//
Archivos

informe de auditoría

Esta etiqueta está asociada a 3 entradas

Las historias clínicas de 15 millones de españoles podrían tener lagunas de seguridad

Historias clinicas Las historias clínicas de 15 millones de españoles podrían tener lagunas de seguridad

Según un informe de cumplimiento de la Ley Orgánica de Protección de datos en Hospitales, llevado a cabo por la Agencia Española de Protección de Datos entre 654 centros hospitalarios (públicos y privados, de los 791 existentes en el país) que se encuentran en el ámbito de competencia de AEPD, “la realización de la auditoría bienal de seguridad del fichero de Historias Clínicas es uno de los aspectos en los que se observa un menor nivel de cumplimiento de la normativa de protección de datos, ya que en un 32,5% de centros esta actuación no se lleva a cabo, y en un 85,6% de los centros que realizan la auditoría, se han detectado en ella deficiencias de seguridad”.
Cada vez que alguien acude a su médico de cabecera, a urgencias, a un especialista de un hospital y, en general, a cualquier profesional de la salud, se le abre una historia clínica. Es un documento válido desde el punto vista clínico y legal donde se recoge la información necesaria (asistencial, preventiva y social) para la correcta atención de los pacientes.
Debe recordarse que los tratamientos de datos de carácter personal que se realizan en el ámbito hospitalario y, en particular, los relacionados con la gestión de las historias clínicas o la investigación clínica, incluyen datos de salud, considerados datos sensibles o especialmente protegidos por la Ley (al mismo nivel que el origen racial y la vida sexual). y, como tales, tienen un régimen de garantías más fuerte.

Más…

Fuente: http://www.muycomputerpro.com

Anuncios

Informe de auditoría: período de validez y conservación.

El Reglamento de desarrollo de la LOPD, a partir del nivel medio de seguridad, en su artículo 96 RLOPD, señala que será obligatorio realizar una auditoría que contemple los sistemas de información e instalaciones de tratamiento y almacenamiento de datos y verifique el cumplimiento de las medidas de seguridad reguladas en el Título VIII del RLOPD.

¿Cada cuánto se habrá de realizar la misma?

La respuesta la hayamos en la redacción del artículo 96.1 del RLOPD que señala lo siguiente:

1. Apartir del nivel medio los sistemas de información e instalaciones de tratamiento y almacenamiento de datos se someterán, al menos cada dos años, a una auditoría interna o externa que verifique el cumplimiento del presente título.

De esta forma, el RLOPD establece la obligación de realizar la misma en el período que va desde que se hizo la última hasta, al menos, dos años después. La definición “al menos cada dos años”, indica claramente que el período entre auditoría no deberá superar nunca los 24 meses, ni transcurrir mas de los 730 días. Esto viene a dejar en evidencia a aquellas entidades que, realizando esta exigencia legal de auditar sus sistemas de información, lo hacen computando solo el año olvidando el mes y el día. Por ejemplo, realizaron la auditoría el 12 de enero del 2010 y creen que tienen todo el 2012 para llevarla a cabo; pero la definición del artículo 96.1 deja claro que la fecha tope para haber realizado la misma se cumplió el 11 de enero del 2012. La realización de una auditoría fuera de esa fecha deberá recoger este hecho como un incumplimiento de la medida de seguridad.

Además, el artículo 96.1 en su continuación recoge la obligación de realizar una auditoría extraordinaria en aquellas situaciones en las que el responsable del fichero realice modificaciones sustanciales en el sistema de información que puedan repercutir en el cumplimiento de las medidas de seguridad implantadas objeto de verificar la adaptación, adecuación y eficacia de las mismas. Esta auditoria extraordinaria inicia el cómputo de dos años detallado con anterioridad.

¿Qué entendemos por modificaciones sustanciales en el sistema de información? A modo de ejemplo, podemos citar algunos casos: Cambio de sedes; cambios en servidores o estructura de seguridad de la red; cambio de aplicaciones que gestionen los ficheros que contienen los datos personales, etc..

¿Durante cuánto tiempo se deberán conservar dichos informes de auditoria?.

