PROTEC-DATOS
informe de auditoría
Las historias clínicas de 15 millones de españoles podrían tener lagunas de seguridad
Fuente: http://www.muycomputerpro.com
Informe de auditoría: período de validez y conservación.
El Reglamento de desarrollo de la LOPD, a partir del nivel medio de seguridad, en su artículo 96 RLOPD, señala que será obligatorio realizar una auditoría que contemple los sistemas de información e instalaciones de tratamiento y almacenamiento de datos y verifique el cumplimiento de las medidas de seguridad reguladas en el Título VIII del RLOPD.
¿Cada cuánto se habrá de realizar la misma?
La respuesta la hayamos en la redacción del artículo 96.1 del RLOPD que señala lo siguiente:
1. Apartir del nivel medio los sistemas de información e instalaciones de tratamiento y almacenamiento de datos se someterán, al menos cada dos años, a una auditoría interna o externa que verifique el cumplimiento del presente título.
De esta forma, el RLOPD establece la obligación de realizar la misma en el período que va desde que se hizo la última hasta, al menos, dos años después. La definición «al menos cada dos años», indica claramente que el período entre auditoría no deberá superar nunca los 24 meses, ni transcurrir mas de los 730 días. Esto viene a dejar en evidencia a aquellas entidades que, realizando esta exigencia legal de auditar sus sistemas de información, lo hacen computando solo el año olvidando el mes y el día. Por ejemplo, realizaron la auditoría el 12 de enero del 2010 y creen que tienen todo el 2012 para llevarla a cabo; pero la definición del artículo 96.1 deja claro que la fecha tope para haber realizado la misma se cumplió el 11 de enero del 2012. La realización de una auditoría fuera de esa fecha deberá recoger este hecho como un incumplimiento de la medida de seguridad.
Además, el artículo 96.1 en su continuación recoge la obligación de realizar una auditoría extraordinaria en aquellas situaciones en las que el responsable del fichero realice modificaciones sustanciales en el sistema de información que puedan repercutir en el cumplimiento de las medidas de seguridad implantadas objeto de verificar la adaptación, adecuación y eficacia de las mismas. Esta auditoria extraordinaria inicia el cómputo de dos años detallado con anterioridad.
¿Qué entendemos por modificaciones sustanciales en el sistema de información? A modo de ejemplo, podemos citar algunos casos: Cambio de sedes; cambios en servidores o estructura de seguridad de la red; cambio de aplicaciones que gestionen los ficheros que contienen los datos personales, etc..
¿Durante cuánto tiempo se deberán conservar dichos informes de auditoria?.
Esta pregunta ya fue respondida por la AEPD en su informe jurídico 0191/2010, y en el mismo se explicó lo siguiente:
El apartado 3 del precepto establece que “los informes de auditoria (…) quedarán a disposición de la Agencia Española de Protección de Datos o, en su caso, de las autoridades de control de las Comunidades
Autónomas”, si bien no se establece el plazo de conservación a disposición de la Agencia de tales informes.
El artículo 44.2 h) de la Ley Orgánica 15/1999 dispone que constituirá infracción grave de la Ley “mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dicha infracción prescribirá a los dos años de su comisión, tal y como dispone el artículo 47.1 de la Ley.
Como puede comprobarse, el responsable del fichero y el encargado se encuentran obligados a la realización, siempre que sean de aplicación las medidas de seguridad de nivel medio, como mínimo, de una auditoría cada dos años, siendo precisamente de dos años el plazo de prescripción de la sanción
consistente en no haber cumplido con dicha obligación.
De este modo, en caso de que por esta Agencia se requiriese el último informe de auditoría presentado conforme a lo dispuesto en el artículo 96 del reglamento de desarrollo de la Ley Orgánica 15/1999, la entidad requerida debería siempre tener a disposición de la Agencia un informe emitido durante los dos años anteriores al momento en el que se solicita el requerimiento,siendo éste precisamente el último informe de auditoría al que debería haberse sometido la entidad.
A la vista de lo anterior, teniendo en cuenta los plazos de prescripción y de obligación de sometimiento a la auditoría, el término durante el cual el informe debería estar a disposición de la Agencia Española de Protección de Datos o autoridad autonómica de control competente debería ser el de dos años, da modo que si no se dispusiera de un informe de esa antigüedad la entidad responsable o encargada estaría vulnerando lo dispuesto en la Ley Orgánica 15/1999 y su Reglamento de desarrollo, al no haber sometido los sistemas a una nueva auditoría en el plazo señalado.
En todo caso, y a fin de evitar la posible comisión de una infracción en caso de haberse llevado a cabo una nueva auditoría y no haberse ultimado las conclusiones de la misma, se considera que sería conveniente que en todo caso se encontrase a disposición de la Agencia el último informe de auditoría que se hubiese emitido, no siendo preciso mantener a su disposición los anteriores a aquél.
¿Cuál es el contenido que debe tener un informe de auditoría LOPD?
El informe de auditoría debe, desde un punto de vista general, dictaminar sobre la adecuación de las medidas y controles de seguridad existentes a lo contenido en el RLOPD. Por tanto, deberá identificar las deficiencias que sean observadas, proponer medidas correctoras e incluir recomendaciones por parte del equipo auditor. Igualmente, resulta adecuado y conveniente que se recojan datos, hechos y observaciones en los que se basen los dictámenes alcanzados.
Para poder llevar a cabo la misma, ¿qué deberá tener en cuenta el Responsable de Seguridad de la entidad a auditar?. Lo siguiente:
PROTEC-DATOS 
