{"id":2027,"date":"2016-02-23T14:24:46","date_gmt":"2016-02-23T14:24:46","guid":{"rendered":"http:\/\/demo.themelogi.com\/wanium\/?page_id=2027"},"modified":"2019-06-21T07:48:30","modified_gmt":"2019-06-21T06:48:30","slug":"portfolio-architect","status":"publish","type":"page","link":"https:\/\/www.residenciaavemaria.es\/?page_id=2027","title":{"rendered":"Politica de violacion de seguridad"},"content":{"rendered":"<p>[vc_row][vc_column][vc_column_text]<strong>POL\u00cdTICA DE NOTIFICACI\u00d3N DE VIOLACIONES DE SEGURIDAD<\/strong><\/p>\n<p><strong>Codigo:PL Edicion: 01 Fecha 17-06-2019<\/strong><\/p>\n<p><strong>INDICE<\/strong><\/p>\n<ol>\n<li><strong>Objeto y alcance&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;. 2<\/strong><\/li>\n<li><strong>Definiciones&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;.. 2<\/strong><\/li>\n<li><strong>Procedimiento en el supuesto de violaci\u00f3n de seguridad&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;. 3<\/strong><\/li>\n<\/ol>\n<p>&nbsp;<\/p>\n<ol>\n<li><strong>Objeto y alcance<\/strong><\/li>\n<\/ol>\n<p><strong>El objeto del presente documento es definir la pol\u00edtica y los est\u00e1ndares de control en materia de seguridad de los datos personales y, en particular, definir el procedimiento y sistem\u00e1tica a aplicar por ONECHA TREJO, S.L. (la \u201cSociedad\u201d) en casos de violaciones o incidencias de seguridad de los datos personales (la \u201cPol\u00edtica\u201d), ya sea mediante la notificaci\u00f3n de dichos sucesos a las autoridades de protecci\u00f3n de datos y cualesquiera otras autoridades que resulten competentes como, en su caso, a los particulares afectados; todo ello de conformidad con lo establecido en el Reglamento (UE) 2016\/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protecci\u00f3n de las personas f\u00edsicas en lo que respecta al tratamiento de datos personales y a la libre circulaci\u00f3n de estos datos y por el que se deroga la Directiva 95\/46\/CE (\u201cRGPD\u201d) y cualesquiera otras normas que lo adapten, desarrollen o complementen y que resulten de aplicaci\u00f3n a la Compa\u00f1\u00eda. Adem\u00e1s, para la redacci\u00f3n de esta pol\u00edtica se han tomado en consideraci\u00f3n las Directrices sobre las notificaciones de violaciones de seguridad bajo el RGPD, publicadas por el Grupo de Trabajo del Art\u00edculo 29 (\u201cGT29\u201d).<\/strong><\/p>\n<p><strong>Esta Pol\u00edtica es aplicable a la Sociedad, a todo el personal que se halle bajo su \u00e1mbito de direcci\u00f3n y organizaci\u00f3n, as\u00ed como a sus colaboradores, subcontratistas o proveedores externos e internos, en la medida en que presten servicios a la Sociedad, o en su nombre, que puedan conllevar el tratamiento de datos personales (conjuntamente, los \u201cUsuarios Receptores\u201d).<\/strong><\/p>\n<p><strong>En caso de conflicto o discrepancia entre esta Pol\u00edtica y la normativa o regulaci\u00f3n que resulte aplicable, cualquier obligaci\u00f3n legal prevalecer\u00e1.<\/strong><\/p>\n<p><strong>Cuando lo permita la Ley, cualquier violaci\u00f3n de esta Pol\u00edtica puede derivar en una acci\u00f3n disciplinaria, incluyendo el despido. La Compa\u00f1\u00eda se reserva el derecho a notificar a las autoridades competentes cualquier actividad ilegal y de cooperar en cualquier investigaci\u00f3n de dicha actividad.<\/strong><\/p>\n<p>&nbsp;<\/p>\n<ol start=\"2\">\n<li><strong>Definiciones<\/strong><\/li>\n<\/ol>\n<p><strong>2.1.