Esta pregunta ya fue respondida por la AEPD en su informe jurídico 0191/2010, y en el mismo se explicó lo siguiente:

El apartado 3 del precepto establece que “los informes de auditoria (…) quedarán a disposición de la Agencia Española de Protección de Datos o, en su caso, de las autoridades de control de las Comunidades
Autónomas”, si bien no se establece el plazo de conservación a disposición de la Agencia de tales informes.

El artículo 44.2 h) de la Ley Orgánica 15/1999 dispone que constituirá infracción grave de la Ley “mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dicha infracción prescribirá a los dos años de su comisión, tal y como dispone el artículo 47.1 de la Ley.

Como puede comprobarse, el responsable del fichero y el encargado se encuentran obligados a la realización, siempre que sean de aplicación las medidas de seguridad de nivel medio, como mínimo, de una auditoría cada dos años, siendo precisamente de dos años el plazo de prescripción de la sanción
consistente en no haber cumplido con dicha obligación.

De este modo, en caso de que por esta Agencia se requiriese el último informe de auditoría presentado conforme a lo dispuesto en el artículo 96 del reglamento de desarrollo de la Ley Orgánica 15/1999, la entidad requerida debería siempre tener a disposición de la Agencia un informe emitido durante los dos años anteriores al momento en el que se solicita el requerimiento,siendo éste precisamente el último informe de auditoría al que debería haberse sometido la entidad.

A la vista de lo anterior, teniendo en cuenta los plazos de prescripción y de obligación de sometimiento a la auditoría, el término durante el cual el informe debería estar a disposición de la Agencia Española de Protección de Datos o autoridad autonómica de control competente debería ser el de dos años, da modo que si no se dispusiera de un informe de esa antigüedad la entidad responsable o encargada estaría vulnerando lo dispuesto en la Ley Orgánica 15/1999 y su Reglamento de desarrollo, al no haber sometido los sistemas a una nueva auditoría en el plazo señalado.

En todo caso, y a fin de evitar la posible comisión de una infracción en caso de haberse llevado a cabo una nueva auditoría y no haberse ultimado las conclusiones de la misma, se considera que sería conveniente que en todo caso se encontrase a disposición de la Agencia el último informe de auditoría que se hubiese emitido, no siendo preciso mantener a su disposición los anteriores a aquél.

 

¿Cuál es el contenido que debe tener un informe de auditoría LOPD?

El informe de auditoría debe, desde un punto de vista general, dictaminar sobre la adecuación de las medidas y controles de seguridad existentes a lo contenido en el RLOPD. Por tanto, deberá identificar las deficiencias que sean observadas, proponer medidas correctoras e incluir recomendaciones por parte del equipo auditor. Igualmente, resulta adecuado y conveniente que se recojan datos, hechos y observaciones en los que se basen los dictámenes alcanzados.

Para poder llevar a cabo la misma, ¿qué deberá tener en cuenta el Responsable de Seguridad de la entidad a auditar?. Lo siguiente:

Sigue leyendo

Estadística del blog

  • 113,059 Visitas

Agujero de seguridad; incidente de seguridad APEP ASNEF auditoría técnica cesión de datos sin consentimiento cifrado consentimiento informado conservación historia clínica cumplimiento lopd custodiar mal historias clínicas datos confidenciales deber de secreto denuncia destructoras de papel difundir lista de morosos envío de publicidad envío sin copia oculta estudio seguridad redes wifi facebook fichero de información y solvencia fondos de formación fraude fundación tripartita gestión de continuidad del negocio google Grupo de trabajo del Artículo 29 guía de protección de datos historia clínica incidencia de seguridad incluir a moroso sin requerir la deuda informe de auditoría infraestructuras en la pyme lista de morosos lista robinson lopd lopd canarias LOPD COSTE CERO LSSI marco legal marketing medidas de seguridad MOVISTAR plan de contingencia política de privacidad principio de calidad principio de consentimiento principio de seguridad privacidad privacidad objeto de garantía problema de seguridad propuesta de la Unión Europea protección de datos proteger menores publicación en internet publicación sin consentimiento de datos personales reconocimiento facial redes sociales redes sociales y menores reputación online robo de datos robo de identidad sancionada protección de datos Sanciones LOPD Canarias sanción seguridad seguridad en la nube seguridad informática servicios cloud smartphone smartphone con android usurpación de personalidad videovigilancia Whatsapp WhatsApp problemas seguridad wifi
A %d blogueros les gusta esto: