Formulario Datos Personales

ORGANIZACIÓN*
REALIZADO EN FECHA*
DD barra MM barra AAAA
AUDITOR/A*
Nombre Apellidos
Email*

MEDIDAS GENERALES
1. POLÍTICA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL
1.1. Se ha documentado la existencia de la Política de Protección de Datos de Carácter Personal en la organización responsable del tratamiento.
- CUMPLE
- NO CUMPLE
Observaciones
1.2. El contenido de la Política de Protección de Datos de Carácter Personal es suficiente y cuenta con revisiones regulares.
- CUMPLE
- NO CUMPLE
Observaciones

2. FUNCIONES Y OBLIGACIONES DE LOS USUARIOS Y NORMAS DE USO DE LOS RECURSOS DE LA INFORMACIÓN Y LA COMUNICACIÓN
2.1. Se ha documentado la existencia funciones y obligaciones de los usuarios y normas de uso del sistema de información de la organización.
- CUMPLE
- NO CUMPLE
Observaciones

3. FORMACIÓN Y ADIESTRAMIENTO EN PROTECCIÓN DE DATOS DE LAS PERSONAS DE LA ORGANIZACIÓN
3.1. Hay registros sobre acciones formativas o de difusión en relación con el cumplimiento de la normativa de protección de datos, para las personas involucradas en el tratamiento de los datos.
- CUMPLE
- NO CUMPLE
Observaciones
3.2. Las personas de la organización con acceso a los datos han sido informadas acerca de sus obligaciones en relación con el cumplimiento de la normativa de protección de datos.
- CUMPLE
- NO CUMPLE
Observaciones
3.3. Las acciones formativas y la información impartidas son acordes al conocimiento, formación y adiestramiento apropiado, incluyendo actualizaciones periódicas.
- CUMPLE
- NO CUMPLE
Observaciones

4. INVENTARIO DE ACTIVOS FÍSICOS
4.1. Existe una relación documentada de todos aquellos recursos físicos (hardware) que tengan valor para la entidad y necesiten por tanto ser protegidos de vulnerabilidades frente a potenciales amenazas.
- CUMPLE
- NO CUMPLE
Observaciones
4.2. El inventario de activos y su contenido está aprobado por el responsable del tratamiento.
- CUMPLE
- NO CUMPLE
Observaciones
4.3. El inventario de activos y su contenido es suficiente y está actualizado.
- CUMPLE
- NO CUMPLE
Observaciones

7 MEDIDA DE SEGURIDAD DE SOFTWARE DE CIFRADO DE ARCHIVOS EN ACTIVIDADES DE TRATAMIENTO DE ALTO RIESGO
7.1. El responsable del tratamiento ha adoptado medidas técnicas de cifrado de archivos, consistentes en transformar la información de modo que pase a ser ilegible para todos salvo para las personas autorizadas a acceder a dicha información en las actividades de tratamiento de alto riesgo realizadas por la organización.
- CUMPLE
- NO CUMPLE
Observaciones
7.2. El acceso a la información original de los archivos a partir de su versión cifrada se lleva a cabo mediante el uso de claves y algoritmos.
- CUMPLE
- NO CUMPLE
Observaciones
7.3. Se puede verificar la adopción de estas medidas de cifrado de archivos de datos personales, en relación con las actividades de tratamiento de alto riesgo realizadas por la organización.
- CUMPLE
- NO CUMPLE
Observaciones
7.4. Las medidas son eficaces para garantizar que los archivos de datos personales no se atribuyan a una persona física identificada o identificable.
- CUMPLE
- NO CUMPLE
Observaciones

