Reproducimos a continuación el siguiente artículo del newsletter «Pymes Online News nº 99/45» (email: pymes-online@teleline.es):
El pasado día 26 de diciembre ha finalizado el plazo para que las empresas que dispongan de ficheros con datos personales introduzcan en ellos las medidas de seguridad básicas que establece el reglamento de la ley.
El texto divide las medidas en tres categorías: básicas, intermedias y altas, según la sensibilidad de los datos del fichero, y fija los plazos para la adaptación en función de esos niveles de seguridad.
Las primeras empresas afectadas, aquellas cuyo plazo termina el día 26, son las que disponen de ficheros que contienen exclusivamente datos personales.
Las medidas de seguridad que han de incorporar estas empresas incluyen desde la identificación de las personas que pueden acceder al fichero hasta la existencia de copias de respaldo y seguridad.
Además, las empresas que dispongan de ficheros con datos sobre la comisión de infracciones administrativas o penales, Hacienda pública y servicios financieros deberán introducir, junto a las básicas, las medidas de nivel medio, para lo cual dispondrán del plazo de un año.
Por último, las medidas de nivel alto deberán ser adoptadas por las empresas que acumulen datos sobre religión, ideología, origen racial, salud y vida sexual, entre otros. El plazo para hacerlo es de dos años. En el caso de ficheros antiguos, el reglamento fija un plazo de tres años.
Aunque las medidas de nivel básico puedan ser instaladas por la propia empresa y no supongan un coste excesivo, no ocurre otro tanto con las de nivel medio y superior. En ambos niveles, además de otros requisitos, es necesario realizar una auditoría cada dos años para verificar el cumplimiento de las normas de seguridad.
La auditoría puede realizarse de tres formas: a través del autodiagnóstico, con una auditoría interna y con un servicio de auditoría externo.
La no incorporación de estos sistemas de seguridad tiene establecido multas de 10 a 50 millones de pesetas.