• Expandir / Contraer 韓dice sistem醫ico
• PRE罬BULO
• Art韈ulo 1 燨bjeto y 醡bito de aplicaci髇
• Art韈ulo 2 燩rincipios de protecci髇 de datos y seguridad de la informaci髇
• Art韈ulo 3 燫egistro de las actividades de tratamiento
• Art韈ulo 4 燗n醠isis de riesgos, evaluaci髇 de impacto en la protecci髇 de datos y gesti髇 de los riesgos de seguridad de la informaci髇
• Art韈ulo 5 燦otificaci髇 de violaciones de seguridad de los datos personales e incidentes de seguridad de la informaci髇
• Art韈ulo 6 燫evisi髇 y auditor韆
• Art韈ulo 7 燛structura organizativa
• Art韈ulo 8 燛l responsable del tratamiento y el responsable de la informaci髇
• Art韈ulo 9 燫esponsable del servicio
• Art韈ulo 10 燛l responsable de seguridad de la informaci髇
• Art韈ulo 11 燫esponsable del sistema
• Art韈ulo 12 燣a delegada o el delegado de protecci髇 de datos
• Art韈ulo 13 燛l Comit� de Protecci髇 de Datos y Seguridad de la Informaci髇
• Art韈ulo 14 燗signaci髇 de tareas
• Art韈ulo 15 燫esoluci髇 de conflictos
• Art韈ulo 16 燨bligaciones del personal
• Art韈ulo 17 燙oncienciaci髇 y formaci髇
• Art韈ulo 18 燚esarrollo y revisi髇 de la PPDSI
• DISPOSICI覰 DEROGATORIA
  • Disposici髇 derogatoria 鷑ica
• DISPOSICI覰 FINAL
  • Disposici髇 final 鷑ica.– 燛ntrada en vigor

Art韈ulo 1 Objeto y 醡bito de aplicaci髇

1. La pol韙ica de protecci髇 de datos y seguridad de la informaci髇 de la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos (PPDSI) es el conjunto de medidas t閏nicas y organizativas apropiadas para garantizar el cumplimiento de la normativa aplicable al tratamiento de los datos personales, e incluye, as� mismo, los principios b醩icos y requisitos m韓imos que permitan una protecci髇 adecuada de la informaci髇 que se gestiona en el 醡bito de la Administraci髇 de la Comunidad Foral de Navarra y de sus organismos p鷅licos.

2. La PPDSI ser� de aplicaci髇 a todos los sistemas de informaci髇 y a todas las actividades de tratamiento de datos personales de los que sean responsables la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos.

3. La PPDSI ser� de obligado cumplimiento para todas las unidades que conforman la estructura de la Administraci髇 de la Comunidad Foral de Navarra y de sus organismos p鷅licos y para todo el personal con acceso a la informaci髇 de la que es responsable aquella, con independencia de su destino, condici髇 laboral o relaci髇 por la que se accede a la informaci髇.

4. En el 醡bito de aplicaci髇 material del RGPD y el ENS, la presente PPDSI afectar� a la informaci髇 tratada por cualquier medio con independencia del soporte, que gestiona la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos en el ejercicio de sus competencias.

Art韈ulo 2 Principios de protecci髇 de datos y seguridad de la informaci髇

La Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos tratar醤 la informaci髇 y los datos personales conforme a los siguientes principios de protecci髇 de datos y seguridad de la informaci髇:

