Decreto Foral 81/2023, de 4 de julio, de la Diputaci髇 Foral de Bizkaia por el que se aprueba la Pol韙ica de seguridad de la informaci髇 y protecci髇 de datos personales del sector p鷅lico foral de Bizkaia

Art韈ulo 1 Misi髇 y objetivos de la organizaci髇

El sector p鷅lico foral del Territorio Hist髍ico de Bizkaia se halla integrado por la Diputaci髇 Foral de Bizkaia y por sus entidades forales, entes vinculados a la Diputaci髇 Foral de Bizkaia y adscritos a sus departamentos, que pueden adoptar la forma de: organismos aut髇omos forales, entidades p鷅licas empresariales forales, sociedades mercantiles forales, fundaciones forales, consorcios forales y otros entes forales de derecho p鷅lico distintos a los anteriores.

El sector p鷅lico foral tiene como objetivo b醩ico lograr el mayor nivel de calidad de vida posible para toda la sociedad de Bizkaia, tomando para ello las decisiones necesarias en el 醡bito de las competencias establecidas en el EAPV y en la LTH, y dem醩 normativa. Para el desempe駉 de sus actividades y prestaci髇 de servicios p鷅licos, el cumplimiento de la normativa vigente en protecci髇 de datos y seguridad de la informaci髇 exige dotar al sector p鷅lico foral de la presente pol韙ica reguladora de la protecci髇 de datos personales y de seguridad de la informaci髇.

Art韈ulo 2 Marco normativo

Se establece el marco jur韉ico en materia de protecci髇 de datos personales y seguridad de la informaci髇 que sirve de referencia y valida la Pol韙ica de seguridad de la informaci髇 y protecci髇 de datos personales del sector p鷅lico foral de Bizkaia.

Legislaci髇 y normas aplicables:

• a) El presente decreto foral.
• b) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales y a la libre circulaci髇 de estos datos (RGPD).
• c) Ley Org醤ica 3/2018, de 5 de diciembre, de Protecci髇 de Datos Personales y garant韆 de los derechos digitales (LOPDyGDD).
• d) Ley 2/2004, de 25 de febrero, de ficheros de datos de car醕ter personal de titularidad p鷅lica y de creaci髇 de la Agencia Vasca de Protecci髇 de Datos.
• e) Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica.
• f) Decreto Foral Normativo 5/2013, de 3 de diciembre, por el que se aprueba el Texto Refundido de la Norma Foral 5/2006 de 29 de diciembre, General Presupuestaria del Territorio Hist髍ico de Bizkaia.
• g) Norma Foral 2/2005, de 10 de marzo, General Tributaria del Territorio Hist髍ico de Bizkaia.
• h) Norma Foral 1/2016, de 17 de febrero, de Transparencia de Bizkaia.
• i) Decreto Foral de la Diputaci髇 Foral de Bizkaia 106/2020, de 1 de diciembre, por el que se regula la apertura de datos en el portal de datos abiertos de la Diputaci髇 Foral de Bizkaia Open Data Bizkaia.
• j) Decreto Foral de la Diputaci髇 Foral de Bizkaia 84/2022, de 28 de junio, por el que se aprueba el Reglamento que regula el Gabinete del Diputado General y el Gabinete de Estrategia Digital y Corporativa.
• k) Normativa foral cuyo 醡bito de aplicaci髇 est� orientado a la regulaci髇 del dato: Gobernanza del dato y Estatuto del dato.
• l) Ley 39/2015, de 1 de octubre, del procedimiento administrativo com鷑 de las Administraciones P鷅licas.
• m) Ley 40/2015, de 1 de octubre, de r間imen jur韉ico del Sector P鷅lico.
• n) Resto de normativa que resulte de aplicaci髇.

Complementan el marco normativo las gu韆s e instrucciones emitidas por Autoridades de Control y Organismos oficiales en materia de protecci髇 de datos personales y seguridad de la informaci髇, as� como las resoluciones dictadas por la Diputaci髇 Foral de Bizkaia en esta materia:

• a) Acuerdo de la Diputaci髇 Foral de Bizkaia de 27 de marzo de 2018, por el que se procede a la aprobaci髇 del C骴igo de Conducta Inform醫ico para su aplicaci髇 en la Diputaci髇 Foral de Bizkaia.
• b) Acuerdo de la Diputaci髇 Foral de Bizkaia de 18 de febrero de 2020, por el que se procede a la creaci髇, regulaci髇, mantenimiento y publicaci髇 del Registro de Actividades de Tratamiento de datos personales de la Diputaci髇 Foral de Bizkaia, de conformidad con el art韈ulo 30 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de datos personales.
• c) Instrucci髇 de cumplimiento del Gabinete de Estrategia Digital y Corporativa de 30 de marzo de 2020, para la incorporaci髇 en Reglamentos de estructura, de las funciones y responsabilidades que desempe馻n: las personas dinamizadoras en materia de protecci髇 de datos y seguridad de la informaci髇 y las direcciones generales, en calidad de responsables del tratamiento en materia de protecci髇 de datos y en calidad de responsables de informaci髇 en materia de seguridad de la informaci髇.

Art韈ulo 3 Conceptos y definiciones

Para facilitar la interpretaci髇 de la presente pol韙ica se facilita el siguiente glosario de t閞minos, el cual puede completarse con lo establecido en el art韈ulo 4 del RGPD y en el anexo IV del Real Decreto 311/2022 por el que se regula el ENS:

• 羗bito de protecci髇 de datos personales
  • a) Datos personales: toda informaci髇 sobre una persona f韘ica identificada o identificable (玡l interesado�); se considerar� persona f韘ica identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un n鷐ero de identificaci髇, datos de localizaci髇, un identificador en l韓ea o uno o varios elementos propios de la identidad f韘ica, fisiol骻ica, gen閠ica, ps韖uica, econ髆ica, cultural o social de dicha persona.
  • b) Tratamiento: cualquier operaci髇 o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organizaci髇, estructuraci髇, conservaci髇, adaptaci髇 o modificaci髇, extracci髇, consulta, utilizaci髇, comunicaci髇 por transmisi髇, difusi髇 o cualquier otra forma de habilitaci髇 de acceso, cotejo o interconexi髇, limitaci髇, supresi髇 o destrucci髇.
  • c) Evaluaci髇 de impacto: herramienta que permite evaluar de manera anticipada cu醠es son los potenciales riesgos a los que est醤 expuestos los datos personales en funci髇 de las actividades de tratamiento que se llevan a cabo.
• 羗bito seguridad de la informaci髇
  • a) Activo: componente o funcionalidad de un sistema de informaci髇 susceptible de ser atacado deliberada o accidentalmente con consecuencias para la Diputaci髇 Foral de Bizkaia o para las entidades forales. Incluye: informaci髇, datos, servicios, aplicaciones (software), equipos (hardware), comunicaciones, recursos administrativos, recursos f韘icos y recursos humanos.
  • b) An醠isis de riesgos: utilizaci髇 sistem醫ica de la informaci髇 disponible para identificar peligros y estimar los riesgos.
  • c) Autenticidad: propiedad o caracter韘tica consistente en que una entidad es quien dice ser o bien que garantiza la fuente de la que proceden los datos.
  • d) Categor韆 de un sistema: nivel, dentro de la escala B醩ica-Media-Alta, con el que se adjetiva un sistema a fin de seleccionar las medidas de seguridad necesarias para el mismo. La categor韆 del sistema recoge la visi髇 hol韘tica del conjunto de activos como un todo arm髇ico, orientado a la prestaci髇 de unos servicios.
  • e) Confidencialidad: propiedad o caracter韘tica consistente en que la informaci髇 ni se pone a disposici髇, ni se revela a individuos, entidades o procesos no autorizados.
  • f) Disponibilidad: propiedad o caracter韘tica de los activos consistente en que las entidades o procesos autorizados tienen acceso a los mismos cuando lo requieren.
  • g) Incidente de seguridad: suceso inesperado o no deseado con consecuencias en detrimento de la seguridad del sistema de informaci髇
  • h) Integridad: propiedad o caracter韘tica consistente en que el activo de informaci髇 no ha sido alterado de manera no autorizada.
  • i) Medidas de seguridad: conjunto de disposiciones encaminadas a protegerse de los riesgos posibles sobre el sistema de informaci髇, con el fin de asegurar sus objetivos de seguridad. Puede tratarse de medidas de prevenci髇, de disuasi髇, de protecci髇, de detecci髇 y reacci髇, o de recuperaci髇.
  • j) Sistema de informaci髇: conjunto organizado de recursos para que la informaci髇 se pueda recoger, almacenar, procesar o tratar, mantener, usar, compartir, distribuir, poner a disposici髇, presentar o transmitir.
  • k) Trazabilidad: propiedad o caracter韘tica consistente en que las actuaciones de una entidad pueden ser imputadas exclusivamente a dicha entidad.

Art韈ulo 4 Objeto y 醡bito de aplicaci髇

4.1. Objeto

La presente pol韙ica de seguridad de la informaci髇 y protecci髇 de datos personales del sector p鷅lico foral de Bizkaia tiene por objeto:

• a) Establecer el marco normativo que recoja los principios b醩icos y requisitos m韓imos que permitan una protecci髇 adecuada de la informaci髇 que se gestiona en el 醡bito del sector p鷅lico foral de Bizkaia, y que ser� de aplicaci髇, a todos los servicios y sistemas de informaci髇 y a todas las actividades de tratamiento de datos personales de los que sean responsables la Diputaci髇 Foral de Bizkaia y sus entidades forales. En particular, la pol韙ica de seguridad de la informaci髇 establece las directrices que rigen la forma en la que la Diputaci髇 Foral de Bizkaia y sus entidades forales gestionan y protegen la informaci髇 que tratan y los servicios que prestan.
• b) Definir el modelo organizativo y t閏nico apropiado para garantizar el cumplimiento de la normativa aplicable al tratamiento de los datos personales y al acceso y utilizaci髇 de los sistemas de informaci髇.

4.2. 羗bito de aplicaci髇

Lo dispuesto en esta pol韙ica ser� de obligado cumplimiento para todas las unidades que conforman la estructura org醤ica de la Diputaci髇 Foral de Bizkaia y de sus entidades forales y para todo el personal con acceso a la informaci髇 de las que son responsables aquellas, con independencia de su destino, condici髇 laboral o relaci髇 por la que se accede a la informaci髇. En particular, quedar醤 comprendidas en el 醡bito subjetivo de aplicaci髇:

• a) La Diputaci髇 Foral de Bizkaia y las entidades forales comprendidas en el art韈ulo 2 del Decreto Foral Normativo 5/2013, de 3 de diciembre, por el que se aprueba

  el Texto Refundido de la Norma Foral 5/2006 de 29 de diciembre, General Presupuestaria del Territorio Hist髍ico de Bizkaia, respecto de la informaci髇 tratada por cualquier medio con independencia del soporte en el que se encuentre.

• b) Otras personas o entidades con acceso a informaci髇: cuando las entidades incluidas en el 醡bito de aplicaci髇 subjetivo de la presente pol韙ica utilicen servicios externos o permitan el acceso leg韙imo o cedan informaci髇 a terceras personas, en particular cuando 閟tas participen, utilicen, operen o administren datos personales y/o sistemas de informaci髇 y comunicaciones, se les har� part韈ipes de esta Pol韙ica de seguridad de la informaci髇 y protecci髇 de datos personales del sector p鷅lico foral de Bizkaia, quedando sujetas a las obligaciones establecidas en las mismas.

Art韈ulo 5 Obligaciones del personal que comprende el 醡bito subjetivo de aplicaci髇

Todo el personal empleado dentro del 醡bito de aplicaci髇 de esta pol韙ica tiene la obligaci髇 de conocerla y cumplirla, as� como de conocer y cumplir las normativas que se deriven de 閟ta. La unidad org醤ica competente en protecci髇 de datos y/o seguridad de la informaci髇 de la Diputaci髇 Foral de Bizkaia, y los responsables de seguridad en las entidades forales, dispondr醤 los medios necesarios para que la informaci髇 llegue a las personas afectadas, para lo cual se apoyar醤 en la infraestructura de roles definida en la presente pol韙ica.

La protecci髇 de datos personales y la seguridad de la informaci髇 compromete y obliga a todo el personal interno de Diputaci髇 Foral de Bizkaia y entidades forales, as� como a terceras personas que presten servicios a 閟tas o que se relacionen con las mismas mediante la correspondiente relaci髇 jur韉ica.

Art韈ulo 6 Concienciaci髇 y formaci髇 del personal

La Diputaci髇 Foral de Bizkaia fomentar� el desarrollo de planes de formaci髇, enfocados y dirigidos tanto al personal de la Diputaci髇 Foral de Bizkaia como al de las entidades forales para que reciban sesiones de concienciaci髇 en materia de protecci髇 de datos personales y seguridad de la informaci髇 de manera peri骴ica. En particular, se prestar� especial atenci髇 a los siguientes 醡bitos y objetivos:

• a) Que se preste formaci髇 y concienciaci髇 a las nuevas incorporaciones de personal, y de forma peri骴ica y continuada, a todo el personal de la Diputaci髇 Foral de Bizkaia, as� como al de las entidades forales.
• b) Que las personas con responsabilidad en el uso, operaci髇 o administraci髇 de sistemas reciban formaci髇 para el manejo seguro de los sistemas, en la medida en que la necesiten para desempe馻r de forma eficaz y eficiente su trabajo.
• c) Que la formaci髇 en protecci髇 de datos personales y seguridad de la informaci髇 que se dise馿 y apruebe para su impartici髇 entre personal perteneciente a grupos espec韋icos, que por las necesidades del puesto de trabajo necesiten adquirir conocimientos en la misma, tenga car醕ter preferente y en su caso, sea obligatoria al objeto de cubrir estas necesidades formativas en el desempe駉 de las funciones del puesto y la correcta asunci髇 de las responsabilidades inherentes al mismo.

Art韈ulo 7 Principios

La Diputaci髇 Foral de Bizkaia y las entidades del sector p鷅lico foral de Bizkaia ser醤 responsables del cumplimiento de lo dispuesto en la presente pol韙ica y deber醤 ser capaces de demostrar su cumplimiento, asumiendo su responsabilidad proactiva.