8. MEDIDA DE SEGURIDAD DE SOFTWARE DE CIFRADO DE CORREO ELECTRÓNICO EN ACTIVIDADES DE TRATAMIENTO DE ALTO RIESGO
8.1. En relación con actividades de alto riesgo, la transmisión de datos de carácter personal a través de redes públicas o redes inalámbricas de comunicaciones electrónicas se realizará cifrando dichos datos.
- CUMPLE
- NO CUMPLE
Observaciones
8.2. En defecto del cifrado, se llevará a cabo utilizando cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros.
- CUMPLE
- NO CUMPLE
Observaciones
8.3. Existe un de software de cifrado de correo electrónico en la organización o cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros, en relación con actividades de tratamiento de alto riesgo.
- CUMPLE
- NO CUMPLE
Observaciones

10. SISTEMA DE GESTIÓN DE PERMISOS / PRIVILEGIOS DE ACCESO
10.1. La organización dispone de políticas documentadas en relación con la gestión de permisos / privilegios de acceso.
- CUMPLE
- NO CUMPLE
Observaciones
10.2. La organización dispone de medidas implantadas en relación con la gestión de privilegios de acceso.
- CUMPLE
- NO CUMPLE
Observaciones
10.3. Las personas tanto propias como ajenas a la organización, únicamente pueden acceder a aquellos datos y recursos que les sean precisos para el desarrollo de sus responsabilidades y funciones.
- CUMPLE
- NO CUMPLE
Observaciones
10.4. La organización dispone de una relación actualizada de usuarios y perfiles de usuarios, en la cual se documentan los accesos autorizados para cada uno de ellos.
- CUMPLE
- NO CUMPLE
Observaciones

11. LIMITACIÓN DEL NÚMERO DE INTENTOS REITERADOS DE ACCESO NO AUTORIZADO
11.1. La organización dispone de la existencia de mecanismos que limiten la posibilidad de intentar reiteradamente el acceso no autorizado al sistema de información.
- CUMPLE
- NO CUMPLE
Observaciones
11.2. La organización dispone de evidencias en relación con actividades de tratamiento de alto riesgo, de la existencia de mecanismos que limiten la posibilidad de intentar reiteradamente el acceso no autorizado al sistema de información.
- CUMPLE
- NO CUMPLE
Observaciones
11.3. La organización dispone de evidencias en relación con actividades de tratamiento de alto riesgo, de la adopción de acciones correctoras frente al intento reiterado de acceso no autorizado al sistema de información.
- CUMPLE
- NO CUMPLE
Observaciones

14. SISTEMA DE FIRMA ELECTRÓNICA
14.1. La organización dispone de firma electrónica como conjunto de datos o cualquier otro mecanismo que permita asegurar la identidad del firmante y la integridad de los documentos tales como contratos, relación electrónica con la administración, mensajes de correo electrónico, etc.
- CUMPLE
- NO CUMPLE
Observaciones
14.2. La organización dispone de evidencias de un sistema de firma electrónica u otro mecanismo que permita asegurar la identidad del firmante y la integridad de la información documentada.
- CUMPLE
- NO CUMPLE
Observaciones

15. RED PRIVADA DE COMUNICACIONES ELECTRÓNICAS
15.1. La organización dispone de una red privada de comunicaciones electrónicas, administrada y operada por una entidad externa especializada en TIC ó VPN (Virtual Private Network) diseñada para proteger la privacidad online.
- CUMPLE
- NO CUMPLE
Observaciones
15.2. La organización dispone de una red privada de comunicaciones electrónicas ó VPN diseñada para proteger la privacidad online, administrada y operada por un departamento propio especializado en TIC.
- CUMPLE
- NO CUMPLE
Observaciones
15.3. La organización dispone de una relación de usuarios VPN que son miembros de la propia organización y aquéllos que no lo son, en operaciones de tratamiento de alto riesgo.
- CUMPLE
- NO CUMPLE
Observaciones
15.4. La organización dispone de un control de accesos de usuarios VPN que son miembros de la propia organización y aquéllos que no lo son, en operaciones de tratamiento de alto riesgo.
- CUMPLE
- NO CUMPLE
Observaciones