• 1) Licitud, lealtad y transparencia: los datos personales ser醤 tratados de manera l韈ita, leal y transparente en relaci髇 con la persona interesada.
• 2) Legitimaci髇 en el tratamiento de datos personales: solo se tratar醤 los datos personales cuando dicho tratamiento se encuentre amparado en alguna de las causas de legitimaci髇 establecidas en los art韈ulos 6 y 9 del RGPD.
• 3) Limitaci髇 de la finalidad: los datos personales ser醤 tratados para el cumplimiento de fines determinados, expl韈itos y leg韙imos, y no ser醤 tratados ulteriormente de manera incompatible con dichos fines.
• 4) Minimizaci髇 de datos: los datos personales ser醤 adecuados, pertinentes y limitados a lo necesario en relaci髇 con los fines para los que son tratados.
• 5) Exactitud: los datos personales ser醤 exactos y, si fuera necesario, actualizados; se adoptar醤 todas las medidas razonables para que se supriman o rectifiquen sin dilaci髇 los datos personales que sean inexactos con respecto a los fines para los que se tratan.
• 6) Limitaci髇 del plazo de conservaci髇: los datos personales ser醤 mantenidos de forma que se permita la identificaci髇 de las personas interesadas durante no m醩 tiempo del necesario para los fines que justificaron su tratamiento.
• 7) Integridad y confidencialidad: los datos personales ser醤 tratados de tal manera que se garantice su seguridad, incluida la protecci髇 contra el tratamiento no autorizado o il韈ito y contra su p閞dida, destrucci髇 o da駉 accidental, mediante la aplicaci髇 de medidas t閏nicas u organizativas apropiadas. Quienes intervengan en el tratamiento de los datos estar醤 sujetos al deber de secreto incluso despu閟 de haber concluido la relaci髇 que justificaba su intervenci髇.
• 8) Responsabilidad proactiva: la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos ser醤 responsables del cumplimiento de los principios anteriormente se馻lados y adoptar醤 las medidas t閏nicas y organizativas que le permitan estar en condiciones de demostrar dicho cumplimiento.
• 9) Atenci髇 de los derechos de las personas afectadas: se adoptar醤 medidas en la organizaci髇 que garanticen el adecuado ejercicio por las personas afectadas, cuando proceda, de los derechos de acceso, rectificaci髇, supresi髇, oposici髇, limitaci髇 del tratamiento y portabilidad respecto de sus datos personales.
• 10) Alcance estrat間ico: la protecci髇 de datos y la seguridad de la informaci髇 debe contar con el compromiso y apoyo de todos los niveles directivos de forma que pueda estar coordinada e integrada con el resto de iniciativas estrat間icas de la Administraci髇 de la Comunidad Foral de Navarra y de sus organismos p鷅licos para conformar un todo coherente y eficaz.
• 11) Responsabilidad diferenciada: en los sistemas de informaci髇 responsabilidad de la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos se observar� el principio de responsabilidad diferenciada de forma que se delimiten las diferentes responsabilidades y roles:
  • a) Responsable del tratamiento: la persona que determina los fines y medios del tratamiento.
  • b) Encargado del tratamiento: la persona que trata datos personales por cuenta del responsable del tratamiento seg鷑 sus requerimientos.
  • c) Delegada o delegado de protecci髇 de datos: la persona que informa y asesora al responsable del tratamiento de las obligaciones en materia de cumplimiento del RGPD.
  • d) Responsable de la informaci髇: la persona que determina los requisitos de seguridad de la informaci髇 tratada.
  • e) Responsable del servicio: la persona que determina los requisitos funcionales y de seguridad de los servicios prestados a partir de la informaci髇.
  • f) Responsable de seguridad de la informaci髇: la persona que determina las decisiones para satisfacer los requisitos de seguridad.
  • g) Responsable del sistema: la persona que tiene la responsabilidad sobre los requisitos no funcionales y de dise駉, construcci髇, operaci髇 y soporte de los sistemas de informaci髇 utilizados en la prestaci髇 de los servicios.
• 12) Seguridad integral: la seguridad tender� a la preservaci髇 de la confidencialidad, la integridad y la disponibilidad de la informaci髇, debiendo, adem醩, abarcar otras propiedades, como la autenticidad, la responsabilidad, la fiabilidad y el no repudio. La seguridad se entiende como un proceso integral constituido por todos los elementos t閏nicos, humanos, materiales y organizativos, relacionados con el sistema, evitando, salvo casos de urgencia o necesidad, cualquier actuaci髇 puntual o tratamiento coyuntural.
• 13) Gesti髇 de riesgos: la gesti髇 del riesgo es el conjunto de actividades coordinadas que se desarrollan para identificar los riesgos y el impacto o consecuencias sobre un activo, cuando una amenaza se materializa y puede afectar al tratamiento de los datos o de la informaci髇 debido a la existencia de una debilidad o vulnerabilidad del sistema, tanto de protecci髇 de datos como de gesti髇 de la informaci髇. El an醠isis y gesti髇 de riesgos son parte esencial del proceso de protecci髇 de datos y de seguridad de la informaci髇, de forma que permita el mantenimiento de un entorno controlado, minimizando los riesgos hasta niveles aceptables. La reducci髇 de estos niveles se realizar� mediante el despliegue de medidas de seguridad organizativas y t閏nicas, que establecer� un equilibrio entre la naturaleza de los datos y los tratamientos, el impacto y la probabilidad de los riesgos a los que est閚 expuestos y la eficacia y el coste de las medidas de seguridad. Al evaluar el riesgo, la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos tendr醤 en cuenta los riesgos que se derivan para los derechos de las personas con respecto al tratamiento de sus datos personales.
• 14) Proporcionalidad: la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos establecer醤 medidas de protecci髇, detecci髇 y recuperaci髇 que resulten proporcionales a los potenciales riesgos y a la criticidad y el valor de la informaci髇, de los tratamientos de datos personales y de los servicios afectados.
• 15) Proceso de verificaci髇: la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos implantar醤 un proceso de verificaci髇, evaluaci髇 y valoraci髇 regulares de la eficacia de las medidas t閏nicas y organizativas para garantizar la seguridad de los tratamientos.
• 16) Protecci髇 de datos y seguridad desde el dise駉: la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos promover醤 la implantaci髇 del principio de protecci髇 de datos desde el dise駉, con el objetivo de cumplir los requisitos definidos en el RGPD y garantizar los derechos de las personas interesadas, de forma que la protecci髇 de datos se encuentre presente desde las primeras fases de concepci髇 de un proyecto. Asimismo, la seguridad de la informaci髇 se aplicar� desde el dise駉 inicial de los sistemas de informaci髇.
• 17) Protecci髇 de datos por defecto: la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos promover醤 que los sistemas de informaci髇 de su titularidad se dise馿n y configuren de forma que garanticen la protecci髇 de datos por defecto, en especial en lo que hace referencia a la minimizaci髇 de los datos y del acceso a la informaci髇.
• 18) Registro de las actividades de tratamiento y gesti髇 de activos de informaci髇: se mantendr� un registro de las actividades de tratamiento, en los t閞minos previstos en el art韈ulo siguiente, cuyo inventario se har� p鷅lico en el Portal del Gobierno Abierto. Asimismo, los activos de informaci髇 se encontrar醤 inventariados y categorizados y estar醤 asociados a un responsable.
• 19) Seguridad ligada a las personas: se implantar醤 los mecanismos necesarios para que cualquier persona que acceda, o pueda acceder, a los activos de informaci髇 y a los datos personales conozca sus responsabilidades y de este modo se reduzca el riesgo derivado de un uso indebido de dichos activos.
• 20) Seguridad f韘ica: los activos de informaci髇 ser醤 emplazados en 醨eas seguras, protegidas por controles de acceso f韘icos adecuados a su nivel de criticidad. Los sistemas y los activos de informaci髇 que contienen dichas 醨eas estar醤 suficientemente protegidos frente a amenazas f韘icas o ambientales.
• 21) Seguridad en la gesti髇 de comunicaciones y operaciones: se establecer醤 los procedimientos necesarios para lograr una adecuada gesti髇 de la seguridad, operaci髇 y actualizaci髇 de las tecnolog韆s de la informaci髇 y comunicaciones. La informaci髇 que se transmita a trav閟 de redes de comunicaciones deber� ser adecuadamente protegida, teniendo en cuenta su nivel de sensibilidad y de criticidad, mediante mecanismos que garanticen su seguridad.