\u00a0\u00a0\u00a0 \u201cViolaci\u00f3n de Seguridad\u201d significa toda violaci\u00f3n de la seguridad que ocasione la destrucci\u00f3n, p\u00e9rdida o alteraci\u00f3n accidental o il\u00edcita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicaci\u00f3n o acceso no autorizados a dichos datos.<\/strong><\/p>\n<p><strong>El GT29 categoriza las Violaciones de Seguridad del siguiente modo:<\/strong><\/p>\n<p>&nbsp;<\/p>\n<ul>\n<li><strong>Violaci\u00f3n de confidencialidad: Se da cuando existe una revelaci\u00f3n de o un acceso a Datos Personales no autorizado o accidental. Un ejemplo de este tipo de Violaci\u00f3n se puede dar en casos en los que se haya producido un ataque inform\u00e1tico a los sistemas de tratamiento de datos de empleados de la Sociedad que haya resultado en la copia de Datos Personales de empleados por parte de los atacantes, o una salida no autorizada de datos de empleados realizada por un operador interno.<\/strong><\/li>\n<li><strong>Violaci\u00f3n de integridad: Se refiere a alteraciones no autorizadas o accidentales de los Datos Personales. Un ejemplo de este tipo de Violaci\u00f3n se dar\u00eda en caso de que se produzca un incendio o inundaci\u00f3n en una estancia de la Sociedad en la cual se guardan documentos f\u00edsicos conteniendo Datos Personales que, como consecuencia del desastre acaecido, han sido destruidos, sin que exista una copia de seguridad en otro lugar o sistema.<\/strong><\/li>\n<li><strong>Violaci\u00f3n de disponibilidad: Concurre cuando se produce una p\u00e9rdida de acceso o destrucci\u00f3n no autorizada o accidental de los Datos Personales. Un ejemplo de este tipo de Violaci\u00f3n se puede observar en casos en los que se pierda la clave que descifra una serie de datos encriptados, lo que provocar\u00eda que no se pudiera acceder a dichos datos.<\/strong><\/li>\n<\/ul>\n<p><strong>Por supuesto, podr\u00eda darse el caso de Violaciones de Seguridad que combinaran varias de las caracter\u00edsticas anteriores. Este ser\u00eda el ejemplo de la p\u00e9rdida de un dispositivo que es encontrado por un tercero o un ataque inform\u00e1tico que impide el acceso al responsable a determinados ficheros y, adicionalmente, publica sin autorizaci\u00f3n dichos datos (existir\u00edan conjuntamente una Violaci\u00f3n de disponibilidad y de confidencialidad).<\/strong><\/p>\n<p><strong>2.2.\u00a0\u00a0\u00a0 \u201cDatos Personales\u201d significa toda informaci\u00f3n sobre una persona f\u00edsica identificada o identificable (el \u201cInteresado\u201d), y asimismo se considerar\u00e1 persona f\u00edsica identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un n\u00famero de identificaci\u00f3n, datos de localizaci\u00f3n, un identificador en l\u00ednea o uno o varios elementos propios de la identidad f\u00edsica, fisiol\u00f3gica, gen\u00e9tica, ps\u00edquica, econ\u00f3mica, cultural o social de dicha persona.<\/strong><\/p>\n<p><strong>2.3.\u00a0\u00a0\u00a0 \u201cInteresados Afectados\u201d significa los Interesados cuyos Datos Personales se han visto afectados por la existencia de una Violaci\u00f3n de Seguridad.<\/strong><\/p>\n<p><strong>2.4.\u00a0\u00a0\u00a0 \u201cResponsable del tratamiento\u201d: la persona f\u00edsica o jur\u00eddica, autoridad p\u00fablica, agencia u otra entidad que, por s\u00ed sola o conjuntamente con otras, determine los fines y los medios del tratamiento de los datos personales.<\/strong><\/p>\n<p><strong>2.5.\u00a0\u00a0\u00a0 \u201c\u00c1mbito de aplicaci\u00f3n\u201d: Esta pol\u00edtica se aplicar\u00e1 a las Violaciones de Seguridad que afecten a la Sociedad como Responsable del tratamiento.