Para ello, tratar醤 la informaci髇 y los datos personales conforme a los siguientes principios estructurales de la protecci髇 de datos y la seguridad de la informaci髇:

• a) Alcance estrat間ico: la protecci髇 de datos personales y la seguridad de la informaci髇 deber醤 contar con el compromiso y apoyo de todos los niveles directivos de forma que pueda estar coordinada e integrada con el resto de las iniciativas estrat間icas de la Diputaci髇 Foral de Bizkaia y las entidades forales para conformar un todo coherente y eficaz.
• b) Responsabilidad proactiva: la Diputaci髇 Foral de Bizkaia y las entidades forales ser醤 responsables del cumplimiento de los principios referenciados en este art韈ulo y adoptar醤 las medidas organizativas, operacionales y t閏nicas que le permitan estar en condiciones de demostrar dicho cumplimiento.
• c) Diferenciaci髇 de responsabilidades: las responsabilidades que se detallan sobre los datos personales, la informaci髇, los servicios, la seguridad y otros aspectos de la gesti髇 se encontrar醤 diferenciadas en diversos roles, que estar醤 permanentemente habilitados y capacitados para desempe馻r su funci髇. Respecto a los sistemas de informaci髇 de la Diputaci髇 Foral de Bizkaia y de las entidades forales se diferencian, entre otros, los siguientes roles: responsable de la informaci髇, responsable del servicio, responsable de seguridad y responsable del sistema, se detallan sus atribuciones y se establecen mecanismos de coordinaci髇 y resoluci髇 de conflictos. Completan el marco de responsabilidades el resto de los roles descritos en la presente pol韙ica respecto del 醡bito de protecci髇 de datos. La responsabilidad de la seguridad de los sistemas de informaci髇 estar� diferenciada de la responsabilidad sobre la explotaci髇 de los sistemas de informaci髇.
• d) Cumplimiento: se adoptar醤 las medidas t閏nicas, organizativas y procedimentales necesarias para el cumplimiento de la normativa legal vigente en materia de seguridad de la informaci髇 y protecci髇 de datos personales.
• e) Licitud, lealtad y transparencia: se tratar醤 los datos personales de manera l韈ita, leal y transparente con las personas f韘icas titulares de los mismos, sus representantes y en su caso, personas interesadas.
• f) Limitaci髇 de la finalidad: los datos personales ser醤 recogidos con fines determinados, expl韈itos y leg韙imos y no ser醤 tratados ulteriormente de manera incompatible con dichos fines. El tratamiento ulterior de los datos personales con fines de archivo en inter閟 p鷅lico, fines de investigaci髇 cient韋ica e hist髍ica o fines estad韘ticos, no se considerar� incompatible con los fines iniciales.

  El tratamiento de datos personales con fines distintos de aquellos para los que hayan sido recogidos inicialmente solo debe permitirse cuando sea compatible con los fines de su recogida inicial y cumpliendo las condiciones y los requisitos establecidos en la normativa de protecci髇 de datos de aplicaci髇 en el Considerando 50, el art韈ulo 6.4 RGPD y el cumplimiento del deber de informar de ese otro fin ulterior conforme a los art韈ulos 13.3 y 14.4 RGPD.

• g) Minimizaci髇 de datos: los datos personales ser醤 adecuados, pertinentes y limitados a lo necesario en relaci髇 con los fines para los que son tratados.
• h) Exactitud: los datos personales ser醤 exactos y, si fuera necesario, actualizados; se adoptar醤 todas las medidas razonables para que se supriman o rectifiquen sin dilaci髇 los datos personales que sean inexactos con respecto a los fines para los que se tratan, de acuerdo con el principio de exactitud.
• i) Limitaci髇 del plazo de conservaci髇: los datos personales ser醤 mantenidos de forma que se permita la identificaci髇 de las personas interesadas durante no m醩 tiempo del necesario para los fines del tratamiento de los datos personales y cumplimiento del plazo de prescripci髇 de posibles responsabilidades que deriven del tratamiento; los datos personales podr醤 conservarse durante per韔dos m醩 largos siempre que se traten exclusivamente con fines de archivo en inter閟 p鷅lico, fines de investigaci髇 cient韋ica o hist髍ica o fines estad韘ticos, de conformidad con el art韈ulo 89.1 RGPD, sin perjuicio de la aplicaci髇 de las medidas t閏nicas y organizativas apropiadas que impone el reglamento a fin de proteger los derechos y libertades, de acuerdo con el principio de limitaci髇 del plazo de conservaci髇.
• j) Integridad y confidencialidad: los datos ser醤 tratados de tal manera que se garantice una seguridad adecuada, incluida la protecci髇 contra el tratamiento no autorizado o il韈ito y contra su p閞dida, destrucci髇 o da駉 accidental, mediante la aplicaci髇 de medidas t閏nicas u organizativas apropiadas. El objeto 鷏timo de la seguridad de la informaci髇 ser� el de garantizar que Diputaci髇 Foral de Bizkaia y las entidades forales puedan cumplir sus objetivos utilizando sistemas de informaci髇.
• k) Atenci髇 a los derechos de las personas interesadas: se adoptar醤 las medidas que garanticen el adecuado ejercicio por las personas interesadas, cuando proceda, de los derechos de acceso, rectificaci髇, supresi髇, oposici髇, limitaci髇 del tratamiento y portabilidad respecto de sus datos personales.
• l) Actualizaci髇 y adecuaci髇: la protecci髇 de los datos de los sistemas de informaci髇 y de los servicios ser� adecuada, independientemente de los cambios de contexto que se produzcan, adapt醤dose de manera eficaz y eficiente en todo momento.
• m) Seguridad como proceso integral: la seguridad se entender� como un proceso integral constituido por todos los elementos t閏nicos, humanos, materiales, jur韉icos y organizativos relacionados con los sistemas de informaci髇 y empleados por la Diputaci髇 Foral de Bizkaia y las entidades forales. La aplicaci髇 de la presente pol韙ica estar� presidida por este principio, que excluye cualquier actuaci髇 puntual o tratamiento coyuntural.

  Se adoptar醤 las medidas t閏nicas, organizativas y procedimentales necesarias para el cumplimiento de la normativa legal vigente en materia de seguridad de la informaci髇 y protecci髇 de datos personales. Se prestar� la m醲ima atenci髇 a la concienciaci髇 de las personas que intervienen en el proceso y la de los responsables org醤icos, para evitar que, la ignorancia, la falta de organizaci髇 y de coordinaci髇 o de instrucciones adecuadas, constituyan fuentes de riesgo para la seguridad.

• n) Gesti髇 de la seguridad basada en los riesgos: el proceso de seguridad que proteger� los derechos y libertades de las personas interesadas, as� como los activos de la Diputaci髇 Foral de Bizkaia y las entidades forales se basar� en la gesti髇 del riesgo que permita minimizarlo hasta niveles aceptables, manteniendo el equilibrio entre la funcionalidad, la naturaleza de los datos, los tratamientos y las medidas de control a aplicar.
• �) An醠isis y gesti髇 de los riesgos: el an醠isis y gesti髇 de riesgos ser� parte esencial del proceso de seguridad y constituir� una actividad continua y permanentemente actualizada. La gesti髇 de los riesgos permitir� el mantenimiento de un entorno controlado, minimizando los riesgos a niveles aceptables. La reducci髇 a estos niveles se realizar� mediante una apropiada aplicaci髇 de medidas de seguridad, de manera equilibrada y proporcionada a la naturaleza de la informaci髇 a tratar, de los servicios a prestar y de los riesgos a los que est閚 expuestos. En el cap韙ulo VII de la presente pol韙ica se desarrolla este principio en cuanto al an醠isis y gesti髇 de riesgos.
• o) Prevenci髇, detecci髇, respuesta y conservaci髇: para la seguridad de los sistemas de informaci髇 de la Diputaci髇 Foral de Bizkaia y de las entidades forales, y con el objetivo de minimizar las vulnerabilidades y lograr que las amenazas no se materialicen o que en caso de producirse no afecten gravemente a la informaci髇 que manejan o a los servicios que prestan, se establecer醤 las siguientes medidas:
  • 1 .� Medidas de prevenci髇 para eliminar o reducir la posibilidad de que las amenazas se materialicen.
  • 2 .� Medidas de detecci髇 para descubrir la presencia de un incidente de seguridad.
  • 3 .� Medidas de respuesta dirigidas a restaurar la informaci髇 y los servicios afectados por un incidente de seguridad.
  • 4 .� Medidas de conservaci髇 para garantizar en el sistema de informaci髇 los datos e informaci髇 en soporte electr髇ico.

  Adem醩, los sistemas de informaci髇 de la Diputaci髇 Foral de Bizkaia y de las entidades forales mantendr醤 disponibles los servicios durante todo el ciclo vital de la informaci髇 digital para la preservaci髇 del patrimonio digital.

• p) Proporcionalidad: la Diputaci髇 Foral de Bizkaia y las entidades forales establecer醤 medidas de protecci髇, detecci髇 y recuperaci髇 que resulten proporcionales a los potenciales riesgos y a la criticidad y el valor de la informaci髇 de los tratamientos de datos personales y de los servicios afectados.
• q) Reducci髇 de la probabilidad y del impacto: se considerar� el establecimiento de l韓eas de defensa constituidas por distintas capas de seguridad que permitan reducir los tiempos de reacci髇 ante cualquier incidente, reducir la probabilidad de que se produzcan y minimizar el impacto sobre las personas interesadas, o los activos de Diputaci髇 Foral de Bizkaia y las entidades forales.
• r) Existencia de l韓eas de defensa: se dispondr� de una estrategia de protecci髇 constituida por m鷏tiples capas de seguridad. Cada capa permitir�:
  • 1 .� Ganar tiempo para una reacci髇 adecuada frente a los incidentes que no han podido evitarse.
  • 2 .� Reducir la probabilidad de que el sistema de informaci髇 sea comprometido en su conjunto.
  • 3 .� Minimizar el impacto final sobre el mismo.

  Las l韓eas de defensa estar醤 constituidas por medidas de naturaleza organizativa, f韘ica y l骻ica.

• s) Seguridad de los activos de informaci髇: se implantar醤 las medidas t閏nicas y organizativas necesarias para que las personas que tienen acceso a los activos de informaci髇 y a los datos personales conozcan sus obligaciones y responsabilidades y, de este modo, se reduzca el riesgo derivado de un uso indebido de dichos activos.
• t) Seguridad en la gesti髇 de comunicaciones: se establecer醤 los procedimientos necesarios para lograr una adecuada gesti髇 de la seguridad y actualizaci髇 de las tecnolog韆s de la informaci髇 y comunicaciones. La informaci髇 que se transmita a trav閟 de redes de comunicaciones deber� ser adecuadamente protegida, teniendo en cuenta su nivel de sensibilidad y de criticidad, mediante mecanismos que garanticen su seguridad.
• u) Gesti髇 de los incidentes de seguridad: la Diputaci髇 Foral de Bizkaia fortalecer� la ciberseguridad de su sector p鷅lico foral con la dedicaci髇 de recursos econ髆icos, humanos y tecnol骻icos que se han de dimensionar atendiendo al principio de proporcionalidad y al nivel de seguridad requerido, para lo que establecer� la debida planificaci髇 y procedimentaci髇 procurando la participaci髇 de los agentes involucrados, seg鷑 una din醡ica de mejora continua participativa.
• v) Seguridad del entorno tecnol骻ico: la Diputaci髇 Foral de Bizkaia, con el objetivo de alcanzar, mantener y garantizar un entorno tecnol骻ico seguro en todo el sector p鷅lico foral de Bizkaia (Diputaci髇 Foral de Bizkaia y entidades forales) respecto a la utilizaci髇 de la infraestructura inform醫ica y de los sistemas de la informaci髇 y contando con el soporte para ello de su administrador de seguridad, Lantik S.A.M.P, planificar� y ejecutar� cuantas medidas t閏nicas y organizativas sean necesarias para el despliegue de las tareas que den cumplimiento a la presente pol韙ica de seguridad de la informaci髇 y protecci髇 de datos personales u otras normas, disposiciones y/o resoluciones administrativas que se adopten en el 醡bito de la seguridad de la informaci髇 y en el de la protecci髇 de datos personales. Todo ello, con el fin 鷏timo de evitar disfunciones que pudieran propiciar la aparici髇 de incidentes de seguridad provocadas por puntos d閎iles en los sistemas de informaci髇 que posibiliten incidentes accidentales o incluso, ciberataques.
• w) Vigilancia continua y reevaluaci髇 peri骴ica: se establecer醤 mecanismos de vigilancia continua que permitan la detecci髇 de actividades o comportamientos an髆alos y la respuesta a los mismos. Adem醩, se realizar� una evaluaci髇 permanente de los activos en cuanto a su estado de seguridad que mida su evoluci髇, detecte sus vulnerabilidades e identifique sus deficiencias de configuraci髇. Tambi閚 se reevaluar醤 y actualizar醤 peri骴icamente las medidas de seguridad para adecuar su eficacia a la constante evoluci髇 de los riesgos y sistemas de protecci髇, llegando incluso a un replanteamiento de la seguridad, si fuese necesario.
• x) Infraestructura y recursos inform醫icos: la Diputaci髇 Foral de Bizkaia y las entidades forales disponen de infraestructura y recursos inform醫icos que garantizan la eficiencia y rapidez en la prestaci髇 de sus servicios. Entre estos instrumentos de trabajo se incluyen, entre otros: equipos inform醫icos, programas, servidores y redes que posibilitan el uso de las herramientas inform醫icas, el acceso a otras redes (por ejemplo: internet, intranet, red corporativa), la utilizaci髇 de servicios corporativos como el correo electr髇ico y el acceso a aplicaciones.
• y) Adquisici髇 e instalaci髇 de productos de seguridad para el acceso y uso aceptable de los sistemas de informaci髇: la utilizaci髇 de la infraestructura inform醫ica se realizar� conforme a las pautas y directrices que establece el C骴igo de Conducta Inform醫ico aprobado mediante Acuerdo de la Diputaci髇 Foral de Bizkaia de 27 de marzo de 2018 o, en su caso, cualquier modificaci髇 o actualizaci髇 futura que derive del mismo, y resto de normativa y procedimientos de seguridad que se aprueben.
• z) Seguridad desde el dise駉 y por defecto: la Diputaci髇 Foral de Bizkaia tiene como objetivo avanzar en la implementaci髇 de una cultura de cumplimiento y responsabilidad para mitigar los riesgos. La inclusi髇 de la protecci髇 de datos y seguridad desde el dise駉 y por defecto para todos los tratamientos de datos personales y los sistemas de informaci髇, ser� promovido por la Diputaci髇 Foral de Bizkaia y las entidades forales de acuerdo con la normativa de protecci髇 de datos personales y de seguridad de la informaci髇. En este sentido, teniendo en cuenta que el cumplimiento del principio de protecci髇 de datos personales est� relacionado con el principio de transparencia, se adquiere el compromiso de realizar un planteamiento en el que se dise馿n procesos orientados a la obtenci髇 de resultados m醩 respetuosos con la privacidad y la transparencia, as� como con las dimensiones de seguridad, disponibilidad, autenticidad, trazabilidad, integridad y confidencialidad, seleccionando aquellas opciones de las futuras aplicaciones, productos o servicios que afecten significativamente a estas.