  El sistema ha de proteger el per韒etro, en particular si se conecta a redes p鷅licas. En todo caso se analizar醤 los riesgos derivados de la interconexi髇 del sistema, a trav閟 de redes, con otros sistemas y se controlar� su punto de uni髇.

• 22) Control de acceso: se limitar� el acceso a los activos de informaci髇 por parte de las personas usuarias, procesos y otros sistemas de informaci髇 mediante la implantaci髇 de los mecanismos de identificaci髇, autenticaci髇 y autorizaci髇 acordes a la criticidad de cada activo. Adem醩, quedar� registrada la utilizaci髇 del sistema con objeto de asegurar la trazabilidad del acceso y auditar su uso adecuado, conforme a la actividad de la organizaci髇.

  Para corregir, o exigir responsabilidades en su caso, cada persona que acceda a la informaci髇 del sistema debe estar identificada de forma 鷑ica, de modo que se sepa, en todo momento, qui閚 recibe derechos de acceso, de qu� tipo son 閟tos y qui閚 ha realizado determinada actividad.

  En caso de existir indicios de actividades delictivas o que comprometan la seguridad de la informaci髇 tratada por Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos, 閟tos deber醤 ser comunicados a la autoridad competente para su persecuci髇.

• 23) Adquisici髇, desarrollo y mantenimiento de los sistemas de informaci髇: se contemplar醤 los aspectos de seguridad de la informaci髇 en todas las fases del ciclo de vida de los sistemas de informaci髇, garantizando su seguridad por defecto.
• 24) Gesti髇 de los incidentes de seguridad: se implantar醤 los mecanismos apropiados para la correcta identificaci髇, registro, resoluci髇 y notificaci髇, en los t閞minos previstos en la normativa de protecci髇 de datos y seguridad de la informaci髇, de los incidentes de seguridad.
• 25) Gesti髇 de la continuidad: se implantar醤 los mecanismos apropiados para asegurar la disponibilidad de los sistemas de informaci髇 y mantener la continuidad de sus procesos de negocio, de acuerdo a las necesidades de nivel de servicio de la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos.
• 26) Cumplimiento: se adoptar醤 las medidas t閏nicas, organizativas y procedimentales necesarias para el cumplimiento de la normativa legal vigente en materia de seguridad de la informaci髇 y protecci髇 de datos personales.
• 27) Profesionalidad: la seguridad de los sistemas estar� atendida, revisada y auditada por personal cualificado, dedicado e instruido en todas las fases de su ciclo de vida: instalaci髇, mantenimiento, gesti髇 de incidencias y desmantelamiento. El personal de las Administraciones P鷅licas recibir� la formaci髇 espec韋ica necesaria para garantizar la seguridad de las tecnolog韆s de la informaci髇 aplicables a los sistemas y servicios de la Administraci髇. Las Administraciones P鷅licas exigir醤 que las organizaciones que les presten servicios de seguridad cuenten con profesionales cualificados y con unos niveles id髇eos de gesti髇 y madurez en los servicios prestados.
• 28) Uso aceptable de los sistemas de informaci髇: en el caso del personal al servicio de la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos, los medios y equipos inform醫icos a utilizar ser醤 directamente provistos e instalados por las unidades de administraci髇 de sistemas inform醫icos y comunicaciones o por los proveedores de servicios, como parte del acuerdo de prestaci髇 que se establezca, con conocimiento y autorizaci髇 de las unidades t閏nicas encargadas a tal efecto, siendo el 鷑ico uso aceptable de los mismos el adecuado desempe駉 de las funciones propias de su puesto de trabajo y quedando prohibida toda alteraci髇 no autorizada de los mismos.