<\/strong><\/p>\n<p>&nbsp;<\/p>\n<ol start=\"3\">\n<li><strong>Procedimiento en el supuesto de Violaci\u00f3n de Seguridad <\/strong>\n<ul>\n<li><strong>En el desarrollo de las actividades de la Sociedad se pueden dar situaciones como accesos, intentos de acceso, usos, divulgaci\u00f3n, modificaci\u00f3n o destrucci\u00f3n no autorizada de Datos Personales. Estos casos constituyen una Violaci\u00f3n de Seguridad seg\u00fan este concepto se describe en la cl\u00e1usula precedente.<\/strong><\/li>\n<li><strong>El tratamiento de Datos Personales estar\u00e1 supervisado por la persona responsable en materia de protecci\u00f3n de datos de la Sociedad, a los efectos de controlar y poder notificar inmediatamente Violaciones de Seguridad. Los referidos tratamientos de Datos Personales cumplir\u00e1n en todo momento con el RGPD y la normativa en materia de protecci\u00f3n de datos de car\u00e1cter personal que pueda resultar aplicable.<\/strong><\/li>\n<li><strong>Adicionalmente, la persona responsable en materia de protecci\u00f3n de datos de la Sociedad se encargar\u00e1 de que todos los Usuarios Receptores conozcan el contenido de esta Pol\u00edtica y est\u00e9n en todo momento informados de las medidas de seguridad y el procedimiento a seguir en caso de Violaciones de Seguridad.<\/strong><\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p><strong>Siempre que sea necesario, la persona responsable en materia de protecci\u00f3n de datos de la Sociedad se encargar\u00e1 de que los Usuarios Receptores tengan acceso a los cursos y formaci\u00f3n necesaria para poder cumplir con los requisitos y obligaciones contenidos en esta Pol\u00edtica y la normativa aplicable en materia de protecci\u00f3n de datos.<\/strong><\/p>\n<ul>\n<li><strong>En caso de que se produzca una Violaci\u00f3n de Seguridad en la Sociedad, se seguir\u00e1 el procedimiento siguiente, comprensivo de las medidas de seguridad que se describir\u00e1n a continuaci\u00f3n:<\/strong>\n<ul>\n<li><strong>Notificaci\u00f3n interna de la Violaci\u00f3n de Seguridad y procedimiento de escalado.<\/strong><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p><strong>Cualquier Usuario Receptor de la Sociedad que tenga la sospecha de que se ha producido una Violaci\u00f3n de Seguridad deber\u00e1 notificarlo inmediatamente a la persona responsable en materia de protecci\u00f3n de datos de la Sociedad, indicando, en la medida en que sea posible en ese estadio del procedimiento y siempre condicionado al car\u00e1cter urgente de la comunicaci\u00f3n:<\/strong><\/p>\n<ul>\n<li><strong>Fecha y hora en que se detect\u00f3 la existencia de la Violaci\u00f3n de Seguridad.<\/strong><\/li>\n<li><strong>Equipo, ficheros, sistema y\/o Datos Personales que han resultado afectados por la Violaci\u00f3n de Seguridad.<\/strong><\/li>\n<li><strong>Descripci\u00f3n detallada de la Violaci\u00f3n de Seguridad.<\/strong><\/li>\n<\/ul>\n<p><strong>Aunque los clientes de la Sociedad y las autoridades competentes no est\u00e1n sujetos a los t\u00e9rminos de esta Pol\u00edtica, los Usuarios Receptores s\u00ed lo est\u00e1n y, por consiguiente, deber\u00e1n notificar inmediatamente (seg\u00fan el proceso anterior) cualquier informaci\u00f3n que reciban por parte de los primeros, sobre toda posible sospecha de Violaci\u00f3n de Seguridad.<\/strong><\/p>\n<p><strong>La documentaci\u00f3n que en su caso se genere en relaci\u00f3n al proceso de notificaci\u00f3n interna contenido en esta cl\u00e1usula no puede contener Datos Personales ni elementos protegidos afectados por la Violaci\u00f3n de Seguridad (por ejemplo, datos filtrados o robados) pues de lo contrario el contenido de dicha documentaci\u00f3n podr\u00eda ser considerado en s\u00ed mismo una Violaci\u00f3n de Seguridad.