Art韈ulo 8 Responsable del tratamiento de datos personales

Es la persona f韘ica o jur韉ica, autoridad p鷅lica, servicio u otro organismo que, solo o junto con otras, determina los fines y medios del tratamiento, de acuerdo con el art韈ulo 4 del RGPD. Para su desempe駉 le corresponden las siguientes responsabilidades y funciones:

• a) Decide y aplica las medidas t閏nicas y organizativas de seguridad adecuadas a los tratamientos de datos que se encuentren bajo su responsabilidad.
• b) Realiza los correspondientes an醠isis de riesgos y evaluaciones de impacto cuando sean necesarios de acuerdo con el RGPD.
• c) Notifica a la autoridad de control competente las violaciones de la seguridad de los datos personales, sin dilaci髇 indebida y, de ser posible, a m醩 tardar 72 horas despu閟 de que haya tenido constancia de ella, a menos que sea improbable que dicha violaci髇 de la seguridad constituya un riesgo para los derechos y las libertades de las personas f韘icas. Si la notificaci髇 a la autoridad de control no tiene lugar en el plazo de 72 horas, deber� ir acompa馻da de indicaci髇 de los motivos de la dilaci髇. Cuando sea probable que la violaci髇 de la seguridad de los datos personales entra馿 un alto riesgo para los derechos y libertades de las personas f韘icas, el responsable del tratamiento la comunicar� a la persona interesada sin dilaci髇 indebida. Para realizar estas notificaciones contar� con la asistencia t閏nica del administrador de seguridad y, en su caso, se valorar� la delegaci髇 de la tarea en 閟te, seg鷑 complejidad t閏nica de la violaci髇.
• d) Resuelve las solicitudes de ejercicio de derechos en materia de protecci髇 de datos personales con arreglo a los art韈ulos 15 a22 del RGPD.
• e) Con car醕ter general, desempe馻 el resto de las funciones que le asigne la normativa de protecci髇 de datos personales.

8.1. En el 醡bito de la Diputaci髇 Foral de Bizkaia: ser醤 responsables del tratamiento, con car醕ter general, las direcciones generales, tal y como establece el Acuerdo de la Diputaci髇 Foral de Bizkaia de 18 de febrero de 2020, por el que se procede a la creaci髇, regulaci髇, mantenimiento y publicaci髇 del Registro de Actividades de Tratamiento de datos personales de la Diputaci髇 Foral de Bizkaia.

8.2. En el 醡bito de las entidades forales: en la misma l韓ea, ser醤 responsables del tratamiento de datos personales las direcciones generales o gerencias, o cualquier otra unidad org醤ica que disponga de la atribuci髇 de estas funciones.

Art韈ulo 9 Persona encargada del tratamiento

Es la persona f韘ica o jur韉ica, autoridad p鷅lica, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. Desempe馻 las siguientes responsabilidades y funciones:

• a) Asiste a la persona responsable del tratamiento, teniendo en cuenta la naturaleza del tratamiento, para el cumplimiento de las medidas t閏nicas y organizativas apropiadas, siempre que sea posible, para que 閟te pueda cumplir con su obligaci髇 de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de las personas interesadas.
• b) Ayuda a la persona responsable del tratamiento a garantizar el cumplimiento de las obligaciones establecidas en los art韈ulos 32 a36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la informaci髇 a disposici髇 de la persona encargada del tratamiento.
• c) A elecci髇 de la persona responsable del tratamiento, suprime o devuelve todos los datos personales una vez finaliza la prestaci髇 de los servicios de tratamiento, y suprime las copias existentes, a menos que se requiera la conservaci髇 de los datos personales.
• d) Pone a disposici髇 de la persona responsable del tratamiento toda la informaci髇 necesaria para demostrar el cumplimiento de las obligaciones, as� como para permitir y contribuir a la realizaci髇 de auditor韆s, incluidas inspecciones.
• e) Informa inmediatamente a la persona responsable del tratamiento si, de acuerdo con su criterio, una instrucci髇 o actividad infringe cualquier disposici髇 en materia de protecci髇 de datos personales.
• f) Notifica sin dilaci髇 indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento.
• g) Cuando una persona encargada de tratamiento recurra a otra persona encargada para llevar a cabo determinadas actividades de tratamiento por cuenta de la persona responsable, se impondr� a esta otra persona encargada, mediante contrato u otro acto jur韉ico, las mismas obligaciones de protecci髇 de datos personales que las estipuladas en el contrato u acto jur韉ico entre responsable y encargado principal, en particular la prestaci髇 de las garant韆s suficientes de aplicaci髇 de medidas t閏nicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del RGPD. Si esa otra persona encargada incumple sus obligaciones de protecci髇 de datos personales, la persona encargada inicial seguir� siendo plenamente responsable ante la persona responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones de la otra persona encargada.
• h) Con car醕ter general, desempe馻 el resto de las funciones que le asigne la normativa de protecci髇 de datos personales.

  En el 醡bito de la Diputaci髇 Foral de Bizkaia y de las entidades forales, ser醤 aquellas personas f韘icas o jur韉icas con las que la Diputaci髇 Foral de Bizkaia o las entidades forales establezcan una relaci髇 jur韉ica que a鷑e de manera acumulativa las siguientes caracter韘ticas:

  • 1 .� La relaci髇 jur韉ica se formalice mediante alguno de los siguientes negocios jur韉icos: encargo a medio propio, encomienda de gesti髇, convenio o contrato.
  • 2 .� Estos negocios jur韉icos den lugar y generen tratamientos de datos personales.

Art韈ulo 10 Responsable de la informaci髇

Le corresponden las siguientes responsabilidades y funciones:

• a) Responsabilidad 鷏tima del uso que se haga de la informaci髇, y de su protecci髇.
• b) Responsabilidad 鷏tima de cualquier error o negligencia que conlleve un incidente de seguridad, en el 醡bito de protecci髇 de datos personales en las dimensiones de confidencialidad o de integridad y en el 醡bito de seguridad de la informaci髇 en la dimensi髇 de disponibilidad.
• c) Valora la informaci髇 y los servicios pertenecientes a su sistema de informaci髇, seg鷑 el impacto que tendr韆 un incidente que afectara a la seguridad de la informaci髇 con perjuicio para las dimensiones de seguridad, siguiendo el procedimiento y dentro del marco establecido en el Anexo I del Real Decreto 311/2022 por el que se regula el ENS.
• d) Determina los requisitos de seguridad y los niveles de seguridad de la informaci髇 y de los servicios pertenecientes a su sistema de informaci髇. La aprobaci髇 formal de los requisitos de seguridad, niveles de seguridad y valoraciones se realizar� por el responsable de la informaci髇 a propuesta conjunta de los responsables del servicio de su sistema de informaci髇 (閟tos proponen y determinan previamente los requisitos, niveles y valoraciones de seguridad de la informaci髇 y del servicio) con la asistencia del responsable de seguridad y con el soporte del administrador de seguridad.
• e) Propone al responsable de seguridad la categor韆 de su informaci髇 y/o de su sistema/s de informaci髇, dentro de su 醡bito competencial.
• f) Participa en la toma de decisi髇 de la suspensi髇 de larga duraci髇 del tratamiento de la informaci髇 que le afecte, junto con el Comit� de Direcci髇 en materia de protecci髇 de datos personales y seguridad de la informaci髇 del sector p鷅lico foral, responsables del servicio afectado y el responsable de seguridad. Adem醩, es informado por el responsable de seguridad de la suspensi髇 cautelar del tratamiento de la informaci髇 que le afecte, suspensi髇 cautelar que adopta el responsable de seguridad.
• g) Con car醕ter general, debe tener en cuenta las indicaciones del responsable del sistema y del responsable de seguridad.

10.1. En el 醡bito de la Diputaci髇 Foral de Bizkaia: con car醕ter general ser醤 las direcciones generales respecto a la informaci髇 o sistema/s de informaci髇 de su 醡bito competencial, seg鷑 se establece en la instrucci髇 de cumplimiento del Gabinete de Estrategia Digital y Corporativa de 30 de marzo de 2020, para la incorporaci髇 en Reglamentos de estructura, de las funciones y responsabilidades que desempe馻n. El procedimiento de designaci髇 y /o renovaci髇 del rol de responsable de informaci髇 se realizar� mediante la aprobaci髇 por la Diputaci髇 Foral de Bizkaia del correspondiente reglamento de estructura org醤ica en el que se incluir� dicho rol.

10.2. En el 醡bito de las entidades forales: en la misma l韓ea, ser醤 las direcciones generales o gerencias, o cualquier otra unidad org醤ica que disponga de la atribuci髇 de estas funciones. El procedimiento de designaci髇 y/o renovaci髇 del rol de responsable de informaci髇 se realizar� mediante la aprobaci髇 del mismo por el 髍gano de gobierno correspondiente de cada entidad foral.

Art韈ulo 11 Responsable del servicio

Le corresponden las siguientes responsabilidades y funciones:

• a) Propone al responsable de informaci髇 para su aprobaci髇 definitiva: la valoraci髇 de su servicio y de la informaci髇 tratada en el mismo, y la determinaci髇 de los requisitos de seguridad y los niveles de seguridad del mismo.

  Para la valoraci髇 tendr� en cuenta el impacto que supondr韆 un incidente que afectar� a la seguridad con perjuicio para las dimensiones de seguridad, siguiendo el procedimiento y dentro del marco establecido en el Anexo I del Real Decreto 311/2022 por el que se regula el ENS, con la asistencia del responsable de seguridad y con el soporte del administrador de seguridad.

• b) Participa en la toma de decisi髇 de la suspensi髇 de larga duraci髇 de la prestaci髇 de su servicio, junto con el Comit� de Direcci髇 en materia de protecci髇 de datos personales y seguridad de la informaci髇 del sector p鷅lico foral, responsables de la informaci髇 afectados, y el responsable de seguridad. Adem醩, es informado por el responsable de seguridad de la suspensi髇 cautelar del servicio que le afecte, suspensi髇 cautelar que adopta el responsable de seguridad.
• c) Con car醕ter general, debe tener en cuenta las indicaciones del responsable del sistema y del responsable de seguridad.

11.1. En el 醡bito de la Diputaci髇 Foral de Bizkaia: con car醕ter general, ser醤 las Jefaturas de Servicio (o en su caso, secci髇 en defecto de servicio en la estructura org醤ica). El procedimiento de designaci髇 y /o renovaci髇 del rol de responsable del servicio se realizar� mediante la aprobaci髇 por la Diputaci髇 Foral de Bizkaia del correspondiente reglamento de estructura org醤ica en el que se incluir� dicho rol.

11.2. En el 醡bito de las entidades forales: este rol se desempe馻r� por las personas responsables de las 醨eas/servicios/unidades en que se estructure cada entidad, siendo responsabilidad de cada entidad, la determinaci髇 y la asignaci髇 espec韋ica de funciones de acuerdo con su estructura org醤ica. El procedimiento de designaci髇 y /o renovaci髇 del rol de responsable de servicio se realizar� mediante la aprobaci髇 del mismo por el 髍gano de gobierno correspondiente de cada entidad foral.

Art韈ulo 12 Responsable de seguridad

Le corresponden las siguientes responsabilidades y funciones:

• a) Mantiene la seguridad de la informaci髇 manejada y de los servicios prestados por los sistemas de informaci髇 en su 醡bito de responsabilidad, de acuerdo con lo establecido en la presente pol韙ica y en el resto de normativa aplicable.
• b) Promueve la formaci髇 y concienciaci髇 en materia de seguridad, definiendo e impulsando iniciativas de formaci髇 y sensibilizaci髇 para el desarrollo y promoci髇 de buenas pr醕ticas en materia de seguridad de la informaci髇.
• c) Elabora y propone para su aprobaci髇 la pol韙ica de seguridad, que incluye las medidas t閏nicas y organizativas, adecuadas y proporcionadas, para gestionar los riesgos que se planteen para la seguridad de las redes y sistemas de informaci髇 utilizados y para prevenir y reducir al m韓imo los efectos de los incidentes de seguridad que afecten a la Diputaci髇 Foral de Bizkaia y a las entidades forales y a los servicios.
• d) Desarrolla las normas, procedimientos, gu韆s e instrucciones de seguridad y supervisa su efectividad, impulsando la realizaci髇 de las auditor韆s peri骴ica de seguridad que sean necesarias.
• e) Recibe, interpreta y aplica las instrucciones y gu韆s emanadas de las autoridades competentes, tanto para la operativa habitual como para la subsanaci髇 de las deficiencias observadas.
• f) Recopila, prepara y suministra informaci髇 o documentaci髇 a las autoridades competentes, a su solicitud o por propia iniciativa.
• g) Firma la declaraci髇 de aplicabilidad, documento que formaliza la relaci髇 de medidas de seguridad seleccionadas, que se realizar� con la asistencia del administrador de seguridad.
• h) Act鷄 como capacitador de buenas pr醕ticas en seguridad de las redes y sistemas de informaci髇, tanto en aspectos f韘icos como l骻icos.
• i) Constituye el punto de contacto con la autoridad competente en materia de seguridad de la informaci髇.
• j) Es interlocutor de los roles de responsable de la informaci髇, responsables del servicio, responsable del sistema, responsable de seguridad f韘ica, responsable de gesti髇 de personal y administrador de la seguridad del sistema.
• k) Asiste a los responsables de informaci髇 y responsable de servicio, sobre el correcto ejercicio de sus funciones en materia del Esquema Nacional de Seguridad.
• l) Notificar a la autoridad competente, a trav閟 del Equipo de Respuesta ante Incidentes (ERI) de referencia y sin dilaci髇 indebida, los incidentes de seguridad que tengan efectos perturbadores en la prestaci髇 de los servicios.
• m) Participa en la gesti髇 adecuada de los incidentes de seguridad y de las acciones de tratamiento que se sigan, con la asistencia del administrador de seguridad. Analiza y propone salvaguardas que prevengan incidentes similares en el futuro, con la asistencia del administrador de seguridad.
• n) Reporta al responsable de la informaci髇, en su caso responsable del tratamiento y al responsable del servicio, respectivamente, de las decisiones e incidentes en materia de seguridad que afecten a la informaci髇 y al servicio que les compete, en particular de la estimaci髇 de riesgo residual y de las desviaciones significativas de riesgo respecto de los m醨genes aprobados, con la asistencia del administrador de seguridad.
• �) Determina la categor韆 del sistema de informaci髇 conforme a las valoraciones propuestas por responsables de informaci髇 y de servicios, y con la asistencia del administrador de seguridad.
• o) Impulsa y realiza el an醠isis de riesgos peri骴ico, y el informe de resultados del proceso de an醠isis de riesgos y su Plan de Tratamiento de riesgos, y, adem醩, asume la responsabilidad de gesti髇 de las tareas del Plan de Tratamiento de Riesgos. En todo el proceso, cuenta con la asistencia del administrador de seguridad para la infraestructura TIC.
• p) Gestiona la realizaci髇 de auditor韆s de los sistemas de informaci髇 en los plazos que establece el Esquema Nacional de Seguridad.
• q) Analiza los resultados de los an醠isis de riesgos y auditor韆s realizadas y propone acciones de mejora y correctoras para el adecuado cumplimiento y alineamiento con el Esquema Nacional de Seguridad.
• r) Analiza y propone mejoras organizativas, de procedimientos y funcionales en el marco del plan de alineamiento del Esquema Nacional de Seguridad. Para ello, se encarga de identificar los niveles de cumplimiento de las medidas de seguridad aplicables y determinar las recomendaciones correspondientes, y promueve la implantaci髇 coordinada de las mismas y de los sistemas de informaci髇 afectos al Esquema Nacional de Seguridad.
• s) Adopta o en su caso, valida las propuestas del administrador de seguridad de la informaci髇, respecto a las medidas urgentes que se estimen necesarias para prevenir, mantener y restablecer la seguridad de la informaci髇 en todas aquellas situaciones que constituyan amenazas y generen riesgos para la seguridad de la informaci髇 en cuanto a disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad, con especial incidencia en la gesti髇 inminente de ciber incidentes asociados a los sistemas y tecnolog韆s de Informaci髇 y comunicaciones (TIC).
• t) Garantiza el adecuado reporte al Centro Criptol骻ico Nacional de los indicadores necesarios para obtener el Informe Nacional del Estado de la Seguridad (INES) seg鷑 lo establecido en el art韈ulo 32 del Real Decreto 311/2022 por el que se regula el ENS.
• u) Participa en la adopci髇 de la decisi髇 de suspensi髇 de larga duraci髇 de un tratamiento o servicio, junto con el Comit� de Direcci髇 en materia de protecci髇 de datos personales y seguridad de la informaci髇 del sector p鷅lico foral, responsables de la informaci髇 y responsables de servicio afectados. Adopta la decisi髇 de suspensi髇 cautelar de un servicio, e informa de la misma al Comit� de Direcci髇 en materia de protecci髇 de datos personales y seguridad de la informaci髇 del sector p鷅lico foral, responsables de informaci髇 y responsables de servicio afectados.
• v) Con car醕ter general para la ejecuci髇 de las responsabilidades y funciones descritas, debe disponer del soporte del administrador de seguridad.

12.1. En el 醡bito de Diputaci髇 Foral de Bizkaia: ser� la unidad org醤ica competente en protecci髇 de datos y/o seguridad de la informaci髇 de la Diputaci髇 Foral de Bizkaia. El procedimiento de designaci髇 y /o renovaci髇 del rol de responsable de seguridad se realizar� mediante la aprobaci髇 por la Diputaci髇 Foral de Bizkaia del correspondiente reglamento de estructura org醤ica en el que se incluir� dicho rol.

12.2. En el 醡bito de las entidades forales: cada entidad foral determinar� el 醨ea/ servicio/unidad en la que recaer� el rol de responsable de seguridad. El procedimiento de designaci髇 y /o renovaci髇 del rol de responsable de seguridad se realizar� mediante la aprobaci髇 del mismo por el 髍gano de gobierno correspondiente de cada entidad foral.

Art韈ulo 13 Responsable del sistema

Le corresponden las siguientes responsabilidades y funciones:

• a) Desarrolla, opera y mantiene el sistema de informaci髇 durante todo su ciclo de vida, incluyendo sus especificaciones, instalaci髇 y verificaci髇 de su correcto funcionamiento.
• b) Define la topolog韆 y la gesti髇 del sistema de informaci髇, estableciendo los criterios de uso y los servicios disponibles en el mismo.
• c) Debe cerciorarse de que las medidas espec韋icas de seguridad se integren adecuadamente dentro del marco general de seguridad.
• d) Propone y ejecuta la suspensi髇 de larga duraci髇 del tratamiento de una cierta informaci髇 o de la prestaci髇 de un determinado servicio, y tambi閚 ejecuta la suspensi髇 cautelar.
• e) Define la organizaci髇 y el despliegue de los procesos tecnol骻icos.
• f) Reporta al responsable de la informaci髇 de las incidencias funcionales relativas a la informaci髇 que le compete; reporta al responsable del servicio de las incidencias funcionales relativas al servicio que le compete; y reporta al responsable de seguridad de las actuaciones en materia de seguridad, en particular, en lo relativo a decisiones de arquitectura del sistema, entreg醤dole un resumen consolidado de los incidentes de seguridad.
• g) Planifica la implantaci髇 de las salvaguardas en el sistema.
• h) Ejecuta el plan de mejora de la seguridad que se apruebe de ser necesario, para atender a los riesgos que no son aceptables.

13.1. En el 醡bito de Diputaci髇 Foral de Bizkaia: ser� Lantik S.A.M.P. en particular, la Direcci髇 de unidad de seguridad y tecnolog韆 de Lantik S.A.M.P. o en su caso, el 醨ea, servicio, unidad org醤ica o direcci髇 competente en este 醡bito de Lantik S.A.M.P. en calidad de responsable del sistema. El procedimiento de designaci髇 y /o renovaci髇 de Lantik S.A.M.P. como responsable del sistema se determinar� en el encargo anual.

13.2. En el 醡bito de las entidades forales: cada entidad foral deber� designar un responsable del sistema. Las entidades forales podr醤 designar como responsable del sistema a Lantik S.A.M.P. previa aceptaci髇 de los requisitos y condiciones tecnol骻icas que determine Lantik S.A.M.P., cuyo alcance estar� circunscrito, en todo caso, a los servicios que sean objeto de encargo a Lantik S.A.M.P. por parte de la entidad. En este caso, ser� responsable del sistema la Direcci髇 de unidad de seguridad y tecnolog韆 de Lantik S.A.M.P. o en su caso, el 醨ea, servicio, unidad org醤ica o direcci髇 competente en este 醡bito de Lantik S.A.M.P. El procedimiento de designaci髇 y /o renovaci髇 de Lantik S.A.M.P. como responsable del sistema se determinar� en el encargo anual.

Art韈ulo 14 Administrador de la seguridad del sistema

Le corresponden las siguientes responsabilidades y funciones:

• a) Implementa, gestiona y mantiene las medidas de seguridad aplicables a los sistemas de tecnolog韆s de informaci髇.
• b) Gestiona los servicios de seguridad.
• c) Propone medidas de gesti髇 y control de acceso a los sistemas de informaci髇 y su gesti髇. Implementa, gestiona y mantiene las medidas de seguridad aplicables a la gesti髇 de acceso a los sistemas de informaci髇.
• d) Reporta al responsable del sistema y al responsable de seguridad de los incidentes de seguridad y de las acciones de configuraci髇, actualizaci髇 o correcci髇.
• e) Gestiona, configura y actualiza el hardware y software en los que se basan los mecanismos y servicios de seguridad del sistema de tecnolog韆 de la Informaci髇.
• f) Gestiona las autorizaciones y privilegios concedidos a personas usuarias del sistema, incluyendo la monitorizaci髇 de que la actividad desarrollada en el sistema se ajusta a lo autorizado y el aseguramiento de la aplicaci髇 de los procedimientos que se aprueben para el manejo del sistema de informaci髇.
• g) Aplica los procedimientos operativos de seguridad (POS).
• h) Asegura que los controles de seguridad establecidos son adecuadamente observados.
• i) Asegura que son aplicados los procedimientos aprobados para manejar el sistema de informaci髇.
• j) Supervisa que todo el equipamiento se ajusta a lo autorizado, supervisa las actuaciones y la aplicaci髇 de los procedimientos de seguridad, supervisa que las actividades de las personas usuarias del sistema son conformes a lo autorizado para cada una de ellas, y tambi閚 supervisa las instalaciones de hardware y software, sus modificaciones y mejoras para asegurar que la seguridad no est� comprometida y que en todo momento se ajustan a las autorizaciones pertinentes.
• k) Monitoriza el estado de la seguridad y el cumplimiento de los controles en su 醡bito competencial de las tecnolog韆s de la informaci髇 y las comunicaciones.
• l) Informa al responsable de seguridad y al responsable del sistema de cualquier anomal韆, compromiso o vulnerabilidad relacionada con la seguridad.
• m) Asiste al responsable de seguridad para la determinaci髇 por este de la categor韆 del sistema de informaci髇.
• n) Asiste al responsable de seguridad para la firma por este de la Declaraci髇 de Aplicabilidad.
• �) Asiste al responsable de seguridad durante el proceso de an醠isis de riesgos y en particular, en la elaboraci髇 del informe de resultados y de su Plan de Tratamiento de riesgos. Gestiona el desarrollo y ejecuci髇 de las tareas del Plan de Tratamiento de Riesgos dentro del proceso de An醠isis y Gesti髇 de Riesgos y de acuerdo con las instrucciones y colaboraci髇 inmediata del responsable de seguridad correspondiente, dentro de su 醡bito competencial de tecnolog韆s de la informaci髇 y las comunicaciones.
• o) Gestiona de manera adecuada los incidentes de seguridad, en particular las tareas que se le asignen para la prevenci髇, detecci髇, respuesta y conservaci髇 de los incidentes y de las acciones de tratamiento que se sigan, de acuerdo con las funciones que se establezcan en el procedimiento que regule la gesti髇 de incidentes. En particular y entre otras que se definir醤 y desarrollar醤 en el procedimiento que se apruebe para la gesti髇 de incidentes de seguridad, a destacar:
  • 1 .� Gestiona el registro de incidentes de seguridad y de las acciones de tratamiento que se realicen. Para ello, lleva a cabo el registro, contabilidad y gesti髇 de los incidentes de seguridad en los sistemas de informaci髇 bajo su responsabilidad.
  • 2 .� A韘la el incidente para evitar la propagaci髇 a elementos ajenos a la situaci髇 de riesgo.
  • 3 .� Toma decisiones a corto plazo si la informaci髇 se ha visto comprometida y pudiera tener consecuencias graves y asegura la integridad de los elementos cr韙icos del sistema de informaci髇 si se ha visto afectada la disponibilidad de los mismos. En el procedimiento a aprobar se reducir� el margen de discrecionalidad del administrador de seguridad al m韓imo al respecto de esta funci髇.
  • 4 .� Mantiene y recupera la informaci髇 almacenada por el sistema de informaci髇 y sus servicios asociados.
  • 5 .� Investiga el incidente: determina el modo, los medios, los motivos y el origen del incidente de seguridad.
• p) Asiste al responsable del tratamiento en la notificaci髇 de las violaciones de seguridad de los datos personales. En el caso de complejidad t閏nica, este podr� delegar la notificaci髇 en el administrador de seguridad.
• q) Asiste al responsable de seguridad en las consultas t閏nicas que surjan durante el desarrollo de las auditor韆s y resto de procesos para el cumplimiento del ENS, dentro de su 醡bito competencial de tecnolog韆s de la informaci髇 y las comunicaciones.
• r) Cualesquiera otras actuaciones del 醡bito de la seguridad relacionadas con su 醡bito funcional y competencial que le sean encomendadas por el responsable de seguridad, por el responsable del sistema o por el Comit� de Direcci髇 en materia de protecci髇 de datos personales y seguridad de la informaci髇 del sector p鷅lico foral.

14.1. En el 醡bito de Diputaci髇 Foral de Bizkaia: ser� Lantik S.A.M.P. y depender� a nivel funcional (para la protecci髇 de la informaci髇) del responsable de seguridad, y a nivel operativo y org醤ico (para la adecuada prestaci髇 del servicio) del responsable del sistema. En particular, el departamento de seguridad, o el 醨ea, servicio o unidad org醤ica competente en seguridad de Lantik S.A.M.P. en calidad de administrador de seguridad se encargar� de la coordinaci髇, implementaci髇, gesti髇 y mantenimiento de las medidas de seguridad relativas a tecnolog韆 de la Informaci髇. El procedimiento de designaci髇 y /o renovaci髇 de Lantik S.A.M.P como administrador de seguridad se determinar� en el encargo anual.

14.2. En el 醡bito de las entidades forales: cada entidad foral deber� designar un administrador de seguridad. Las entidades forales podr醤 designar como administrador de seguridad a Lantik S.A.M.P. previa aceptaci髇 de los requisitos y condiciones tecnol骻icas que determine Lantik S.A.M.P., cuyo alcance estar� circunscrito, en todo caso, a los servicios que sean objeto de encargo a Lantik S.A.M.P. por parte de la entidad. En este caso, ser� administrador de seguridad el departamento de seguridad, o el 醨ea, servicio o unidad org醤ica competente en seguridad de Lantik S.A.M.P. El procedimiento de designaci髇 y /o renovaci髇 de Lantik S.A.M.P como administrador de seguridad se determinar� en el encargo anual.

Art韈ulo 15 Responsable de seguridad f韘ica

Le corresponde la implantaci髇 de las medidas de seguridad f韘ica que le competan dentro del marco de las medidas determinadas por el responsable de seguridad de la informaci髇 e informar a 閟te de su grado de implantaci髇, eficacia e incidentes.

15.1. En el 醡bito de Diputaci髇 Foral de Bizkaia: ser� el personal que compone la Unidad de Forales para la Diputaci髇 Foral de Bizkaia o, en su caso, la unidad org醤ica que en cualquier modificaci髇 de la estructura asumiera dichas funciones.

15.2. En el 醡bito de las entidades forales: cada entidad foral designar� su responsable de seguridad f韘ica, de acuerdo con sus estatutos o r間imen jur韉ico interno y en ejercicio de sus potestades de autoorganizaci髇.