Art韈ulo 3 Registro de las actividades de tratamiento

La Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos mantendr醤 actualizado el registro de las actividades de tratamiento de datos personales de las que sean responsables, que incluir� toda la informaci髇 a la que se refiere el art韈ulo 30 del RGPD.

El registro de las actividades de tratamiento se mantendr� continuamente actualizado y su inventario podr� consultarse en el Portal del Gobierno Abierto.

Art韈ulo 4 An醠isis de riesgos, evaluaci髇 de impacto en la protecci髇 de datos y gesti髇 de los riesgos de seguridad de la informaci髇

1. Cuando la informaci髇 contenga datos personales se llevar� a cabo, de forma peri骴ica en los plazos legalmente establecidos, un an醠isis de riesgos que permita identificar y gestionar los riesgos minimiz醤dolos hasta los niveles que puedan considerarse aceptables. Esta evaluaci髇 incluir� un an醠isis de los riesgos para los derechos y libertades de las personas f韘icas respecto de las actividades de tratamiento con datos personales que lleven a cabo la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos, as� como para los sistemas de informaci髇 que sirven de soporte para dichas actividades de tratamiento.

Asimismo, la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos llevar醤 a cabo una evaluaci髇 de impacto de las actividades de tratamiento en la protecci髇 de datos personales cuando del an醠isis realizado resulte probable que el tratamiento suponga un alto riesgo para los derechos y libertades de las personas, conforme a lo previsto en el art韈ulo 35 del RGPD.

2. La gesti髇 de riesgos de seguridad de la informaci髇 debe realizarse de manera continua sobre el sistema de informaci髇, conforme a los principios de gesti髇 de la seguridad basada en los riesgos y en la reevaluaci髇 peri骴ica.

El responsable de seguridad de la informaci髇 es la persona encargada de recomendar un marco de directrices b醩icas para armonizar los criterios a seguir para la valoraci髇 de riesgos.

El responsable del tratamiento y el responsable de la informaci髇 son los propietarios de los riesgos sobre los tratamientos y la informaci髇, respectivamente, siendo responsables de su seguimiento y control, sin perjuicio de la posibilidad de delegar esta tarea.

Art韈ulo 5 Notificaci髇 de violaciones de seguridad de los datos personales e incidentes de seguridad de la informaci髇

La Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos adoptar醤 las medidas necesarias para garantizar la notificaci髇 de las violaciones de seguridad de los datos personales que pudieran producirse a trav閟 del procedimiento establecido al efecto por el responsable de seguridad de la informaci髇.

Art韈ulo 6 Revisi髇 y auditor韆

La Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos llevar醤 a cabo de forma peri骴ica, en los plazos legalmente establecidos, una auditor韆 encaminada a la verificaci髇, evaluaci髇 y valoraci髇 de la eficacia de las medidas t閏nicas y organizativas para garantizar la seguridad de los tratamientos y sistemas de informaci髇.

En todo caso realizar� una auditor韆 espec韋ica y extraordinaria cuando se lleven a cabo modificaciones sustanciales en el sistema de informaci髇 que puedan repercutir en el cumplimiento de las medidas de seguridad implantadas.

Las auditor韆s ser醤 supervisadas por el responsable de seguridad de la informaci髇 y por la delegada o el delegado de protecci髇 de datos.

Art韈ulo 7 Estructura organizativa

La estructura organizativa para la gesti髇 de la seguridad de la informaci髇 en el 醡bito de la pol韙ica de protecci髇 de datos y seguridad de la informaci髇 de la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos est� compuesta por los siguientes agentes:

• 1. El responsable del tratamiento.
• 2. El responsable de la informaci髇.
• 3. El responsable del servicio.
• 4. El responsable de seguridad de la informaci髇.
• 5. El responsable del sistema.
• 6. La delegada o el delegado de protecci髇 de datos.
• 7. El Comit� de Protecci髇 de Datos y Seguridad de la Informaci髇.