<\/strong><\/p>\n<ul>\n<li><strong>Medidas de seguridad y cumplimiento de obligaciones legales tras la notificaci\u00f3n de la Violaci\u00f3n de Seguridad<\/strong><\/li>\n<\/ul>\n<p><strong>El GT29 considera que la Sociedad tiene constancia de la Violaci\u00f3n de Seguridad cuando la misma o cualquiera de sus colaboradores o subcontratistas tengan la razonable certeza de que se ha producido una Violaci\u00f3n de Seguridad. Este momento vendr\u00e1 determinado por el procedimiento de comunicaciones interno de la Sociedad en caso de Violaciones de Seguridad.<\/strong><\/p>\n<p><strong>En este sentido, es necesario recordar el contenido del Considerando 87 del RGPD, el cual indica que dentro de las medidas de seguridad t\u00e9cnicas y organizativas que la Sociedad debe implementar, ser\u00e1 necesario que existan medidas dedicadas a la detecci\u00f3n pronta y adecuada de Violaciones de Seguridad, a modo de \u201cor\u00e1culos\u201d que puedan alertar a la Sociedad debidamente de dichas Violaciones. Resulta, pues, una obligaci\u00f3n para la Sociedad establecer mecanismos adecuados de detecci\u00f3n de Violaciones de Seguridad en sus sistemas.<\/strong><\/p>\n<p><strong>De cualquier modo, resulta evidente que cada Violaci\u00f3n de Seguridad tendr\u00e1 sus particularidades espec\u00edficas y la dificultad de detecci\u00f3n de Violaciones de Seguridad ser\u00e1 mayor o menor en funci\u00f3n del supuesto concreto. Es por ello que la determinaci\u00f3n del momento en el que la Sociedad ha tenido constancia adquiriendo ese grado de certeza razonable de la existencia de la Violaci\u00f3n de Seguridad, se debe analizar caso por caso. Se debe tener en cuenta que, a partir de ese momento en que la Sociedad tiene constancia de la Violaci\u00f3n de Seguridad, consta de un plazo de 72 horas para realizar la notificaci\u00f3n a la autoridad de control competente.<\/strong><\/p>\n<p><strong>Cuando la Sociedad reciba una alerta de posible Violaci\u00f3n de Seguridad, \u00e9sta puede iniciar una investigaci\u00f3n con el objetivo de adquirir la certeza de que se ha producido efectivamente dicha Violaci\u00f3n. Si bien el RGPD no se refiere a la posibilidad de este per\u00edodo de investigaci\u00f3n, resulta l\u00f3gico que \u00e9ste debe existir para que la notificaci\u00f3n a la autoridad de control competente resulte fundada en hechos concretos y objetivos. El GT29 defiende la existencia de este per\u00edodo de investigaci\u00f3n, matizando que debe producirse en un contexto de urgencia y sin dilaciones indebidas. No se podr\u00e1 considerar que la Sociedad haya tenido constancia hasta el fin de este per\u00edodo de investigaci\u00f3n, en el que se concluya si la Violaci\u00f3n de Seguridad se ha producido o no.<\/strong><\/p>\n<p><strong>Asimismo, seg\u00fan el proceso establecido en la cl\u00e1usula 3.4.1 anterior, si la persona responsable en materia de protecci\u00f3n de datos de la Sociedad considerara que, efectivamente, se ha producido una Violaci\u00f3n de Seguridad, deber\u00e1 analizar y fijar, con toda la precisi\u00f3n que resulte posible, los da\u00f1os y riesgos para los derechos y libertades de los Interesados Afectados que dicha Violaci\u00f3n de Seguridad haya podido conllevar.