16. SISTEMA DE ANÁLISIS Y GESTIÓN DE VULNERABILIDADES Y AMENAZAS
16.1. La organización dispone de herramientas implantadas para la detección de la presencia de defectos en el software reportados por los fabricantes.
- CUMPLE
- NO CUMPLE
Observaciones
16.2. La organización dispone de evidencias de examen de la presencia de defectos en el software reportados por los fabricantes.
- CUMPLE
- NO CUMPLE
Observaciones

17. SISTEMA DE PROTECCIÓN CONTRA CÓDIGO MALICIOSO Y DESCARGABLE
17.1. La organización dispone de herramientas implantadas que analicen el código y el comportamiento de software para la detección de actividades potencialmente peligrosas.
- CUMPLE
- NO CUMPLE
Observaciones
17.2. La organización dispone de evidencias de uso de herramientas de análisis del código y el comportamiento de software, detectando actividades potencialmente peligrosas.
- CUMPLE
- NO CUMPLE
Observaciones

18. SISTEMA DE DETECCIÓN DE INTRUSIONES
18.1. La organización dispone de herramientas implantadas que busquen comportamientos típicos de maniobras de intrusión en tiempo real
- CUMPLE
- NO CUMPLE
Observaciones
18.2. La organización dispone de evidencias de control de uso de herramientas que busquen comportamientos típicos de maniobras de intrusión en tiempo real.
- CUMPLE
- NO CUMPLE
Observaciones

19. SERVIDOR PROPIO
19.1. La organización dispone de un servidor propio como entidad responsable del tratamiento.
- CUMPLE
- NO CUMPLE
Observaciones
19.2. La organización dispone de un control de accesos de usuarios al servidor en operaciones de tratamiento de alto riesgo.
- CUMPLE
- NO CUMPLE
Observaciones
19.3. La organización dispone de medidas de seguridad del servidor propio, tales como llaves criptográficas, cortafuegos ó agrupación de servicio (p. ej.: públicos, privados, internos, restringidos, etc.), en tratamientos de alto riesgo.
- CUMPLE
- NO CUMPLE
Observaciones
19.4. La organización dispone de evidencias de la comprobación de las medidas de seguridad del servidor en tratamientos de alto riesgo.
- CUMPLE
- NO CUMPLE
Observaciones

20. SERVIDOR DEDICADO UBICADO EN EL ESPACIO ECONÓMICO EUROPEO O EN UN PAÍS CON NIVEL DE PROTECCIÓN DE DATOS ADECUADO
20.1. La organización dispone de un servidor dedicado ubicado en el Espacio Económico Europeo o en un país con nivel de protección de datos adecuado.
- CUMPLE
- NO CUMPLE
Observaciones
Los países amparados hasta el presente según la AEPD por decisiones de la Comisión Europea son los siguientes: • Suiza. Decisión 2000/518/CE de la Comisión, de 26 de julio de 2000 • Canadá. Decisión 2002/2/CE de la Comisión, de 20 de diciembre de 2001, respecto de las entidades sujetas al ámbito de aplicación de la ley canadiense de protección de datos • Argentina. Decisión 2003/490/CE de la Comisión, de 3 de junio de 2003 • Guernsey. Decisión 2003/821/CE de la Comisión, de 21 de noviembre de 2003 • Isla de Man. Decisión 2004/411/CE de la Comisión, de 28 de abril de 2004 • Jersey. Decisión 2008/393/CE de la Comisión, de 8 de mayo 2008 • Islas Feroe. Decisión 2010/146/UE de la Comisión, de 5 de marzo de 2010 • Andorra. Decisión 2010/625/UE de la Comisión, de 19 de octubre de 2010 • Israel. Decisión 2011/61/UE de la Comisión, de 31 de enero de 2011 • Uruguay. Decisión 2012/484/UE, de la Comisión, de 21 de agosto de 2012. • Nueva Zelanda. Decisión 2013/65/UE de la Comisión, de 19 de diciembre de 2012 • Estados Unidos. Aplicable a las entidades certificadas en el marco del Escudo de Privacidad UE-EE.UU. Decisión (UE) 2016/1250 de la Comisión, de 12 de julio de 2016 (Decisión invalidada por el Tribunal de Justicia de la Unión Europea (TJUE) el 17 de julio de 2020). Documento adoptado por el Comité Europeo de Protección de Datos con las preguntas más frecuentes en relación con la sentencia. • Japón. Decisión de 23 de enero de 2019.