Art韈ulo 8 El responsable del tratamiento y el responsable de la informaci髇

1. La condici髇 de responsable del tratamiento recae en la Consejera o el Consejero de cada Departamento del Gobierno de Navarra o Gerente de cada organismo p鷅lico, en los t閞minos establecidos en el art韈ulo 4.7 del RGPD.

2. De igual manera, la condici髇 de responsable de la informaci髇 recae en la Consejera o el Consejero de cada Departamento del Gobierno de Navarra o Gerente de cada organismo p鷅lico. Es decir, en la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos los roles de responsable del tratamiento y responsable de la informaci髇 ser醤 ejercidos por una misma persona.

Corresponde a la Consejera o Consejero de cada Departamento o Gerente de cada organismo p鷅lico desarrollar y aprobar una pol韙ica espec韋ica de protecci髇 de datos y seguridad de la informaci髇 de su unidad, complementaria a la actual, si as� lo estima necesario.

3. Son funciones del responsable del tratamiento y del responsable de la informaci髇:

• a) Determinar los fines y medios del tratamiento de conformidad con lo dispuesto en el RGPD y en la LOPDyGDD. Ejercer醤, adem醩 de las funciones y competencias que les atribuya la legislaci髇 aplicable, las siguientes funciones espec韋icas:
  • – Velar por el efectivo cumplimiento del RGPD, la LOPDyGDD y la dem醩 normativa vigente en el tratamiento de datos personales que gestiona.
  • – Mantener y actualizar el registro de las actividades de tratamiento de datos en el 醡bito de sus competencias.
  • – Notificar a la delegada o al delegado de protecci髇 de datos el registro de las actividades de tratamiento de datos que gestiona en su 醡bito de actuaci髇, as� como las modificaciones del mismo.
  • – Responder a los requerimientos que le env韊 la delegada o el delegado de protecci髇 de datos en relaci髇 con los tratamientos de datos que gestiona en su 醡bito de actuaci髇.
  • – Establecer y aplicar las medidas t閏nicas y organizativas de privacidad y seguridad necesarias para la protecci髇 de los datos personales en los tratamientos que gestiona.
  • – Garantizar el cumplimiento de las obligaciones de secreto y confidencialidad derivadas de la normativa en materia de protecci髇 de datos personales en relaci髇 con los tratamientos que gestiona.
  • – Garantizar el cumplimiento de la obligaci髇 de informar adecuadamente y aplicando el principio de transparencia en la recogida de los datos personales.
  • – Cumplir todas aquellas obligaciones y respetar los derechos de las personas interesadas, de acuerdo con lo previsto en el RGPD, la LOPDyGDD y dem醩 normativa vigente.
  • – Realizar las pertinentes evaluaciones de impacto en la protecci髇 de datos asesorado por la delegada o el delegado de protecci髇 de datos, cuando el tratamiento de datos a llevar a cabo entra馿 alto riesgo para los derechos y libertades de las personas f韘icas. Si la evaluaci髇 de impacto mostrara que el tratamiento entra馻 alto riesgo deber� consultar a la autoridad de control.
  • – Realizar, en su caso, las preceptivas notificaciones de violaciones de seguridad a la autoridad de control, a las personas interesadas y a la delegada o el delegado de protecci髇 de datos.
  • – Si el tratamiento, o parte de 閘, fuera realizado por un encargado del tratamiento, el responsable del tratamiento elegir� 鷑icamente un encargado que ofrezca garant韆s suficientes para aplicar las medidas t閏nicas y organizativas apropiadas que le traslade de manera documentada. As� mismo, realizar� seguimiento de la correcta aplicaci髇 de estas medidas.
• b) La identificaci髇 y la aprobaci髇 formal de los niveles de seguridad de la informaci髇, a propuesta del responsable del servicio, responsable de seguridad de la informaci髇 o responsable del sistema, dentro del marco de lo previsto en los Anexos I y II del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica.
• c) La aprobaci髇, a propuesta del responsable o responsables de seguridad de la informaci髇, de las medidas t閏nicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo para los derechos y libertades de las personas, teniendo en cuenta el estado de la t閏nica, los costes de aplicaci髇, y la naturaleza, el alcance, el contexto y los fines del tratamiento, conforme a lo exigido en el RGPD, la LOPDyGDD y el ENS.
• d) La trasmisi髇 de las obligaciones al encargado del tratamiento y la verificaci髇 del cumplimiento de las mismas.

Las actividades necesarias para el cumplimiento de dichas responsabilidades se podr醤 delegar en las Directoras y los Directores Generales y en el resto de roles definidos en el art韈ulo 6, cada uno en su 醡bito correspondiente.