<\/strong><\/p>\n<p><strong>El GT29 propone una lista no limitativa de elementos a analizar en cada caso, que ayudar\u00e1n a determinar el impacto de la Violaci\u00f3n de Seguridad en los derechos y libertades de los Interesados Afectados, tales como:<\/strong><\/p>\n<ul>\n<li><strong>El tipo de Violaci\u00f3n de Seguridad (Violaci\u00f3n de confidencialidad, de integridad o de disponibilidad).<\/strong><\/li>\n<li><strong>La naturaleza de la misma, la naturaleza de los Datos Personales afectados y el volumen de los mismos.<\/strong><\/li>\n<li><strong>La facilidad de identificaci\u00f3n de los Interesados Afectados a trav\u00e9s del an\u00e1lisis de los Datos Personales afectados.<\/strong><\/li>\n<li><strong>La gravedad de las posibles consecuencias que la Violaci\u00f3n de Seguridad pudiera derivar para los Interesados Afectados.<\/strong><\/li>\n<li><strong>Caracter\u00edsticas especiales de los Interesados Afectados (menores, discapacitados, etc.).<\/strong><\/li>\n<li><strong>Caracter\u00edsticas especiales del responsable del tratamiento (aunque en el caso de la Sociedad posiblemente no aplique este par\u00e1metro, m\u00e1s dirigido a responsables de datos sensibles).<\/strong><\/li>\n<li><strong>N\u00famero de Interesados Afectados.<\/strong><\/li>\n<\/ul>\n<p><strong>En relaci\u00f3n a la probabilidad de la materializaci\u00f3n de un perjuicio para los derechos y libertades de los Interesados Afectados, se debe atender a las circunstancias concretas del caso y a las medidas que la Sociedad ha implementado con anterioridad y con posterioridad a la Violaci\u00f3n de Seguridad concreta sobre los Datos Personales. Se proponen tres ejemplos de an\u00e1lisis de la probabilidad:<\/strong><\/p>\n<ul>\n<li><strong>En caso de una Violaci\u00f3n de confidencialidad basada en el robo de datos por un ataque inform\u00e1tico, si los Datos Personales fueron encriptados a trav\u00e9s de un mecanismo de cifrado imposible de reconocer o descifrar para cualquier persona externa a la Sociedad, la probabilidad de materializaci\u00f3n del perjuicio ser\u00e1 menor que si no existe dicha medida de seguridad.<\/strong><\/li>\n<li><strong>En caso de una Violaci\u00f3n de integridad ocasionada por un incendio en un espacio f\u00edsico, en caso de que se guarden copias de seguridad digitales en servidores de la Sociedad, o que se mantengan copias f\u00edsicas de esa documentaci\u00f3n en otro lugar separado del afectado, la probabilidad de materializaci\u00f3n del perjuicio ser\u00e1 menor que si no existe dicha medida de seguridad.<\/strong><\/li>\n<li><strong>En caso de una Violaci\u00f3n de disponibilidad que viene dada por la p\u00e9rdida de la clave para desencriptar un fichero cuya informaci\u00f3n se haya encriptada, si la Sociedad puede recuperar la informaci\u00f3n almacenada en dicho fichero gracias a una copia de back-up, el riesgo de materializaci\u00f3n del perjuicio ser\u00eda menor que en caso de que no existiera dicha copia.<\/strong><\/li>\n<\/ul>\n<p><strong>En su caso, la persona responsable en materia de protecci\u00f3n de datos de la Sociedad, tras analizar e identificar las consecuencias de las Violaciones de Seguridad, deber\u00e1 definir las acciones a tomar y, en su caso, el plan de contingencia a seguir para subsanar dicha Violaci\u00f3n de Seguridad y minimizar as\u00ed sus consecuencias. Asimismo, deber\u00e1 llevar a cabo el seguimiento de la misma.