21. SERVIDOR DE CORREO PROPIO
21.1. La organización dispone de un servidor de correo propio como entidad responsable del tratamiento.
- CUMPLE
- NO CUMPLE
Observaciones
21.2. La organización dispone de un control de accesos de usuarios al servidor de correo propio en operaciones de tratamiento de alto riesgo.
- CUMPLE
- NO CUMPLE
Observaciones
21.3. La organización dispone de medidas de seguridad del servidor de correo propio, tales como llaves criptográficas, cortafuegos ó agrupación de servicio (p. ej.: públicos, privados, internos, restringidos, etc.), en tratamientos de alto riesgo.
- CUMPLE
- NO CUMPLE
Observaciones
21.4. La organización dispone de evidencias de la comprobación de las medidas de seguridad del servidor de correo propio en tratamientos de alto riesgo.
- CUMPLE
- NO CUMPLE
Observaciones

22. SERVIDOR WEB PROPIO
22.1. La organización dispone de un servidor web propio como entidad responsable del tratamiento.
- CUMPLE
- NO CUMPLE
Observaciones
22.2. La organización dispone de un control de accesos de usuarios al servidor web propio en operaciones de tratamiento de alto riesgo.
- CUMPLE
- NO CUMPLE
Observaciones
22.3. La organización dispone de medidas de seguridad del servidor web propio, tales como llaves criptográficas, cortafuegos ó agrupación de servicio (p. ej.: públicos, privados, internos, restringidos, etc.), en tratamientos de alto riesgo.
- CUMPLE
- NO CUMPLE
Observaciones
22.4. La organización dispone de evidencias de la comprobación de las medidas de seguridad del servidor web propio en tratamientos de alto riesgo.
- CUMPLE
- NO CUMPLE
Observaciones

23. CERTIFICADO SSL EN PÁGINA WEB (PROTOCOLO HTTPS)
23.1. La organización dispone de un protocolo seguro de transferencia de hipertexto HTTPS en la página web como responsable del tratamiento.
- CUMPLE
- NO CUMPLE
Observaciones
NOTA: HTTPS es un protocolo de aplicación basado en el protocolo HTTP, destinado a la transferencia segura de datos de hipertexto, es decir, es la versión segura de HTTP.
23.2. La organización dispone de la certificación SSL activada, para proteger su web y generar confianza en los usuarios mediante tecnología de cifrado.
- CUMPLE
- NO CUMPLE
Observaciones
23.3. La organización dispone del certificado SSL al nombre del titular (quién lo pide), el número del certificado, junto con la fecha en que se vence, una copia de la clave y la firma digital de la persona que lo autoriza.
- CUMPLE
- NO CUMPLE
Observaciones

24. CONTROL DE ACCESO FÍSICO A LA SALA DEL CENTRO DE PROCESO DE DATOS (CPD) / SALA DEL SERVIDOR EN ACTIVIDADES DE TRATAMIENTO DE ALTO RIESGO
24.1. La organización dispone de una relación documentada de las personas autorizadas por el responsable del tratamiento que puedan tener acceso físico a la sala donde se hallen los equipos que tengan alojados los datos de carácter personal.
- CUMPLE
- NO CUMPLE
Observaciones
24.2. La organización dispone de mecanismos que garanticen que exclusivamente las personas autorizadas por el responsable del tratamiento puedan tener acceso físico a la sala donde se hallen los equipos que tengan alojados los datos de carácter personal.
- CUMPLE
- NO CUMPLE
Observaciones
24.3. La organización dispone de evidencias documentadas de control sobre el acceso único de las personas autorizadas por el responsable del tratamiento a la sala donde se hallen los equipos que tengan alojados los datos de carácter personal.
- CUMPLE
- NO CUMPLE
Observaciones

26. DESTRUCCIÓN SEGURA Y CONFIDENCIAL DE ACTIVOS DE INFORMACIÓN
26.1. La organización dispone de mecanismos para la destrucción segura y confidencial de activos de información, ya sea físico o bien sea electrónico, como entidad responsable del tratamiento.
- CUMPLE
- NO CUMPLE
Observaciones
26.2. Cuando se lleve a cabo el desechar cualquier soporte que contenga datos de carácter personal se procede a su destrucción, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior.
- CUMPLE
- NO CUMPLE
Observaciones
26.3. En relación con actividades de alto riesgo, se dispone de evidencia de empleo de los mecanismos existentes en la entidad responsable del tratamiento para la destrucción segura y confidencial de activos de información, por ejemplo un registro de la destrucción, con fecha, contenido destruido y persona que lleva a cabo la misma.
- CUMPLE
- NO CUMPLE
Observaciones

27. SEGURIDAD DE LOS ACTIVOS DE INFORMACIÓN FUERA DE LOS LOCALES DEL RESPONSABLE DEL TRATAMIENTO
27.1. Cuando los datos personales se traten fuera de los locales del responsable del tratamiento, existe una autorización previa, utilizando para ello un documento de autorización a tal efecto.
- CUMPLE
- NO CUMPLE
Observaciones
27.2. Las medidas técnicas de seguridad apropiadas en función del riesgo aplicable en todo caso están garantizadas.
- CUMPLE
- NO CUMPLE
Observaciones
27.3. El documento de autorización de seguridad de los activos de información fuera de los locales del responsable del tratamiento, hace constar, como mínimo, los siguientes aspectos: Finalidad para la cual se solicita la autorización; Tipo de tratamiento (automatizado, no automatizado, mixto); Tipo de dispositivo portátil (en su caso) / Tipo de documentación objeto de tratamiento; Tipo de información que contiene el dispositivo portátil o la documentación; Fichero/s de donde proceden los datos; Periodo de validez de la autorización; Medidas de seguridad implementadas para proteger la información; Persona autorizada para trabajar fuera de los locales; Cargo / Departamento; Persona que autoriza; Cargo / Departamento; Observaciones; Firma de la persona que autoriza.
- CUMPLE
- NO CUMPLE
Observaciones

28. PROCESO DE AUTORIZACIÓN PARA NUEVOS TIPOS Y/O MEDIOS DE TRATAMIENTO DE DATOS
28.1. La organización dispone de mecanismos en relación con la autorización para nuevos tipos y/o medios de tratamiento para el tratamiento de datos de carácter personal responsabilidad de la entidad.
- CUMPLE
- NO CUMPLE
Observaciones
28.2. La organización establece la prohibición del uso de nuevos tipos y/o medios de tratamiento de datos de carácter personal de su responsabilidad, salvo que medie autorización expresa del responsable del tratamiento y previa adopción de las medidas de seguridad apropiadas en función del riesgo aplicable.
- CUMPLE
- NO CUMPLE
Observaciones
28.3. La organización mantiene bajo control el uso de nuevos tipos y/o medios de tratamiento, llevando a cabo autorización expresa del responsable del tratamiento, previa adopción de las medidas de seguridad apropiadas en función del riesgo aplicable, quedando registrado.
- CUMPLE
- NO CUMPLE
Observaciones