Art韈ulo 9 Responsable del servicio

El responsable del servicio es la persona que determina los requisitos de seguridad de los servicios prestados a partir de la informaci髇 y los niveles de seguridad del mismo dentro del marco que establece el anexo I del Real Decreto 3/2010, pudiendo recabar para ello la propuesta del responsable de seguridad y la opini髇 del responsable del sistema. Respecto a la protecci髇 de datos, el responsable del servicio prestar� asistencia al responsable del tratamiento en el ejercicio de sus funciones.

Un tratamiento de informaci髇 puede abarcar diferentes servicios y por tanto en la existencia de uno o varios responsables del servicio.

Art韈ulo 10 El responsable de seguridad de la informaci髇

El responsable de seguridad de la informaci髇 es la persona que decide las medidas organizativas y t閏nicas exigibles para garantizar la protecci髇 de datos y la seguridad de la informaci髇 en los servicios prestados con base en los requisitos fijados por el responsable del tratamiento y el responsable de la informaci髇.

En cada Departamento u organismo p鷅lico existir�, como m韓imo, un responsable de seguridad, si bien podr醤 existir responsables de seguridad en las Direcciones Generales, si se considera necesario.

El responsable de seguridad ser� designado por el titular de la unidad correspondiente. No obstante, si en la unidad existe alg鷑 Servicio o Secci髇 con competencias en materia de protecci髇 de datos personales y seguridad de la informaci髇, su titular ostentar� la condici髇 de responsable de seguridad de la informaci髇.

Una misma persona podr� ejercer al mismo tiempo de responsable de seguridad de un Departamento y sus organismos p鷅licos asociados.

Los responsables de seguridad contar醤 con el apoyo t閏nico, jur韉ico y organizativo, tanto de su unidad como del Departamento al que 閟ta pertenezca.

El responsable de seguridad de la informaci髇 ejercer�, adem醩 de las funciones y competencias que le atribuya la legislaci髇 aplicable, las siguientes funciones espec韋icas, tanto las que sean propias como las que asuma por delegaci髇:

• a) Proponer, elaborar, actualizar y hacer seguimiento de las pol韙icas y directrices concretas en materia de protecci髇 de datos y seguridad de la informaci髇 dentro de su 醡bito de responsabilidad.
• b) Impulsar, coordinar, articular la puesta en marcha y hacer seguimiento de las medidas organizativas y t閏nicas de protecci髇 de datos y seguridad de la informaci髇 que se vayan implantando en los procesos de tratamiento de la informaci髇, en la formaci髇, concienciaci髇 y capacitaci髇 del personal a su servicio y en los sistemas de informaci髇 utilizados, en este 鷏timo caso, en colaboraci髇 con la Direcci髇 General de Inform醫ica, Telecomunicaciones e Innovaci髇 P鷅lica.
• c) Coordinar, junto con los responsables del servicio y el responsable del sistema, la realizaci髇 de los an醠isis de riesgos y evaluaciones de impacto, si fuera necesario, sobre los tratamientos que tienen lugar en su 醡bito. Asimismo, ser� el responsable de coordinar la implantaci髇 de las medidas de seguridad necesarias para cada tratamiento, a la vista del resultado de los an醠isis realizados.
• d) Colaborar con la Unidad Delegada de Protecci髇 de Datos en todo lo que 閟ta le requiera en el desarrollo de sus funciones.
• e) Realizar auditor韆s internas y participar en auditor韆s externas para verificar el cumplimiento de las normativas de protecci髇 de datos y seguridad de la informaci髇.
• f) Informar sobre el estado de la protecci髇 de datos y seguridad de la informaci髇 en su 醡bito.
• g) Mantener actualizado el marco documental de la protecci髇 de datos y seguridad de la informaci髇 en su 醡bito de responsabilidad y, en particular, custodiar el registro de las actividades de tratamiento.
• h) Coordinar con la Direcci髇 General de Inform醫ica, Telecomunicaciones e Innovaci髇 P鷅lica la gesti髇 de los incidentes de seguridad de los sistemas de informaci髇, tanto en soporte electr髇ico como en otros soportes, ofreciendo respuestas reactivas a dichos incidentes.
• i) Notificar a la autoridad de control competente las violaciones de seguridad y los incidentes de seguridad de la informaci髇 en los supuestos en que la normativa vigente establezca dicha notificaci髇 como obligatoria. Dicha notificaci髇 se har� en colaboraci髇 con la delegada o el delegado de protecci髇 de datos y el responsable del sistema a las autoridades de control correspondientes.
• j) Participar en el Comit� de Protecci髇 de Datos y Seguridad de la Informaci髇.