<\/strong><\/p>\n<ul>\n<li><strong>Notificaci\u00f3n externa de la Violaci\u00f3n de Seguridad<\/strong><\/li>\n<\/ul>\n<p><strong>La Sociedad deber\u00e1 notificar la Violaci\u00f3n de Seguridad a la autoridad de control competente de conformidad con lo dispuesto en el RGPD, o cualesquiera otras normativas nacionales que resulten aplicables, sin dilaci\u00f3n indebida y, de ser posible, a m\u00e1s tardar 72 horas despu\u00e9s de que haya tenido constancia de ella, a menos que sea improbable que dicha Violaci\u00f3n de Seguridad constituya un riesgo para los derechos y las libertades de las personas f\u00edsicas que han proporcionado sus Datos Personales a la Sociedad. Si la notificaci\u00f3n a la autoridad de control no tiene lugar en el mencionado plazo de 72 horas, la Sociedad deber\u00e1 acompa\u00f1ar la misma con indicaci\u00f3n de los motivos de la dilaci\u00f3n.<\/strong><\/p>\n<p><strong>Asimismo, y para el caso de que fuera probable que la Violaci\u00f3n de Seguridad entra\u00f1ara un alto riesgo para los derechos y libertades de los sujetos personas f\u00edsicas que hubieran proporcionado sus Datos Personales a la Sociedad, la misma deber\u00e1 comunicar la Violaci\u00f3n de Seguridad a dichos sujetos sin dilaci\u00f3n indebida.<\/strong><\/p>\n<p><strong>Esta notificaci\u00f3n deber\u00e1 describir en un lenguaje claro y sencillo la naturaleza de la Violaci\u00f3n de Seguridad y contendr\u00e1 como m\u00ednimo la informaci\u00f3n y medidas contempladas en el RGPD que se describir\u00e1n m\u00e1s adelante.<\/strong><\/p>\n<p><strong>Asimismo, respecto del modo de realizar esta comunicaci\u00f3n a los Interesados Afectados, el GT29 indica que la comunicaci\u00f3n ha de ser efectiva a una direcci\u00f3n v\u00e1lida perteneciente al Interesado Afectado, sin que se entienda cumplida esta obligaci\u00f3n con la notificaci\u00f3n a trav\u00e9s, por ejemplo, de un comunicado de prensa o una web de la Sociedad. Insiste el GT29 en la importancia de mantener prueba del env\u00edo de la notificaci\u00f3n a los Interesados Afectados.<\/strong><\/p>\n<p><strong>Sin perjuicio de lo anterior, no resultar\u00e1 necesario comunicar la Violaci\u00f3n de Seguridad a los Interesados Afectados que hayan proporcionado sus Datos Personales a la Sociedad si se cumplen los siguientes requisitos:<\/strong><\/p>\n<ul>\n<li><strong>Que la Sociedad hubiera adoptado medidas de protecci\u00f3n t\u00e9cnicas y organizativas apropiadas y estas medidas se hubieran aplicado a los Datos Personales afectados por la Violaci\u00f3n de Seguridad, en particular aquellas que hagan ininteligibles los Datos Personales para cualquier persona que no estuviera autorizada a acceder a ellos, como el cifrado.<\/strong><\/li>\n<li><strong>Que la Sociedad hubiera tomado medidas ulteriores que garantizaran que ya no existe la probabilidad de que se concretice el alto riesgo para los derechos y libertades de los Interesados Afectados.<\/strong><\/li>\n<li><strong>Que la notificaci\u00f3n a los Interesados Afectados supusiera un esfuerzo desproporcionado para la Sociedad. En este caso, se optar\u00e1 en su lugar por una comunicaci\u00f3n p\u00fablica o una medida semejante por la que se informe de manera igualmente efectiva a los Interesados Afectados.<\/strong>\n<ul>\n<li><strong>Contenido de la notificaci\u00f3n de la Sociedad en caso de Violaciones de Seguridad como Responsable del tratamiento<\/strong>\n<ul>\n<li><strong>Notificaci\u00f3n a la autoridad de control competente<\/strong><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p><strong>La notificaci\u00f3n de la Sociedad deber\u00e1, como m\u00ednimo:<\/strong><\/p>\n<ul>\n<li><strong>Describir la naturaleza de la Violaci\u00f3n de Seguridad, inclusive, cuando sea posible, las categor\u00edas y el n\u00famero aproximado de Interesados Afectados, y las categor\u00edas y el n\u00famero aproximado de registros de Datos Personales afectados. En caso de que no sea posible conocer con exactitud estos aspectos, el GT29 indica que es posible incluir aproximaciones en la notificaci\u00f3n, explicando los motivos por los cuales llegar a un n\u00famero exacto no es posible.