Art韈ulo 16 Responsable de gesti髇 de personal

Le corresponde la determinaci髇 e implantaci髇 de las medidas organizativas y t閏nicas de seguridad que le competen en el 醡bito de gesti髇 de personal. Para el desempe駉 de estas funciones cuenta con la asistencia y el asesoramiento del responsable de seguridad y del administrador de seguridad.

16.1. En el 醡bito de Diputaci髇 Foral de Bizkaia: ser� la Direcci髇 General de R間imen Jur韉ico y Funci髇 P鷅lica o, en su caso, la unidad org醤ica que en cualquier modificaci髇 de la estructura asumiera dichas funciones.

16.2. En el 醡bito de las entidades forales: cada entidad foral designar� un responsable de gesti髇 de personal en la persona que desempe馿 funciones en el 醨ea/ unidad de recursos humanos, de acuerdo con sus estatutos o r間imen jur韉ico interno y en ejercicio de sus potestades de autoorganizaci髇.

Art韈ulo 17 Persona Delegada de Protecci髇 de Datos de Diputaci髇 Foral de Bizkaia y entidades forales (en adelante DPD)

Le corresponden las siguientes responsabilidades y funciones:

• a) Informa y asesora al responsable o al encargado del tratamiento y al personal empleado que se ocupen del tratamiento de las obligaciones que les incumben en virtud del RGPD y de otras normas o disposiciones de protecci髇 de datos.
• b) Supervisa el cumplimiento por el responsable o el encargado del tratamiento de lo dispuesto en el RGPD, en otras normas o disposiciones de protecci髇 de datos personales y en la presente pol韙ica, en particular respecto a la asignaci髇 de responsabilidades, la concienciaci髇 y formaci髇 del personal que participa en las operaciones de tratamiento, y las auditor韆s correspondientes.
• c) Ofrece el asesoramiento que se le solicite acerca de la evaluaci髇 de impacto relativa a la protecci髇 de datos y supervisar su aplicaci髇 de conformidad con el art韈ulo 35 del RGPD.
• d) Coopera con la autoridad de control.
• e) Act鷄 como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento, incluida la consulta previa a que se refiere el art韈ulo 36 RGPD y realizar consultas, en su caso, sobre cualquier otro asunto.
• f) Cualquier otra funci髇 o responsabilidad que la normativa de protecci髇 de datos le atribuya.

Estatuto del DPD:

• a) No podr� ser removida ni sancionada por el responsable del tratamiento por desempe馻r sus funciones, salvo que incurriera en dolo o negligencia grave en su ejercicio, al tratarse de un puesto integrado en la estructura org醤ica de la propia Diputaci髇 Foral de Bizkaia.
• b) Se garantizar� su independencia dentro de la Diputaci髇 Foral de Bizkaia y entidades forales, debiendo evitarse cualquier conflicto de intereses. Se garantizar� por el responsable del tratamiento que no reciba ninguna instrucci髇 en lo que respecta al desempe駉 de sus funciones.
• c) Tendr� acceso a los datos personales y procesos de tratamiento en el ejercicio de sus funciones, no pudiendo oponer a este acceso el responsable del tratamiento la existencia de cualquier deber de confidencialidad o secreto.
• d) Rendir� cuentas directamente al m醩 alto nivel jer醨quico de la persona responsable del tratamiento.

  En el 醡bito de la Diputaci髇 Foral de Bizkaia y de las entidades forales: ser� la jefatura de la unidad org醤ica competente en el 醡bito de protecci髇 de datos de la Diputaci髇 Foral de Bizkaia. En caso de vacancia, ausencia o enfermedad de la jefatura, la cobertura de la DPD ser� desempe馻da por el personal t閏nico de la unidad.

Equipo DPD. Entre el personal de apoyo a la DPD se encuentran:

• a) El personal t閏nico de la unidad org醤ica competente en protecci髇 de datos y/o seguridad de la informaci髇 de la Diputaci髇 Foral de Bizkaia.
• b) Las personas dinamizadoras en materia de protecci髇 de datos y seguridad de la informaci髇 de la Diputaci髇 Foral de Bizkaia y de las entidades forales que se recogen en el siguiente art韈ulo.
• c) Cualesquiera otras personas o roles, que, por necesidades sobrevenidas, se determine su necesidad de apoyo.

Art韈ulo 18 Personas dinamizadoras en materia de protecci髇 de datos y seguridad de la informaci髇

Le corresponde la realizaci髇 de funciones de interlocuci髇, impulso, coordinaci髇, colaboraci髇 y la correcta difusi髇 e implementaci髇 de las medidas t閏nicas y organizativas que se adopten en materia de protecci髇 de datos personales y seguridad de la informaci髇 en el departamento o gabinete, o en la entidad foral para cuya funci髇 de dinamizaci髇 hayan sido designadas.

Adem醩, tal y como dispone el art韈ulo anterior las personas dinamizadoras forman parte del equipo DPD. A estos efectos, asumir醤 el desempe駉 de las funciones que en cada caso este rol les asigne y determine para el correcto cumplimiento de la normativa de protecci髇 de datos personales. En particular y entre otros, la participaci髇 en los procesos de an醠isis de riesgos y evaluaciones de impacto y la realizaci髇 de cuantos informes y/ o tareas relacionados con estos procesos les sean encomendados, siguiendo las instrucciones y la metodolog韆 establecidas por los organismos oficiales y las autoridades de control, y las que la DPD determine.

18.1. En el 醡bito de Diputaci髇 Foral de Bizkaia: ser醤 las personas designadas y nombradas de manera nominal mediante Orden Foral, en cada departamento o gabinete donde se encuentre adscrita la persona que pase a desempe馻r las funciones de dinamizaci髇.

Todos los departamentos y gabinetes de la Diputaci髇 Foral de Bizkaia recoger醤 en sus decretos de estructura org醤ica la unidad administrativa a la que se atribuyen las funciones propias para la dinamizaci髇 y el desempe駉 de este rol.

Ante la ausencia de designaci髇 nominal o para el caso de producirse per韔dos temporales en los que la persona nombrada no se encuentre en funciones, las mismas recaer醤, se desempe馻r醤 y ser醤 responsabilidad de la unidad a la que pertenezca o que tenga atribuida las funciones en el reglamento de estructura org醤ica.

18.2. En el 醡bito de las entidades forales: cada entidad designar� las personas dinamizadoras.

Art韈ulo 19 Comit� de Direcci髇 en materia de protecci髇 de datos personales y seguridad de la informaci髇 del sector p鷅lico foral (en adelante, Comit� de Direcci髇)

El Comit� es el 髍gano colegiado superior competente para la toma de decisiones y ejercicio de funciones de direcci髇 y coordinaci髇 en materia de seguridad de la informaci髇 y protecci髇 de datos con plenos efectos en todo el sector p鷅lico foral, y que da cumplimiento a la medida 3.1 pol韙ica de seguridad del marco organizativo del Anexo II del ENS y resto de normativa de protecci髇 de datos.

19.1. Funciones del Comit� En el 醡bito de Seguridad de la Informaci髇

• a) Coordina todas las funciones de seguridad de la Diputaci髇 Foral de Bizkaia y de las entidades forales.
• b) Vela, impulsa y supervisa el cumplimiento de la normativa en seguridad de la informaci髇.
• c) Atiende las inquietudes manifestadas en el 醡bito de seguridad de la informaci髇 en las sesiones del comit� y se las transmite a los responsables de seguridad respectivos de Diputaci髇 Foral de Bizkaia y de las entidades forales, para recabar respuestas y soluciones.
• d) Recaba, de los responsables de seguridad de la Diputaci髇 Foral de Bizkaia y de todas las entidades forales, los informes sobre el estado de la seguridad.
• e) Dirige el trabajo de los siguientes roles: personas dinamizadoras, responsables de seguridad, administradores de seguridad, responsable de la informaci髇 y responsable del servicio tanto de la Diputaci髇 Foral de Bizkaia como de las entidades forales, y resto de roles definidos en la presente pol韙ica.
• f) En su caso, propone y designa roles en el 醡bito de seguridad de la informaci髇.
• g) Recibe las comunicaciones del responsable de seguridad relacionadas con los cambios de normativa de seguridad de la informaci髇.
• h) Promueve la mejora continua de la seguridad de la informaci髇 en la Diputaci髇 Foral de Bizkaia y entidades forales.
• i) Vela porque la seguridad de la informaci髇 se tenga en cuenta en todos los proyectos desde su dise駉 inicial hasta su puesta en ejecuci髇.
• j) Recibe daci髇 en cuenta de la normativa y procedimientos de seguridad derivados de la presente pol韙ica.
• k) Recibe daci髇 en cuenta de las medidas t閏nicas y organizativas de seguridad de la informaci髇.
• l) Recibe daci髇 en cuenta del estado de los procesos de an醠isis de riesgos, auditor韆s, medidas de seguridad y resto de actuaciones que den cumplimiento al Esquema Nacional de Seguridad.
• m) Aprueba el informe de resultados del proceso de an醠isis de riesgos y su correspondiente plan de tratamiento de riesgos, a propuesta del responsable de seguridad en colaboraci髇 con Lantik S.A.M.P.
• n) Aprueba el plan de mejora de la seguridad que se apruebe de ser necesario, para atender a los riesgos que no son aceptables, a propuesta del responsable de seguridad en colaboraci髇 con Lantik S.A.M.P.
• �) Recibe daci髇 en cuenta de los niveles de seguridad de la informaci髇 y de la categorizaci髇 de los Sistemas de informaci髇 y los servicios.
• o) Recibe daci髇 en cuenta de la Declaraci髇 de aplicabilidad.
• p) Acuerda la suspensi髇 de larga duraci髇 del tratamiento de cierta informaci髇 o la prestaci髇 de un determinado servicio, junto con los responsables de la informaci髇, responsables de servicio afectados y responsable de seguridad, a propuesta del responsable del sistema. Adem醩, es informado de la suspensi髇 cautelar de un servicio.
• q) Sirve de 髍gano de interlocuci髇 permanente entre los distintos departamentos y gabinetes de la Diputaci髇 Foral de Bizkaia, y en las entidades forales.
• r) Recibe daci髇 en cuenta de los incidentes de seguridad acontecidos.
• s) Recibe daci髇 en cuenta del estado de la seguridad y de las posibles incidencias en la ejecuci髇 de las medidas de seguridad.

En el 醡bito de protecci髇 de datos

• a) Coordina todas las funciones de protecci髇 de datos personales de la Diputaci髇 Foral de Bizkaia y de las entidades forales.
• b) Vela, impulsa y supervisa el cumplimiento de la normativa de protecci髇 de datos personales.
• c) Atiende las inquietudes manifestadas en el 醡bito de protecci髇 de datos personales en las sesiones del Comit� y se las transmite a los responsables del tratamiento respectivos de Diputaci髇 Foral de Bizkaia y de las entidades forales, para recabar respuestas y soluciones.
• d) Vela porque la protecci髇 de datos personales se tenga en cuenta en todos los proyectos desde su dise駉 inicial hasta su puesta en ejecuci髇.
• e) Sirve de 髍gano de interlocuci髇 permanente entre los distintos departamentos y gabinetes de la Diputaci髇 Foral de Bizkaia, y en las entidades forales.
• f) Dirige el trabajo de los siguientes roles: personas dinamizadoras y responsables del tratamiento, tanto de la Diputaci髇 Foral de Bizkaia como de las entidades forales, y en su caso, resto de roles definidos en la presente pol韙ica.
• g) En su caso, propone y designa roles en el 醡bito de protecci髇 de datos personales.
• h) Recibe la daci髇 en cuenta del estado de los procesos de an醠isis de riesgos, evaluaciones de impacto y medidas de seguridad que procedan en el 醡bito de la protecci髇 de datos personales.
• i) Recibe daci髇 en cuenta de la normativa y procedimientos de protecci髇 de datos personales derivados de la presente pol韙ica.
• j) Recibe daci髇 en cuenta de las medidas t閏nicas y organizativas de protecci髇 de datos personales.

19.2. Composici髇 del Comit� Presidencia

Ser� ejercida por la persona titular del departamento o gabinete de la Diputaci髇 Foral de Bizkaia que tenga atribuidas las competencias en materia de protecci髇 de datos y seguridad de la informaci髇.

La Presidencia del Comit� tiene las siguientes funciones:

• a) Ostentar la representaci髇 del 髍gano.
• b) Acordar la convocatoria de las sesiones ordinarias y extraordinarias y la fijaci髇 del orden del d韆, teniendo en cuenta, en su caso, las peticiones de los dem醩 miembros formuladas con la suficiente antelaci髇.
• c) Presidir las sesiones del Comit�, moderar el desarrollo de los debates y suspenderlos por causas justificadas.
• d) Dirigir las deliberaciones y, en general, ejercitar las facultades precisas para el adecuado desarrollo de las sesiones.
• e) Dirimir con su voto los empates, a efectos de adoptar acuerdos.
• f) Asegurar el cumplimiento de la normativa aplicable.
• g) Visar las actas y certificaciones de los acuerdos del Comit�.
• h) Ejercer cuantas otras funciones sean inherentes a su condici髇 de presidente del 髍gano.

Vicepresidencia

Recaer� en la Direcci髇 General de la Diputaci髇 Foral de Bizkaia que tenga atribuidas las competencias en materia de protecci髇 de datos personales y seguridad de la informaci髇.

La Vicepresidencia del Comit� tiene las siguientes funciones:

• a) Sustituir al presidente en caso de ausencia, vacante o enfermedad.
• b) Cuantas le sean delegadas por la presidencia.

Vocales y Suplentes

Vocales:

• a) Un/a director/a general designado/a en cada departamento o gabinete de la Diputaci髇 Foral de Bizkaia, que actuar� en calidad de vocal representante del departamento o gabinete y de todas las entidades forales adscritas al mismo. En consecuencia, se encargar� de reportar las decisiones adoptadas en el Comit� que afecten al departamento y a las entidades forales a las que representa. Tambi閚 se encargar� de reportar al Comit� las decisiones del 醡bito de seguridad de la informaci髇 o de protecci髇 de datos personales adoptadas por las entidades forales.
• b) Un representante de Lantik S.A.M.P. que actuar� en representaci髇 del administrador de seguridad de la Diputaci髇 Foral de Bizkaia y de las entidades forales que designen el rol de administrador de seguridad en Lantik S.A.M.P.
• c) Un representante de Lantik S.A.M.P. que actuar� en representaci髇 del responsable del sistema de la Diputaci髇 Foral de Bizkaia y de las entidades forales que designen el rol de responsable del sistema en Lantik S.A.M.P.