Art韈ulo 11 Responsable del sistema

1. Ser� responsable del sistema la persona titular de la Direcci髇 General de Inform醫ica, Telecomunicaciones e Innovaci髇 P鷅lica. En calidad de responsable del sistema, ser� el encargado de:

• a) Desarrollar, operar y mantener el sistema de informaci髇 durante todo su ciclo de vida, de sus especificaciones, instalaci髇 y verificaci髇 de su correcto funcionamiento.
• b) Definir la topolog韆 y sistema de gesti髇 del sistema de informaci髇 estableciendo los criterios de uso y los servicios disponibles en el mismo.
• c) Cerciorarse de que las medidas espec韋icas de seguridad se integren adecuadamente dentro del marco general de seguridad.
• d) Acordar la suspensi髇 del manejo de una cierta informaci髇 o la prestaci髇 de un cierto servicio si es informado de deficiencias graves de seguridad que pudieran afectar a la satisfacci髇 de los requisitos establecidos. Esta decisi髇 debe ser acordada con los responsables de la informaci髇 afectada, del servicio afectado y el responsable de seguridad, antes de ser ejecutada.
• e) Elaborar los procedimientos, gu韆s e instrucciones t閏nicas que, cumpliendo con lo establecido en la PPDSI, determinan las acciones o tareas a realizar en el desempe駉 de un proceso.

2. Las actividades necesarias para el ejercicio de dichas funciones se podr醤 delegar en el personal t閏nico de la Direcci髇 General de Inform醫ica, Telecomunicaciones e Innovaci髇 P鷅lica.

Art韈ulo 12 La delegada o el delegado de protecci髇 de datos

La Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos cuentan con una delegada de protecci髇 de datos de 醡bito general, a fin de dar cumplimiento a lo requerido en el art韈ulo 37 del RGPD, que llevar� a cabo las tareas establecidas en el art韈ulo 39 del citado RGPD, as� como las que se deriven de la normativa estatal de protecci髇 de datos personales, sin perjuicio del posible nombramiento de otras delegadas u otros delegados de protecci髇 de datos en 醡bitos inferiores, como Departamentos u organismos p鷅licos cuando sus necesidades espec韋icas as� lo requieran.

En el desempe駉 de sus funciones, la delegada o el delegado de protecci髇 de datos tendr� acceso a los datos personales y procesos de tratamiento.

Art韈ulo 13 El Comit� de Protecci髇 de Datos y Seguridad de la Informaci髇

1. El Comit� de Protecci髇 de Datos y Seguridad de la Informaci髇, adscrito al Departamento de Presidencia, Funci髇 P鷅lica, Interior y Justicia, gestionar� y coordinar� todas las actividades relacionadas con la pol韙ica de protecci髇 de datos y seguridad de los sistemas de informaci髇.

2. El Comit� de Protecci髇 de Datos y Seguridad de la Informaci髇 est� compuesto por los siguientes miembros:

• a) La Directora o el Director General que ejerza las competencias en materia de Presidencia, que ostentar� la presidencia del Comit�.
• b) Los responsables de seguridad de la informaci髇 de los diferentes Departamentos, Direcciones Generales u organismos p鷅licos.
• c) La Directora o el Director General que ejerza las competencias en materia de inform醫ica y telecomunicaciones, en calidad de responsable del sistema, o persona en quien delegue.
• d) La delegada o el delegado de protecci髇 de datos que actuar� como secretaria o secretario y participar� con voz, pero sin voto, en las reuniones del Comit� de Protecci髇 de Datos y Seguridad de la Informaci髇. En todo caso, en los asuntos sometidos a votaci髇, se har� constar siempre en acta el parecer de la delegada o el delegado de protecci髇 de datos.

3. El Comit� de Protecci髇 de Datos y Seguridad de la Informaci髇 actuar� en el 醡bito del cumplimiento de la normativa de protecci髇 de datos y seguridad de la informaci髇 vigente.

4. El Comit� de Protecci髇 de datos y Seguridad de la Informaci髇 coordinar� las actividades relacionadas con la seguridad de la informaci髇 y los sistemas de informaci髇 ejerciendo las siguientes funciones:

• a) Elaborar propuestas de modificaci髇 y actualizaci髇 permanente de la PPDSI de la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos, y de su estructura organizativa.
• b) Promover recursos y medios para la mejora en materia de protecci髇 de datos y seguridad de la informaci髇.
• c) Buscar la eficiencia al compartir experiencias, trabajos realizados y lecciones aprendidas que pueden ser aprovechadas por otras unidades de la Administraci髇 de la Comunidad Foral de Navarra y de sus organismos p鷅licos.
• d) Promover decisiones conjuntas para la b鷖queda de la homogeneidad y eficiencia en el uso de recursos p鷅licos.
• e) Elaborar, al menos con una periodicidad anual, un informe conjunto del estado de situaci髇, relativo a protecci髇 de datos y seguridad de la informaci髇 para todas las unidades que cuenten con responsable de seguridad. Dicho informe se presentar� a la Comisi髇 de Coordinaci髇 de la Administraci髇 de la Comunidad Foral de Navarra y se elevar� al Gobierno de Navarra.