<\/strong><\/li>\n<li><strong>Comunicar el nombre y los datos de contacto de la persona responsable en materia de protecci\u00f3n de datos de la Sociedad.<\/strong><\/li>\n<li><strong>Describir las posibles consecuencias de la Violaci\u00f3n de Seguridad.<\/strong><\/li>\n<li><strong>Describir las medidas adoptadas o propuestas por la Sociedad para poner remedio a la Violaci\u00f3n de Seguridad, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.<\/strong><\/li>\n<\/ul>\n<p><strong>En la medida en que no fuera posible facilitar la informaci\u00f3n de forma simult\u00e1nea, la informaci\u00f3n se deber\u00e1 proporcionar de manera gradual sin dilaci\u00f3n indebida.<\/strong><\/p>\n<p>&nbsp;<\/p>\n<ul>\n<li><strong>Notificaci\u00f3n a los Interesados Afectados:<\/strong><\/li>\n<\/ul>\n<p><strong>La notificaci\u00f3n de la Sociedad a los Interesados Afectados en relaci\u00f3n a las Violaciones de Seguridad ocurridas deber\u00e1 contener la misma informaci\u00f3n descrita en la cl\u00e1usula 3.4.4.1 anterior, con la \u00fanica excepci\u00f3n del primer apartado (i), que no ser\u00e1 necesario.<\/strong><\/p>\n<p><strong>Por su parte, el GT29 propone como buena pr\u00e1ctica que, en las comunicaciones a los Interesados Afectados, se incluyan recomendaciones en las que se expliquen las medidas que la Sociedad estima que el Interesado Afectado debe poner en pr\u00e1ctica para mitigar cualquier efecto perjudicial que la Violaci\u00f3n de Seguridad pudiera tener sobre sus derechos o libertades.<\/strong><\/p>\n<p>&nbsp;<\/p>\n<ul>\n<li><strong>Registro de Violaciones de Seguridad<\/strong><\/li>\n<\/ul>\n<p><strong>Una vez recibida la notificaci\u00f3n, la persona responsable en materia de protecci\u00f3n de datos de la Sociedad documentar\u00e1 en un registro cualquier Violaci\u00f3n de Seguridad (el \u201cRegistro de Violaciones de Seguridad\u201d), incluidos los hechos relacionados con la misma, sus efectos y las medidas correctivas adoptadas, a los efectos de permitir a la autoridad de control verificar el cumplimiento de lo dispuesto en la normativa aplicable.<\/strong><\/p>\n<p><strong>El Registro de Violaciones de Seguridad debe incorporar todos los campos necesarios para recabar los detalles y las caracter\u00edsticas de las Violaciones de Seguridad que han sido detectadas y, en particular:<\/strong><\/p>\n<ul>\n<li><strong>Los datos del Usuario Receptor que detect\u00f3 la Violaci\u00f3n de Seguridad.<\/strong><\/li>\n<li><strong>Los datos de la persona responsable en materia de protecci\u00f3n de datos de la Sociedad.<\/strong><\/li>\n<li><strong>La fecha y hora en que se produjo y\/o detect\u00f3 la Violaci\u00f3n de Seguridad.<\/strong><\/li>\n<li><strong>Los ficheros afectados.<\/strong><\/li>\n<li><strong>La causa de la Violaci\u00f3n de Seguridad (por ejemplo, robo, p\u00e9rdida, copia, acceso no autorizado, entre otros).<\/strong><\/li>\n<li><strong>La naturaleza y contenido de los Datos Personales afectados por la Violaci\u00f3n de Seguridad.<\/strong><\/li>\n<li><strong>Las medidas t\u00e9cnicas y organizativas adoptadas o a adoptar a los Datos Personales para reparar los da\u00f1os producidos y\/o paliar posibles efectos negativos futuros.<\/strong><\/li>\n<li><strong>Una descripci\u00f3n de la Violaci\u00f3n de Seguridad.<\/strong><\/li>\n<li><strong>El n\u00famero de Interesados Afectados.