Suplentes: con el objetivo de dar continuidad a las tareas que sean responsabilidad del Comit�, se deben nombrar en cada departamento o gabinete las y los suplentes, que tendr醤 igualmente el cargo de director/a general o en su caso, de subdirector/a de la Diputaci髇 Foral de Bizkaia.

Las y los vocales y/o suplentes del Comit� tienen las siguientes funciones:

• a) Asistir a las sesiones y participar en los debates.
• b) Presentar al Comit� las propuestas que estimen oportunas.
• c) Emitir su voto, expresando el sentido del mismo, as� como formular voto particular discrepante con el parecer de la mayor韆. Posibilidad de delegaci髇 de voto: en caso de imposibilidad de asistencia del vocal titular o suplente, se podr� delegar el voto en otro miembro del comit�.
• d) Proponer la constituci髇 de grupos t閏nicos de trabajo.

Secretaria/o

Recaer� en el personal t閏nico de la unidad org醤ica competente en protecci髇 de datos y/o seguridad de la informaci髇 de la Diputaci髇 Foral de Bizkaia.

La Secretar韆 tiene las siguientes funciones:

• a) Asistir a las sesiones con voz pero sin voto.
• b) Preparar las sesiones.
• c) Levantar las actas de las sesiones del Comit�.
• d) Expedir certificaciones de los Acuerdos del Comit�.
• e) Archivar y custodiar los documentos en que consten las actuaciones desarrolladas por el Comit�.

Asesores externos y/o internos: podr醤 formar parte del Comit�, asimismo, asesores externos y/o internos cuya asistencia se requiera para informar sobre asuntos espec韋icos. Tendr醤 voz pero no voto.

19.3. Funcionamiento del Comit�

a) El Comit� queda v醠idamente constituido, a efectos de la celebraci髇 de sesiones, deliberaciones y toma de acuerdos con la asistencia, presencial o a distancia, del Presidente y Secretario o en su caso, de quienes les suplan, y la de la mitad, al menos, de sus miembros.

En las sesiones que se celebren a distancia, los miembros podr醤 encontrarse en distintos lugares siempre y cuando se asegure por medios electr髇icos, consider醤dose tambi閚 tales los telef髇icos, y audiovisuales, la identidad de los miembros o personas que los suplan, el contenido de sus manifestaciones, el momento en que 閟tas se producen, as� como la interactividad e intercomunicaci髇 entre ellos en tiempo real y la disponibilidad de los medios durante la sesi髇. Entre otros, se considerar醤 incluidos entre los medios electr髇icos v醠idos, el correo electr髇ico, las audioconferencias y las videoconferencias.

b) El Comit� adopta sus acuerdos por mayor韆 simple de las personas asistentes con derecho a voto. En caso de empate decide el voto del presidente/a o, en caso de ausencia, el vicepresidente/a.

c) De cada sesi髇 se levanta acta que contendr� la indicaci髇 de las personas que hayan intervenido, as� como las circunstancias de lugar y tiempo en que se ha celebrado, los puntos principales de la deliberaci髇, la forma y resultados de la votaci髇 y el contenido de los acuerdos. Las actas son firmadas por la/ el secretaria/o, con el visto bueno de la Presidencia o, en caso de ausencia, el vicepresidente/a, y se aprobar醤 en la misma o en la siguiente sesi髇.

d) Las personas miembros del Comit� pueden hacer constar en acta sus votos particulares, ya sea a la totalidad del acuerdo, ya sea a cuestiones puntuales del mismo.

19.4. R間imen de sesiones del Comit�

a) El Comit� celebrar� al menos una sesi髇 ordinaria al a駉.

b) Adem醩, puede celebrar sesiones extraordinarias a iniciativa de la Presidencia o, en caso de ausencia, del vicepresidente/a, o a petici髇 de dos tercios de sus integrantes. La solicitud de convocatoria de sesiones extraordinarias a petici髇 de dos tercios de las y los integrantes del Comit� se realizar� por escrito y ha de contener la propuesta motivada de los asuntos a tratar. En este caso, la Presi-

dencia convocar� la sesi髇 extraordinaria y el orden del d韆 incluir� necesariamente los puntos solicitados, pudiendo la Presidencia adicionar otros asuntos.

Art韈ulo 20 Equipo t閏nico combinado para la seguridad de la informaci髇

Es un grupo de trabajo de car醕ter t閏nico al servicio de la seguridad de la informaci髇, sin dependencia jer醨quica ni adscripci髇 org醤ica ni funcional, que se encargar� de alinear y coordinar la puesta en pr醕tica de las actividades, procesos y medidas en materia de seguridad de la informaci髇, orientadas a garantizar la seguridad y evitar la aparici髇 de incidentes de seguridad en los sistemas de informaci髇 y los ciberataques. Asimismo, atender� las inquietudes del Comit� de Direcci髇 y garantizar� su funci髇 de coordinaci髇 general.

20.1. Composici髇 del equipo

Las siguientes personas y roles compondr醤 el Equipo t閏nico combinado en funci髇 de las necesidades a tratar:

• a) Personal de la unidad org醤ica competente en protecci髇 de datos y/o seguridad de la informaci髇 de la Diputaci髇 Foral de Bizkaia.
• b) Personal perteneciente a Lantik S.A.M.P., que 閟te designe al efecto.
• c) Personal que desempe馻 alguno de los roles en protecci髇 de datos personales y seguridad de la informaci髇, de acuerdo con la presente pol韙ica.
• d) Otras personas representantes de las diferentes 醨eas/unidades/servicios o secciones pertenecientes a los departamentos o gabinetes de Diputaci髇 Foral de Bizkaia o entidades forales.

20.2. Funciones

Se reunir� tantas veces como sea necesario para el ejercicio de sus funciones.

a) Gestiona de modo estrat間ico la seguridad de la informaci髇, la definici髇, planificaci髇 y posterior ejecuci髇 de medidas de seguridad, y el despliegue de procesos.

b) Gestiona los incidentes de seguridad en calidad de parte integrante del Comit� de Ciberseguridad.

c) Coordina la seguridad de la informaci髇 a efectos pr醕ticos y asiste al Comit� de Direcci髇 para el correcto desempe駉 de su funci髇 de coordinaci髇 general de la seguridad de la informaci髇 y del resto de funciones, necesidades e inquietudes.

d) Impulsa y coordina las actuaciones de los diferentes departamentos de la Diputaci髇 Foral de Bizkaia y entidades forales afectadas, asegurando la correcta difusi髇 e implementaci髇 de las medidas t閏nicas y organizativas que se adopten en materia de seguridad de la informaci髇. Para ello, realiza funciones de coordinaci髇 e impulso respecto de las personas dinamizadoras.

e) Coordina los procesos, el seguimiento, y la evoluci髇 de los an醠isis de riesgos, tareas de los planes de tratamiento de riesgos, auditor韆s y su seguimiento y cuantas otras medidas t閏nicas, organizativas y operacionales resulten necesarias para el adecuado cumplimiento del ENS.

f) Trata cualquier otra cuesti髇 en materia de seguridad de la informaci髇 que en su caso sea necesaria.

Art韈ulo 21 Comit� de Ciberseguridad

Es el grupo especializado en el 醡bito de la ciberseguridad para la adopci髇 de medidas t閏nicas y organizativas de seguridad y decisiones a adoptar para la adecuada respuesta ante la aparici髇 de un posible incidente de seguridad, con el objetivo de que tanto la informaci髇 tratada como los servicios prestados se encuentren y se presten en las mejores condiciones desde el punto de vista de las dimensiones de seguridad del ENS: disponibilidad, integridad, confidencialidad, trazabilidad y autenticidad.

En el 醡bito de la Diputaci髇 Foral de Bizkaia y de las entidades forales, formar醤 parte del Comit�:

• a) Personal del equipo t閏nico combinado para la seguridad de la informaci髇.
• b) Responsable del tratamiento y responsable de la informaci髇 de los sistemas afectados por el incidente de los departamentos y gabinetes de Diputaci髇 Foral de Bizkaia y de las entidades forales.
• c) Equipo de Respuesta a Incidentes (ERI) en calidad de equipo t閏nico que se encarga de gestionar los incidentes de seguridad y notificar los mismos a la autoridad competente cuando tengan efectos perturbadores en la prestaci髇 del servicio por cuenta del responsable de seguridad. El ERI estar� compuesto por personal de Lantik S.A.M.P.:
  • 1 .� Personal del Departamento de Seguridad, 醨ea, servicio o unidad org醤ica competente en materia de seguridad.
  • 2 .� Centro de Operaciones de Seguridad (SOC).
  • 3 .� Personal t閏nico especializado del servicio, 醨ea o unidad org醤ica competente en funci髇 de la materia afectada por el incidente.

La Diputaci髇 Foral de Bizkaia y las entidades forales dispondr醤 de un procedimiento para la gesti髇 de incidentes de seguridad que, entre otras, establezca la participaci髇 de este comit� y de las personas y/o roles integrantes del mismo, para la gesti髇 y resoluci髇 del incidente.

Si de manera incipiente se detecta que la peligrosidad y los riesgos del incidente son elevados el Comit� de Ciberseguridad se constituir� con car醕ter urgente en Comit� de gesti髇 de crisis para la adopci髇 de decisiones.

Art韈ulo 22 Cat醠ogo de roles

La Diputaci髇 Foral de Bizkaia crear� un cat醠ogo actualizado de roles con identificaci髇 del puesto o cargo que lo desempe馿. La creaci髇 y mantenimiento del cat醠ogo corresponder� a la unidad org醤ica competente en protecci髇 de datos y/o seguridad de la informaci髇 de la Diputaci髇 Foral de Bizkaia.

Los departamentos y/o gabinetes de la Diputaci髇 Foral de Bizkaia y las entidades forales comunicar醤 anualmente la relaci髇 de roles y designaciones, as� como las renovaciones o modificaciones en el momento en que se produzcan.

Art韈ulo 23 Mecanismos de coordinaci髇 y resoluci髇 de conflictos

En caso de que se produzca un conflicto o controversia relativo al ejercicio o desempe駉 de las funciones entre los distintos roles, regulados en la presente pol韙ica, tanto en el 醡bito de seguridad de la informaci髇 como en de la protecci髇 de datos personales, su resoluci髇 ser� competencia del Comit� de Direcci髇. Para la coordinaci髇 de actividades, procesos y medidas de seguridad se atender� a cuanto disponga el Equipo t閏nico combinado para la seguridad de la informaci髇, tal y como se establece en el art韈ulo que regula el mismo.

Art韈ulo 24 Registro de actividades de tratamiento de datos personales (en adelante, RAT)

La Diputaci髇 Foral de Bizkaia y las entidades forales, dada su condici髇, respectivamente, de Administraci髇 P鷅lica y de entidades del sector p鷅lico foral, son responsables de los tratamientos de datos personales que realizan en el ejercicio de sus competencias. Es por ello, que se ha aprobado la creaci髇 y publicaci髇 accesible en formato electr髇ico de su RAT, y su posterior actualizaci髇 y revisi髇, en cumplimiento de lo dispuesto en el art韈ulo 30 RGPD y en el art韈ulo 77 de la LOPDyGDD.

Este inventario de actividades de tratamiento de datos personales es accesible por medios electr髇icos y se ha puesto a disposici髇 de las autoridades de control: la AVPD y la Agencia Espa駉la de Protecci髇 de Datos (en adelante, AEPD).

24.1. Concepto

El RAT es el inventario en el que han de constar las actividades de tratamiento de datos personales que se llevan a cabo por las personas responsables o encargadas del tratamiento. En el caso de la Diputaci髇 Foral de Bizkaia, son, con car醕ter general, las direcciones generales de los diferentes departamentos y/o gabinetes de la diputaci髇, en calidad de responsables de tratamiento de los datos personales que realizan, la que tienen la obligaci髇 de documentar el citado RAT.

24.2. Estructura y contenido El RAT de la Diputaci髇 Foral de Bizkaia consta de la siguiente estructura:

• 24.2.1. Estructura general: formada por aquella informaci髇 com鷑 para todas las actividades de tratamiento que realizan los diferentes departamentos y gabinetes de la diputaci髇.
  • a) Base legitimadora: recoge informaci髇 acerca de las bases jur韉icas que legitiman el tratamiento de datos personales que realiza la diputaci髇. Si bien en la estructura especifica se detalla las bases legitimadoras espec韋icas aplicables a cada Actividad de Tratamiento, en este apartado se se馻lan a modo indicativo las disposiciones normativas con rango de ley habilitadoras de la actividad competencial de la Diputaci髇 Foral de Bizkaia y que legitiman los tratamientos de datos personales que esta realiza.
  • b) Medidas de seguridad: se refiere a las medidas t閏nicas de seguridad que la diputaci髇 aplica a las actividades de tratamiento que realiza. Estas medidas son las detalladas en el Anexo II del Real Decreto 311/2022 por el que se regula el ENS.
  • c) Tiempo de conservaci髇: se informa del tiempo durante el cual la diputaci髇 conservar� los datos personales que trata.
  • d) Tratamientos automatizados: se informa de que la diputaci髇, con car醕ter general, no realiza tratamientos automatizados de datos para la elaboraci髇 de perfiles sobre los cuales se tomen decisiones con efectos jur韉icos sobre las personas o les afecten significativamente.
  • e) Relaciones jur韉icas con las personas encargadas del tratamiento: se contemple c髆o gestiona la Diputaci髇 Foral de Bizkaia las relaciones con las personas encargadas del tratamiento.
• 24.2.2. Estructura espec韋ica: formada por aquella informaci髇 relativa a cada una de las actividades de tratamiento que realizan los responsables del tratamiento de los diferentes departamentos y gabinetes que forman parte de la diputaci髇.

  Para cada una de las actividades de tratamiento registradas se mostrar醤 dos niveles de informaci髇: un primer nivel informativo y un segundo nivel en el que se mostrar� la informaci髇 espec韋ica, de manera accesible, transparente y mediante un lenguaje claro, detall醤dose la informaci髇 que la normativa vigente en materia de protecci髇 de datos personales exige que contenga el RAT.