29. ADOPCIÓN DE MEDIDAS PARA ASEGURAR LA CONSERVACIÓN DE LA INFORMACIÓN DOCUMENTADA
29.1. La organización dispone medidas preventivas contra los diversos factores de deterioro, destrucción o desaparición de los documentos que contengan datos de carácter personal (control de humedad, incendio, robo, etc.)
- CUMPLE
- NO CUMPLE
Observaciones
29.2. La organización ha implantado y mantiene las medidas de conservación de los documentos que contengan datos de carácter personal (control de humedad, instalaciones contra incendio, seguridad física mediante cerraduras, cámaras de videovigilancia, etc.)
- CUMPLE
- NO CUMPLE
Observaciones
29.3. La organización dispone de forma conveniente la información la documentada que contenga datos de carácter personal, adecuadamente conservada y resulta de fácil acceso y localización para las personas que realizan el tratamiento.
- CUMPLE
- NO CUMPLE
Observaciones

32. REGISTRO DE ACCESO A LA INFORMACIÓN DOCUMENTADA EN ACTIVIDADES DE TRATAMIENTO DE ALTO RIESGO
32.1. La organización cuenta con mecanismos que permitan identificar los accesos realizados a los documentos que contengan datos de carácter personal que puedan ser utilizados por múltiples usuarios.
- CUMPLE
- NO CUMPLE
Observaciones
32.2. La organización cuenta con evidencias que permitan identificar los accesos realizados a los documentos que contengan datos de carácter personal que puedan ser utilizados por múltiples usuarios.
- CUMPLE
- NO CUMPLE
Observaciones

33. POLÍTICA DE MESAS LIMPIAS
33.1. La organización cuenta con buenas prácticas o una política de mesas limpias, mientras la documentación con datos de carácter personal no se encuentre archivada en los correspondientes dispositivos de almacenamiento, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo.
- CUMPLE
- NO CUMPLE
Observaciones
33.2. La persona que se encuentre al cargo de la misma la custodia adecuadamente e impide en todo momento que pueda ser accedida por otra persona no autorizada.
- CUMPLE
- NO CUMPLE
Observaciones
33.3. La organización ha implantado y mantiene las buenas prácticas o política de mesas limpias, como entidad responsable del tratamiento.
- CUMPLE
- NO CUMPLE
Observaciones

34. TRASLADO Y ENVÍO SEGURO DE LA DOCUMENTACIÓN
34.1. La organización cuenta con la adopción de medidas por parte del responsable del tratamiento para evitar la sustracción, pérdida o acceso indebido a la información durante el traslado de la documentación que contenga datos de carácter personal.
- CUMPLE
- NO CUMPLE
Observaciones
34.2. En actividades de tratamiento de alto riesgo, se cuenta con medidas adicionales, tales como la encriptación, anonimización o seudonimización de los datos personales,
- CUMPLE
- NO CUMPLE
Observaciones

MEDIDAS EN RELACIÓN CON LA CAPACIDAD DE RESTAURAR LA DISPONIBILIDAD Y EL ACCESO A LOS DATOS PERSONALES DE FORMA RÁPIDA EN CASO DE INCIDENTE FÍSICO O TÉCNICO
37. SISTEMA DE ALIMENTACIÓN ININTERRUMPIDA (SAI) / GRUPO ELECTRÓGENO
37.1. La organización dispone de un equipo eléctrico encargado de alimentar y proteger cargas críticas, de modo que, en el caso de falta de suministro normal de la red eléctrica, se pueda seguir alimentando dichas cargas críticas durante un espacio de tiempo determinado.
- CUMPLE
- NO CUMPLE
Observaciones
37.2. En tratamientos de alto riesgo, el mantenimiento del equipo eléctrico encargado de alimentar y proteger cargas críticas, en el caso de falta de suministro normal de la red eléctrica, se lleva a cabo con una periodicidad adecuada, por ejemplo con carácter mensual.
- CUMPLE
- NO CUMPLE
Observaciones
37.3. En tratamientos de alto riesgo, se realizan simulacros de fallo y pruebas en el sistema de alimentación ininterrumpida a intervalos adecuados, por ejemplo con carácter mensual.
- CUMPLE
- NO CUMPLE
Observaciones