<\/strong><\/li>\n<li><strong>Posibles consecuencias o efectos negativos en los derechos y libertades de los Interesados Afectados.<\/strong><\/li>\n<li><strong>El contenido de las notificaciones efectuadas por la Sociedad, tanto a la autoridad de control competente, a los responsables del tratamiento como a los Interesados Afectados.<\/strong><\/li>\n<\/ul>\n<p><strong>El periodo durante el cual la persona responsable en materia de protecci\u00f3n de datos de la Sociedad deber\u00e1 conservar dicha informaci\u00f3n ser\u00e1 el que resulte aplicable por imperativo legal m\u00e1s tres (3) a\u00f1os o el plazo que a cada momento determine la normativa de protecci\u00f3n de datos para la prescripci\u00f3n de infracciones).<\/strong><\/p>\n<ul>\n<li><strong>Subsanaci\u00f3n de la Violaci\u00f3n de Seguridad y finalizaci\u00f3n del procedimiento<\/strong><\/li>\n<\/ul>\n<p><strong>Una vez analizada y solventada la Violaci\u00f3n de Seguridad, la persona responsable en materia de protecci\u00f3n de datos de la Sociedad cerrar\u00e1 la misma, procediendo, en su caso, a comunicar a las autoridades competentes e Interesados Afectados que la Violaci\u00f3n de Seguridad est\u00e1 cerrada.<\/strong><\/p>\n<p><strong>La persona responsable en materia de protecci\u00f3n de datos de la Sociedad analizar\u00e1 peri\u00f3dicamente las Violaciones de Seguridad e incidencias acaecidas, seg\u00fan el registro referido en la cl\u00e1usula 3.4.5 anterior y, si fuera posible, los costes asociados para la gesti\u00f3n de cada una de ellas. Esta informaci\u00f3n ser\u00e1 tomada en cuenta para la identificaci\u00f3n de las incidencias recurrentes y las de especial gravedad y servir\u00e1n para la toma de acciones de mejora.<\/strong><\/p>\n<p><strong>La informaci\u00f3n recabada por la persona responsable en materia de protecci\u00f3n de datos de la Sociedad ser\u00e1 tambi\u00e9n tenida en cuenta para la revisi\u00f3n de los procedimientos y medidas de seguridad y organizativas implementadas por la Sociedad.<\/strong>[\/vc_column_text][\/vc_column][\/vc_row]<\/p>\n","protected":false},"excerpt":{"rendered":"<p>[vc_row][vc_column][vc_column_text]POL\u00cdTICA DE NOTIFICACI\u00d3N DE VIOLACIONES DE SEGURIDAD Codigo:PL Edicion: 01 Fecha 17-06-2019 INDICE Objeto y alcance&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;&#8230;.<\/p>\n","protected":false},"author":1,"featured_media":0,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"","meta":{"footnotes":""},"class_list":["post-2027","page","type-page","status-publish","hentry"],"_links":{"self":[{"href":"https:\/\/www.residenciaavemaria.es\/index.php?rest_route=\/wp\/v2\/pages\/2027","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.residenciaavemaria.es\/index.php?rest_route=\/wp\/v2\/pages"}],"about":[{"href":"https:\/\/www.residenciaavemaria.es\/index.php?rest_route=\/wp\/v2\/types\/page"}],"author":[{"embeddable":true,"href":"https:\/\/www.residenciaavemaria.es\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.residenciaavemaria.es\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=2027"}],"version-history":[{"count":2,"href":"https:\/\/www.residenciaavemaria.es\/index.php?rest_route=\/wp\/v2\/pages\/2027\/revisions"}],"predecessor-version":[{"id":6197,"href":"https:\/\/www.residenciaavemaria.es\/index.php?rest_route=\/wp\/v2\/pages\/2027\/revisions\/6197"}],"wp:attachment":[{"href":"https:\/\/www.residenciaavemaria.es\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=2027"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}