  • a) Identificaci髇 y datos de contacto del responsable del tratamiento: se informa de la denominaci髇 oficial, departamento o gabinete al que pertenece y los datos de contacto de la Direcci髇 General responsable o corresponsable del tratamiento de los datos personales.
  • b) Finalidad del tratamiento: se recoge el motivo o la finalidad para la cual se precisa tratar los datos personales en cuesti髇.
  • c) Categor韆s de datos personales y de personas interesadas: se incluyen la tipolog韆 de datos personales objeto de tratamiento y la tipolog韆 de personas f韘icas titulares de datos personales.
  • d) Origen del dato personal: se informa de la procedencia de los datos personales.
  • e) Destinatarias/os del dato personal: se informa de las comunicaciones de los datos a terceras personas.
  • f) Legitimaci髇 espec韋ica: contempla la base legitimadora del tratamiento que, con car醕ter particular, aplica a la actividad de tratamiento en cuesti髇 y que hace que el tratamiento de los datos personales sea leg韙imo.
  • g) Derechos en materia de protecci髇 de datos personales. La normativa de protecci髇 de datos personales otorga a las personas f韘icas derechos que pueden ejercer ante el responsable del tratamiento, siendo los siguientes: derecho de acceso, rectificaci髇, supresi髇, oposici髇, limitaci髇 del tratamiento, el derecho a no ser objeto de decisiones individuales automatizadas y portabilidad en su caso. En este apartado se detalla y explica en qu� consisten cada uno de estos derechos, y tambi閚 se informa del modo en que las personas titulares o sus representantes pueden ejercer sus derechos personales ante la Diputaci髇 Foral de Bizkaia, as� como del procedimiento que esta seguir� para su tramitaci髇.
  • h) DPD: se recoge la informaci髇 de contacto de la DPD. Se recoge informaci髇 acerca del nombramiento y la identidad de la DPD de la Diputaci髇 Foral de Bizkaia y de las entidades del sector p鷅lico foral, as� como la forma de contactar con la persona que desempe馻 dicho rol.

  Los RAT de las entidades forales recoger醤 y publicar醤 los elementos que son obligatorios en cuanto al contenido del mismo y que ya se han descrito anteriormente.

  Los RAT, tanto de la Diputaci髇 Foral de Bizkaia como de las entidades forales ser醤 actualizados de forma constante para que se garantice una imagen fiel y transparente de las actividades de tratamiento.

24.3. Publicidad

Se podr� acceder y consultar el RAT de la Diputaci髇 Foral de Bizkaia, y de las entidades forales, por medios electr髇icos a trav閟 de la web bizkaia.eus Asimismo, las entidades forales publicar醤 sus RAT en sus p醙inas web corporativas.

Art韈ulo 25 Base legitimadora para el tratamiento de datos personales

La habilitaci髇 para el tratamiento de datos personales por parte de la Diputaci髇 Foral de Bizkaia o de las entidades forales se encuentra recogida en el art韈ulo 6 del RGPD. Para cada actividad de tratamiento se identificar� la base legitimadora de entre las tipificadas en dicho art韈ulo, siendo el cumplimiento de una misi髇 realizada en inter閟 p鷅lico o en el ejercicio de poderes p鷅licos, o el cumplimiento de una obligaci髇 legal las causas que apliquen con car醕ter general.

A modo indicativo se se馻lan a continuaci髇, las disposiciones normativas con rango de ley habilitadoras de la actividad competencial de la Diputaci髇 Foral de Bizkaia:

• a) Ley Org醤ica 3/1979, de 18 de diciembre, de Estatuto de Autonom韆 del Pa韘 Vasco.
• b) Ley 27/1983, de 25 de noviembre, de Relaciones entre las Instituciones comunes de la Comunidad Aut髇oma y los 髍ganos forales de sus Territorios Hist髍icos.
• c) Ley 12/2002, de 23 de mayo, Concierto Econ髆ico.
• d) Ley 7/1985, de 2 de abril, reguladora de las Bases del R間imen Local.
• e) Carta Europea de Autonom韆 Local de 15 de octubre de 1985.
• f) Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Com鷑 de las Administraciones P鷅licas.
• g) Ley 40/2015, de 1 de octubre, de R間imen Jur韉ico del Sector P鷅lico.

La normativa expuesta no abarca ni agota la relaci髇 de normas aplicables en su 醡bito de actuaci髇, pero se rese馻n por ser estructurales y marco del resto de normativa sectorial espec韋ica.

En el cap韙ulo I 玀isi髇 y marco normativo� de esta pol韙ica se enumeran tambi閚 las disposiciones normativas habilitadoras de la actividad competencial de la Diputaci髇 Foral de Bizkaia y de las entidades forales para los 醡bitos espec韋icos de protecci髇 de datos personales y seguridad de la informaci髇.

En el supuesto menos frecuente de tratamiento de datos personales mediante la prestaci髇 del consentimiento de las personas f韘icas, 閟te se adecuar� en todo caso a las caracter韘ticas prescritas en el art韈ulo 7 RGPD, pudiendo demostrarse que se ha recabado un consentimiento previo, libre, espec韋ico e informado cumpliendo con todas las garant韆s utilizando un lenguaje claro y sencillo. Adem醩, se facilitar� la retirada del consentimiento en cualquier momento y ser� tan f醕il retirarlo como otorgarlo.

Art韈ulo 26 Encargos de tratamiento

Son actos jur韉icos que establecen la relaci髇 jur韉ica entre las personas responsables del tratamiento y las personas encargadas del tratamiento. Deben contener el objeto, la duraci髇, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categor韆s de personas interesadas, las obligaciones y derechos de ambas partes, as� como el resto de las cuestiones que indica el art韈ulo 28 del RGPD. Los encargos de tratamiento establecer醤 las instrucciones y directrices necesarias para que las entidades que tratan datos personales por cuenta de la Diputaci髇 鷑icamente tengan acceso leg韙imo a datos, respetando:

• 1 .� Que los datos personales se destinen a la finalidad de prestar el servicio encargado y no se destinen a finalidades diferentes e incompatibles a las expresamente autorizadas.
• 2 .� Que los datos personales no se comuniquen a terceras personas o entidades sin base jur韉ica legitimadora habilitante, de acuerdo con el art韈ulo 6 RGPD.
• 3 .� Que se garantice la confidencialidad e integridad de los datos personales mediante la implantaci髇 de medidas de seguridad.

26.1. En el 醡bito de la Diputaci髇 Foral de Bizkaia: los encargos est醤 integrados en los distintos instrumentos en los que se regula la relaci髇 jur韉ica de la Diputaci髇 Foral de Bizkaia con terceras personas. Entre dichos instrumentos destacan:

• a) Encargos a medios propios: instrumento jur韉ico mediante el cual los poderes adjudicadores, entre los que se encuentran la Diputaci髇 Foral de Bizkaia y las entidades forales, pueden organizarse ejecutando de manera directa prestaciones propias de los contratos de obras, suministros, servicios, concesi髇 de obras y concesi髇 de servicios, a cambio de compensaci髇 econ髆ica, y vali閚dose de otra persona jur韉ica distinta a ellos, ya sea de derecho p鷅lico o de derecho privado, previo encargo a esta, siempre y cuando la persona jur韉ica que utilicen merezca la calificaci髇 jur韉ica de medio propio personificado respecto de ellos de conformidad con lo dispuesto en la Ley 9/2017, de 8 de noviembre de Contratos del Sector P鷅lico.

  Mediante Acuerdo de la Diputaci髇 Foral de Bizkaia de 22 de mayo de 2018 se establece que son medios propios de la Diputaci髇 Foral de Bizkaia, las siguientes entidades forales:

  • 1.� Interbiak Bizkaia S.A.M.P.
  • 2.� Azpiegiturak S.A.M.P.
  • 3.� Lantik S.A.M.P.
  • 4.� Zugaztel S.A.M.P.
  • 5 .� Garbiker A.B. S.A.M.P.
  • 6 .� Bizkaiko Basalan S.A.M.P.

  Mediante Acuerdo de la Diputaci髇 Foral de Bizkaia de 12 de noviembre de 2019 se aprueba el marco de regulaci髇 de los encargos horizontales a medios propios de la Diputaci髇 Foral de Bizkaia.

• b) Contratos: contratos administrativos, privados o mixtos que se formalizan por los 髍ganos de contrataci髇 de la Diputaci髇 Foral de Bizkaia con personas o entidades del sector privado en el marco de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector P鷅lico.
• c) Convenios: instrumentos de colaboraci髇 previstos en la Ley 40/2015, de 1 de octubre, de R間imen Jur韉ico del Sector P鷅lico, mediante los que se formalizan compromisos entre dos o m醩 partes, con efectos jur韉icos adoptados por la Diputaci髇 Foral de Bizkaia, en calidad de Administraci髇 P鷅lica, con otras administraciones p鷅licas, organismos p鷅licos, entidades pertenecientes al sector p鷅lico, o con sujetos de derecho privado, con el objetivo de lograr un fin com鷑.
• d) Encomiendas de gesti髇: instrumentos jur韉icos previstos en la Ley 40/2015, de 1 de octubre, de R間imen Jur韉ico del Sector P鷅lico, a trav閟 del cual la Diputaci髇 Foral de Bizkaia, por razones de eficacia o cuando no posea los medios t閏nicos id髇eos para su desempe駉, gestiona la realizaci髇 y ejecuci髇 de actividades de car醕ter material o t閏nico de su competencia en otros 髍ganos o entidades de derecho p鷅lico (de la misma o de distinta administraci髇), siempre que entre sus competencias est閚 esas actividades.

26.2. En el 醡bito de las entidades forales: los encargos est醤 integrados en los distintos instrumentos en los que se regula la relaci髇 jur韉ica de las entidades forales con terceras personas. 趎icamente pueden ser encargadas de tratamiento aquellas personas f韘icas o jur韉icas que otorgan las garant韆s establecidas y que cumplen las instrucciones y la normativa de protecci髇 de datos personales vigente.

Art韈ulo 27 Transparencia de la informaci髇 y comunicaciones

En cumplimiento del deber de transparencia, cuando la Diputaci髇 Foral de Bizkaia o las entidades forales act鷈n en calidad de responsables del tratamiento, tomar醤 las medidas adecuadas para facilitar, a las personas f韘icas titulares de los datos toda la informaci髇 indicada en los art韈ulos 13 y 14 del RGPD, que distinguen, respectivamente:

• a) Cuando los datos personales se obtengan directamente de la persona interesada, la informaci髇 se facilitar� en el momento en que se obtengan los datos.
• b) Cuando los datos personales no se hayan obtenido de la persona interesada, la informaci髇 se facilitar� en el momento de la primera comunicaci髇 con las personas interesadas o cuando los datos se comuniquen por primera vez a otra persona destinataria. En este caso, la persona responsable del tratamiento tiene obligaci髇 de informar en el plazo razonable de un mes.

Las comunicaciones se realizar醤 de forma concisa, transparente, inteligible y de f醕il acceso, con un lenguaje claro y sencillo, en particular cualquier informaci髇 dirigida espec韋icamente a menores de edad.

La informaci髇 ser� facilitada por escrito o por otros medios, inclusive, si procede, por medios electr髇icos. Cuando la persona interesada lo solicite, la informaci髇 podr� facilitarse verbalmente siempre que se demuestre la identidad de la persona por otros medios.

Art韈ulo 28 Ejercicio de derechos personales E

n cumplimiento de los art韈ulos 15 a22 del RGPD, la Diputaci髇 Foral de Bizkaia y las entidades forales garantizar醤 el ejercicio de los siguientes derechos de la ciudadan韆, respecto de los datos personales que trate:

• a) Derecho de acceso. Faculta para conocer si se tratan los datos personales y toda la informaci髇 completa de ese tratamiento. A modo enunciativo: datos personales, categor韆s, fines, destinatarios, plazo de conservaci髇, origen, transferencias y comunicaciones.
• b) Derecho de rectificaci髇. Faculta para corregir los datos personales inexactos y completar los datos incompletos.
• c) Derecho de supresi髇. Faculta para eliminar los datos personales en estos supuestos:
  • 1 .� Por tratamiento il韈ito de datos.
  • 2 .� Por la desaparici髇 de la finalidad que motiv� el tratamiento o recogida.
  • 3 .� Por revocaci髇 del consentimiento (鷑icamente si se aportaron datos personales prestando consentimiento).
  • 4 .� Por oposici髇 al tratamiento.
  • 5 .� Por cumplimiento de una obligaci髇 legal que establezca la necesidad de supresi髇.
• d) Derecho de oposici髇. Cuando el responsable del tratamiento realice tratamiento de datos personales legitimado en una misi髇 de inter閟 p鷅lico o ejercicio de poderes p鷅licos, la persona interesada puede ejercitar el derecho de oposici髇, en cualquier momento, por motivos relacionados con su situaci髇 particular. En este supuesto, se realizar� un juicio de ponderaci髇 de los intereses del responsable y de la persona interesada, valorando y ponderando:
  • 1.� Los motivos leg韙imos imperiosos para el tratamiento del responsable.
  • 2.� Los intereses, derechos y libertades de la persona interesada.
• e) Derecho de limitaci髇. Faculta para la limitaci髇 del tratamiento de datos personales, que implica la suspensi髇 del tratamiento y en su caso, conservaci髇 de los datos, cuando se cumpla alguna de las condiciones siguientes:
  • 1 .� Cuando se impugna la exactitud de datos personales durante el plazo para verificar la exactitud.
  • 2 .� Cuando se presenta oposici髇 al tratamiento manifestando motivos personales, mientras se verifica que el responsable trata sus datos legitimado en misi髇 de inter閟 p鷅lico o ejercicio de poderes p鷅licos, y se determina que este tratamiento del responsable prevalece.
  • 3 .� Cuando el tratamiento es il韈ito y se solicita la limitaci髇 de uso y no la supresi髇.
  • 4 .� Cuando las personas necesitan los datos para el ejercicio o defensa de reclamaciones, pero simult醤eamente el responsable ya no necesita esos datos para los fines del tratamiento.
• f) Derecho a no ser objeto de decisiones individuales automatizadas. Se garantizar� no ser sometido a una decisi髇 basada 鷑icamente en el tratamiento de datos personales, incluida la elaboraci髇 de perfiles, y que produce efectos jur韉icos sobre la persona. No obstante, este derecho no se aplicar�:
  • 1 .� Si fuera necesario para la celebraci髇 o ejecuci髇 de un contrato entre persona interesada y responsable del tratamiento.
  • 2 .� Si el tratamiento se encuentra autorizado por el Derecho de la Uni髇 o de los Estados miembros.
  • 3 .� Si el tratamiento estuviera legitimado por el consentimiento.
• g) Derecho a la portabilidad de los datos. Faculta para recibir los datos personales en un formato estructurado, de uso com鷑 y lectura mec醤ica y poder transmitir estos datos a otro responsable del tratamiento siempre que se den dos condiciones:
  • 1.� Que el tratamiento est� basado en el consentimiento o en un contrato.
  • 2.� Y que el tratamiento se efect鷈 por medios automatizados.