38. PLAN DE CONTINGENCIA Y CONTINUIDAD DE NEGOCIO
38.1. La organización dispone de un Plan de Continuidad de Negocio (PCN), en el que establece la continuidad desde diversas perspectivas tales como infraestructura TIC, recursos humanos, mobiliario, sistemas de comunicación, logística, sistemas industriales, infraestructuras físicas, etc.
- CUMPLE
- NO CUMPLE
Observaciones
38.2. La organización dispone de un plan de contingencia de negocio adecuado del tipo Plan de Continuidad TIC o Plan de Contingencia TIC, PCTIC, restringido al ámbito TIC y limitado al ámbito tecnológico.
- CUMPLE
- NO CUMPLE
Observaciones
38.3. La organización dispone de un Plan de Recuperación ante Desastres (PRD), que se enfoca al ámbito más técnico, de modo que es un plan reactivo ante una posible catástrofe. Por ejemplo, si una entidad tiene un plan de desastres para su página web de comercio electrónico, el PRD contendrá todos los pasos para la recuperación de la aplicación.
- CUMPLE
- NO CUMPLE
Observaciones

39. SISTEMA INFORMÁTICO REDUNDANTE EN ACTIVIDADES DE TRATAMIENTO DE ALTO RIESGO
39.1. La organización dispone de sistemas redundantes, es decir aquellos en los que se repiten datos o hardware de carácter crítico que se quiere asegurar ante los posibles fallos que puedan surgir por su uso continuado.
- CUMPLE
- NO CUMPLE
Observaciones
39.2. La organización dispone de evidencias de un sistema informático redundante como entidad responsable del tratamiento.
- CUMPLE
- NO CUMPLE
Observaciones
39.3. Se realizan simulacros de fallo y pruebas en sistema informático redundante a intervalos adecuados, por ejemplo con carácter mensual.
- CUMPLE
- NO CUMPLE
Observaciones

43. CONTROLES INTERNOS DE CUMPLIMIENTO
43.1. La organización dispone de un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
- CUMPLE
- NO CUMPLE
Observaciones
43.2. Estos controles se aplican de forma periódica conforme a los plazos que se han definido acordes al nivel de riesgo, como por ejemplo el control de las copias de seguridad cada vez que se realiza, se recibe un informe automático de ejecución.
- CUMPLE
- NO CUMPLE
Observaciones
43.3. Los controles que se efectúan, se evalúan además abarcando la eficaz aplicación del control, como por ejemplo el control de las copias de seguridad cada vez que se realiza se hace de forma completa y adecuada verificando el informe automático de ejecución que se recibe.
- CUMPLE
- NO CUMPLE
Observaciones
43.4. Los controles que se efectúan, se valoran además abarcando la eficaz aplicación del control, como por ejemplo el control de las copias de seguridad, se somete periódicamente a una prueba de recuperación de los datos personales para establecer de forma fehaciente que se hace de forma completa y adecuada.
- CUMPLE
- NO CUMPLE
Observaciones

CONCLUSIONES Y RECOMENDACIONES
El resultado de la auditoría es el siguiente:
- CUMPLE
- NO CUMPLE
Observaciones
RECOMENDACIONES