5. El Comit� de Protecci髇 de Datos y Seguridad de la Informaci髇 se reunir� al menos con car醕ter semestral.

Art韈ulo 14 Asignaci髇 de tareas

Las Consejeras y los Consejeros de los Departamentos y las y los Gerentes de los organismos p鷅licos podr醤, dentro de su 醡bito de competencias, asignar tareas relativas a la mejora o desarrollo de los principios recogidos en la presente pol韙ica a personas o grupos de trabajo. Esta responsabilidad se podr� delegar en las Directoras o Directores Generales y en el resto de roles de seguridad definidos en el presente documento, y m醩 concretamente en el responsable de seguridad de la informaci髇 seg鷑 la naturaleza de tareas a asignar.

Art韈ulo 15 Resoluci髇 de conflictos

En caso de conflicto entre los diferentes responsables que componen la estructura organizativa de la pol韙ica de protecci髇 de datos y seguridad de la informaci髇, corresponder� la resoluci髇 del mismo a la Consejera o Consejero del Departamento o Gerentes del organismo p鷅lico en cuesti髇, en su rol de responsable del tratamiento y responsable de la informaci髇, asistido por el responsable del servicio, el responsable de seguridad de la informaci髇 y el responsable del sistema y, cuando proceda, por la delegada o el delegado de protecci髇 de datos.

En caso de conflicto entre los responsables de la informaci髇 y los responsables de los servicios, por una parte, y los responsables del tratamiento por otra, los datos personales constituyen un objeto protegido de mayor rango y marcar醤 la pauta a seguir.

Art韈ulo 16 Obligaciones del personal

El personal al servicio de la Administraci髇 de la Comunidad Foral de Navarra y de sus organismos p鷅licos prestar� su colaboraci髇 en las actuaciones de implementaci髇 de la pol韙ica de protecci髇 de datos y seguridad de la informaci髇.

Dicho personal tiene la obligaci髇 de conocer y cumplir lo previsto en la presente pol韙ica, as� como en las normas y procedimientos que la desarrollen.

El personal al servicio de la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos tiene asimismo el deber de colaborar en la mejora de los principios y requisitos en materia de protecci髇 de datos y seguridad de la informaci髇 evitando o, en su caso, aminorando los riesgos a los que se encuentra expuesta la informaci髇 y los datos personales de los que es responsable la Administraci髇 de la Comunidad Foral de Navarra o sus organismos p鷅licos. A tal efecto, comunicar� a los integrantes de la estructura organizativa de la pol韙ica de protecci髇 de datos y seguridad de la informaci髇 cualquier propuesta o sugerencia que ayude a preservar la confidencialidad, la integridad y la disponibilidad de la informaci髇.

Art韈ulo 17 Concienciaci髇 y formaci髇

Se desarrollar醤 actividades formativas espec韋icas orientadas a la concienciaci髇 y formaci髇 del personal que presta sus servicios en la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos, as� como a la difusi髇 de la presente pol韙ica de protecci髇 de datos y seguridad de la informaci髇 y de su desarrollo normativo.

La Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos dispondr醤 de los medios necesarios para que todas las personas con acceso a la informaci髇 sean informadas acerca de sus deberes y obligaciones, as� como de los riesgos existentes en el tratamiento de la informaci髇.

La delegada o el delegado de protecci髇 de datos supervisar� las acciones de concienciaci髇 y formaci髇 del personal que participa en las operaciones de tratamiento con datos personales, a fin de garantizar el cumplimiento de la PPDSI.

Art韈ulo 18 Desarrollo y revisi髇 de la PPDSI

1. El responsable del tratamiento y/o el responsable de la informaci髇, a propuesta de los miembros que integran la estructura organizativa descrita en la PPDSI y, en su caso, asistidos por el Comit� de Protecci髇 de Datos y Seguridad de la Informaci髇 y/o por la delegada o el delegado de protecci髇 de datos, definir醤 los procedimientos y elaborar醤 gu韆s e instrucciones t閏nicas necesarias para el desarrollo de la presente pol韙ica.

En dicho proceso de desarrollo podr� requerirse la colaboraci髇 de las unidades organizativas que componen la estructura org醤ica de la Administraci髇 de la Comunidad Foral de Navarra y sus organismos p鷅licos.

2. La presente PPDSI se someter� a un proceso de revisi髇, al menos anual, a fin de adaptarse a las circunstancias t閏nicas u organizativas y evitar su obsolescencia.

3. Las revisiones de la presente PPDSI ser醤 aprobadas por decreto foral.

Disposici髇 derogatoria 鷑ica

Quedan derogadas cuantas disposiciones de igual o inferior rango se opongan a lo establecido en el presente decreto foral.

Disposici髇 final 鷑ica.– Entrada en vigor

Este decreto foral entrar� en vigor el d韆 siguiente al de su publicaci髇 en el Bolet韓 Oficial de Navarra.