, datos especialmente sensibles (esto es, salud, ideología, religión, creencias, origen racial o étnico) contenidos en soporte o documento papel, se debe realizar en sobre cerrado y, en cualquier caso, tener presente que haya de efectuarse por medio de correo certificado o a través de una forma de correo ordinario que permita su completa confidencialidad.
Comunicación de incidencias y, en su caso, violaciones de seguridad que afecten a la seguridad de datos de carácter personal. Comunicar las incidencias de las que tenga conocimiento y que puedan afectar a la seguridad de los datos personales a la Comisión de Seguridad.