PERSONAS ENTREVISTADAS EN EL TRANSCURSO DE LA AUDITORÍA
NOMBRE Y APELLIDOS FUNCIÓN / PUESTO
EVIDENCIAS OBJETIVAS CONSULTADAS EN EL TRANSCURSO DE LA AUDITORÍA
Evidencias
- Contratos de encargados del tratamiento
- Registros de las actividades de tratamiento por encargo
- Política de Protección de Datos Personales firmada por parte de las personas implicadas en el tratamiento
- Se dispone de la Política de Cookies en la página web
- Se dispone de la Política de Privacidad o Protección de Datos en la página web
- Se dispone en la página web de una cláusula informativa de primera capa o ventana emergente para que el usuario acepte su uso o se deduzca su aceptación de la política de cookies
- El acceso al equipo y a los programas se realiza a través de identificación de usuario y contraseña
- El equipo tiene activado protector de pantalla con contraseña
- El puesto de trabajo se bloquea al cabo de un tiempo prudencial de inactividad, requiriendo una nueva autenticación del usuario para reanudar la actividad en curso
- Se emplean redes privadas virtuales cuando la comunicación discurre por redes fuera del propio dominio de seguridad de la organización
- La organización dispone de mecanismos del tipo cerradura con llave, combinación, etc., que obstaculizan el acceso a los dispositivos de almacenamiento de la documentación, tales como armarios, archivadores, etc., que contienen datos personales, tales como nóminas, fichas de personal e historiales, CV, etc.
- La organización caracterizara cada puesto de trabajo definiendo las responsabilidades en materia de seguridad
- Imparte la formación correspondiente sobre los requisitos que deben satisfacer las personas
- La organización dispone de un distintivo informativo sobre las normas de destrucción segura y confidencial de la información, sobre el uso de la destrucción en soporte papel u otros, como el borrado electrónico, siempre que se va a desechar cualquier información documentada que pueda contener datos personales
ASUNTOS PENDIENTES DE AUDITORÍAS INTERNA / EXTERNAS PRECEDENTES
ELEMENTO / DESCRIPCIÓN AUDITORÍA FECHA
Según el artículo 32.1.d del RGPD, entre las medidas técnicas y organizativas que tanto el responsable como el encargado del tratamiento deben implementar para garantizar un nivel de seguridad apropiado para el riesgo, se exige un proceso de verificación, evaluación y valoración regulares de la eficacia de esas medidas, a lo cual se da cumplimiento mediante la realización de la presente Auditoría de Protección de Datos Personales, cuya realización se recomienda que tenga un carácter anual, siendo la fecha de validez de la misma hasta:
DD barra MM barra AAAA
Lista

Protección de Datos

Responsabilidad Activa

Seguridad de la Información

Esquema Nacional de Seguridad

Protección al Informante

Canal de Denuncias

Consultoría de Sistemas de Gestión

Auditoría de Gestión

Control Administrativo

Gestión de la Producción

Procesos de Consultoría

Protección de Datos Personales

Formulario de auditoría para la Protección de Datos Personales

AUDITORÍA DE PROTECCIÓN DE DATOS PERSONALES

Paso 1 de 50

CUESTIONES PREVIAS

MEDIDAS GENERALES

MEDIDAS EN RELACIÓN CON LA CAPACIDAD DE GARANTIZAR LAS DIMENSIONES DE SEGURIDAD Y LA RESILIENCIA PERMANENTES DE LOS SISTEMAS Y SERVICIOS DE TRATAMIENTO

MEDIDAS EN RELACIÓN CON LA CAPACIDAD DE RESTAURAR LA DISPONIBILIDAD Y EL ACCESO A LOS DATOS PERSONALES DE FORMA RÁPIDA EN CASO DE INCIDENTE FÍSICO O TÉCNICO

CONCLUSIONES Y RECOMENDACIONES

PERSONAS ENTREVISTADAS EN EL TRANSCURSO DE LA AUDITORÍA

EVIDENCIAS OBJETIVAS CONSULTADAS EN EL TRANSCURSO DE LA AUDITORÍA

ASUNTOS PENDIENTES DE AUDITORÍAS INTERNA / EXTERNAS PRECEDENTES

¿Te llamamos nosotros?

Oficinas Centrales

Sede Madrid

Sede Green

Sede San Sebastián

Última noticia

Alerta de seguridad: Intentos de phising selectivo registrados

Garante Privacy

Área de Consultores

Servicios para Empresas

NOMBRE Y APELLIDOS	FUNCIÓN / PUESTO

ELEMENTO / DESCRIPCIÓN	AUDITORÍA	FECHA