El derecho a la portabilidad no se aplica al tratamiento que sea necesario para el cumplimiento de una misi髇 realizada en inter閟 p鷅lico o en el ejercicio de poderes p鷅licos conferidos al responsable de tratamiento, tal y como dispone el art韈ulo 20 del RGPD.

Las personas f韘icas podr醤 ejercer ante la persona responsable del tratamiento, directamente o por medio de representante, los derechos arriba indicados en relaci髇 con los datos tratados por la Diputaci髇 Foral de Bizkaia o por las entidades forales. Podr醤 presentar asimismo una reclamaci髇 ante las autoridades de control.

28.1. Procedimiento para el ejercicio de derechos personales en Diputaci髇 Foral de Bizkaia

a) Presentaci髇.

Las solicitudes referidas al ejercicio de derechos personales que se correspondan o hagan referencia en cuanto a su contenido al 醡bito com-

petencial que deba resolver alg鷑 responsable de tratamiento de la Diputaci髇 Foral de Bizkaia podr醤 presentarse mediante modelo de solicitud habilitado, que se pondr� a disposici髇 de la ciudadan韆 de la siguiente forma:

• 1 .� Telem醫icamente: en la sede electr髇ica de la Diputaci髇 Foral Bizkaia, https:// www.ebizkaia.eus (procedimiento: ejercicio derechos datos personales).
• 2 .� Presencialmente: en las oficinas de asistencia en materia de registro de la Diputaci髇 Foral de Bizkaia publicadas en la sede electr髇ica en los t閞minos establecidos en el Decreto Foral 20/2021, de 30 de marzo, de la Diputaci髇 Foral de Bizkaia, regulador de las oficinas de asistencia en materia de registros.

b) Tramitaci髇 y resoluci髇.

De la solicitud presentada se dar� traslado al responsable del tratamiento en cada caso competente seg鷑 ejercicio de competencias y funciones de cada reglamento de estructura org醤ica de la Diputaci髇 Foral de Bizkaia, y 閟te dispondr� de un plazo de un mes para responder a partir de la recepci髇 de la solicitud, de acuerdo con el art韈ulo 12.3 RGPD. Este plazo ser� prorrogable por un plazo m醲imo de dos meses, atendiendo a la complejidad y n鷐ero de solicitudes. Los motivos de la pr髍roga ser醤 debidamente informados.

c) Impugnaci髇.

En caso de desestimaci髇 expresa o presunta de la solicitud del ejercicio de derechos en materia de protecci髇 de datos personales correspondiente, las personas interesadas podr醤 recabar la tutela del derecho ante la AVPD mediante la presentaci髇 de reclamaci髇 ante la misma o, en su caso, de conformidad con el art韈ulo 37 LOPDGDD, dirigir reclamaci髇 previa ante la DPD de la Diputaci髇 Foral de Bizkaia para su tramitaci髇 correspondiente dentro de la Diputaci髇.

28.2. Procedimiento para el ejercicio de derechos personales en las entidades forales

Las solicitudes de ejercicio de derechos en materia de protecci髇 de datos personales podr醤 presentarse mediante escrito dirigido a la entidad foral a presentar en la direcci髇 postal de la entidad o en el registro de la entidad o en la sede electr髇ica de la entidad si dispone de la misma, as� como, en las oficinas de asistencia en materia de registro de la Diputaci髇 Foral de Bizkaia publicadas en la sede electr髇ica. Las entidades forales habilitar醤 el procedimiento para el ejercicio de los derechos, adaptado e individualizado para cada entidad foral, que no diferir� sustancialmente en cuanto a su contenido, a lo expuesto para la Diputaci髇 Foral de Bizkaia.

Art韈ulo 29 Limitaci髇 del plazo de conservaci髇 de los tratamientos

En la Diputaci髇 Foral de Bizkaia los datos personales se conservar醤, con car醕ter general, durante el tiempo necesario para la tramitaci髇 del procedimiento correspondiente a la actividad o servicio para los que se recaben y adem醩, se extiende durante el cumplimiento del plazo de prescripci髇 o caducidad posterior para la extinci髇 de las posibles responsabilidades ulteriores que pudieran acaecer derivadas del propio tratamiento, siempre teniendo en cuenta los plazos espec韋icos que la LOPDyGDD incorpora en su T韙ulo IV para los tratamientos de datos personales concretos que en el mismo se dispone.

Se considerar醤 con car醕ter espec韋ico los siguientes plazos de conservaci髇:

• a) Archivo Administrativo General: la Comisi髇 de Valoraci髇, Selecci髇 y Eliminaci髇 de Documentos, regulada en el cap韙ulo VI del Decreto Foral 90/2011, de 24 de mayo, de la Diputaci髇 Foral de Bizkaia, por el que se aprueba el Reglamento de Organizaci髇 y Gesti髇 del Sistema de Archivo Administrativo de la Diputaci髇 Foral de Bizkaia. (BOB n鷐ero 103, de 31 de mayo) determinar�, conforme a sus funciones, el plazo de conservaci髇 y el criterio de expurgo de cada documentaci髇 con datos personales que se someta a su valoraci髇.
• b) Control m閐ico-sanitario y prevenci髇 de riesgos laborales. Se establecer醤 los plazos de conservaci髇 en funci髇 de la especificidad de cada norma concreta del sector de prevenci髇:
  • 1 .� Documentaci髇 cl韓ica: plazo m韓imo de cinco a駉s desde la fecha de alta de cada proceso asistencial, dando cumplimiento a la Ley 41/2002 de 14 noviembre, de autonom韆 del paciente y al Decreto 38/2012, de 13 de marzo, Pa韘 Vasco, sobre historia cl韓ica y derechos y obligaciones de pacientes y profesionales de la salud en materia de documentaci髇 cl韓ica.
  • 2 .� Agentes biol骻icos: plazo m韓imo de diez a駉s desde que finalice la exposici髇, que podr� ser ampliado hasta cuarenta a駉s, dando cumplimiento al Real Decreto 664/1997, sobre la protecci髇 de los trabajadores contra los riesgos relacionados con la exposici髇 a agentes biol骻icos durante el trabajo.
  • 3 .� Agentes cancer韌enos: plazo de cuarenta a駉s desde que finalice la exposici髇, dando cumplimiento al Real Decreto 665/1997, sobre la protecci髇 de los trabajadores contra los riesgos relacionados con la exposici髇 a agentes cancer韌enos durante el trabajo.
  • 4 .� Exposici髇 amianto: plazo m韓imo cuarenta a駉s desde que finalice la exposici髇, dando cumplimiento al Real Decreto 396/2006, por el que se establecen las disposiciones m韓imas de seguridad y salud aplicables a los trabajos con riesgo de exposici髇 al amianto.
  • 5 .� Protecci髇 de radiaciones ionizantes: hasta que la persona trabajadora cumpla sesenta y cinco a駉s y siempre respetando un m韓imo treinta a駉s, dando cumplimiento al Real Decreto 783/2001, por el que se aprueba el Reglamento sobre protecci髇 sanitaria contra radiaciones ionizantes.
  • 6 .� Plomo met醠ico y componentes i髇icos: plazo de treinta a駉s, dando cumplimiento a la Orden Ministerial de 9 de abril de 1986, que aprueba el reglamento de prevenci髇 de riesgos y protecci髇 de la salud por la presencia de plomo met醠ico y sus componentes i髇icos en el ambiente de trabajo. BOE de 6/5/1986.
• c) Videovigilancia y control de accesos: el tiempo de conservaci髇 de la imagen ser� de un mes, dando cumplimiento al art韈ulo 22.3 de la LOPDyGDD.

Las entidades forales respetar醤 y establecer醤 los plazos de conservaci髇 en funci髇 de la materia y normativa aplicable.

Art韈ulo 30 Principio de seguridad desde el dise駉 y por defecto en el 醡bito de protecci髇 de datos personales

El RGPD exige del responsable del tratamiento una configuraci髇 por defecto de los tratamientos que sea respetuosa con los principios de protecci髇 de datos personales, abogando por un procesamiento que sea lo menos intrusivo posible: m韓ima cantidad de datos personales, m韓ima extensi髇 del tratamiento, m韓imo plazo de conservaci髇 y m韓ima accesibilidad a datos personales. Es por ello, que la Diputaci髇 Foral de Bizkaia trabajar� desde el inicio de cada proyecto en la elecci髇 de valores de configuraci髇 y opciones de tratamiento fijadas en los sistemas y procedimientos que implementan el tratamiento y que determinan la cantidad de los datos personales recopilados, el alcance de su procesamiento, el per韔do de su conservaci髇 y su accesibilidad, para garantizar que estos m韓imos est醤 establecidos.

Teniendo en cuenta que la protecci髇 de datos personales por defecto no se limita a requisitos sobre programas o dispositivos, sino que afecta tambi閚 al propio dise駉 del tratamiento, con independencia del soporte en el que se desarrolle el mismo, las entidades comprendidas en el 醡bito subjetivo de la presente pol韙ica trabajar醤 en la l韓ea de que los principios, derechos y obligaciones relativos a la protecci髇 de datos personales deban tenerse en cuenta desde el dise駉 y por defecto. En este sentido, una aplicaci髇 demostrable de la protecci髇 de datos personales por defecto se convierte en una de las

medidas de responsabilidad proactiva que permite acreditar el cumplimiento de las obligaciones establecidas en la norma. Es por ello por lo que la Diputaci髇 Foral de Bizkaia aplicar� las medidas t閏nicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean estrictamente necesarios para cada uno de los fines espec韋icos del tratamiento. La Diputaci髇 Foral de Bizkaia asume esta obligaci髇 y se aplicar� a:

• 1.� La cantidad de datos personales recogidos.
• 2.� La extensi髇 de su tratamiento.
• 3.� Plazo de conservaci髇.
• 4.� Accesibilidad.

Mediante estas medidas la Diputaci髇 Foral de Bizkaia garantizar� que, por defecto, los datos personales no sean accesibles, sin la intervenci髇 de la persona, a un n鷐ero indeterminado de personas f韘icas.

Las medidas de seguridad se incluir醤 por defecto, de manera que la seguridad de la informaci髇 est� siempre por defecto en todos los sistemas, transferencias, soluciones y opciones cuando se traten datos personales. Aunque el riesgo del tratamiento para los derechos y libertades sea escaso, el responsable del tratamiento no podr� ignorar el establecimiento de medidas de seguridad.

En cuanto a dichas medidas de seguridad se elegir醤 las medidas t閏nicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, entre otras: la seudonimizaci髇, el cifrado y la anonimizaci髇 de datos personales, tal y como establece el art韈ulo 32 del RGPD. Se aplicar� el concepto de protecci髇 de datos personales por defecto, para asegurar que se contemplen todas aquellas medidas y garant韆s de 玞onfiguraci髇 por defecto� que, independientemente del riesgo, sea necesario establecer por 玪a naturaleza, el 醡bito, el contexto y los fines del tratamiento�.

Como cualquier otra medida de responsabilidad proactiva, en la Diputaci髇 Foral de Bizkaia la protecci髇 de datos personales por defecto se abordar� de forma integrada con el resto de las garant韆s establecidas en el RGPD, y como parte integral de los procedimientos y de la cultura de la Diputaci髇 Foral de Bizkaia y de las entidades forales. La selecci髇 de medidas y garant韆s para la protecci髇 de datos personales por defecto tiene influencia sobre los requisitos que se establecen sobre los dominios de seguridad (confidencialidad, disponibilidad, trazabilidad, integridad y autenticidad) desde un punto de vista de 玸eguridad por defecto�.

Con relaci髇 a la implementaci髇 de medidas de protecci髇 de datos personales por defecto, la Diputaci髇 Foral de Bizkaia, se centrar� en tres estrategias cuyo contenido se detalla a continuaci髇:

• 1 .� Optimizar: la optimizaci髇 del tratamiento persigue analizarlo desde el punto de vista de la protecci髇 de datos personales, lo que supone aplicar medidas con relaci髇 a la cantidad de datos recogidos, la extensi髇 del tratamiento, su conservaci髇 y accesibilidad.
• 2 .� Configurar: esta estrategia debe permitir que el tratamiento sea adaptable con relaci髇 a los datos personales mediante valores (ajustes) disponibles en las aplicaciones, dispositivos o sistemas que lo implementan. Parte de esa configurabilidad ha de estar bajo el control de la persona usuaria.
• 3.篟estringir:la restricci髇 garantiza que, por defecto, el tratamiento es lo m醩 respetuoso posible con la privacidad, de modo que, las opciones de configuraci髇 han de estar ajustadas, por defecto, en aquellos valores que limiten la cantidad de datos recogidos, la extensi髇 del tratamiento, su conservaci髇 y accesibilidad.

Art韈ulo 31 Gesti髇 de las cookies

Cuando la utilizaci髇 de una cookie (dispositivos de almacenamiento y recuperaci髇 de datos que se utilizan en un equipo terminal, como por ejemplo, un ordenador, tel閒ono m髒il, tablet etc. de la persona usuaria durante la prestaci髇 de un servicio de la sociedad de la informaci髇) conlleve el tratamiento de datos personales, dentro de los supuestos regulados en el art韈ulo 22.2 de la Ley 34/2002, de 11 de julio de servicios de la Sociedad de la informaci髇 y de comercio electr髇ico, la Diputaci髇 Foral de Bizkaia y las entidades forales asegurar醤 el cumplimiento de la normativa de protecci髇 de datos personales, gu韆s sobre cookies y sus actualizaciones publicadas tanto por la Agencia Espa駉la de Protecci髇 de Datos, como por otras autoridades de control, dando cumpliendo a las siguientes obligaciones:

• a) Transparencia de la informaci髇: se debe facilitar a la persona usuaria informaci髇 clara y completa sobre la utilizaci髇 y la finalidad de los dispositivos de almacenamiento y recuperaci髇 de datos (cookies).
• b) Obtenci髇 del consentimiento de la persona usuaria: para que este consentimiento sea v醠ido deber� de ser otorgado de manera libre e informada, y debe poder demostrarse que se ha obtenido.

Art韈ulo 32 Organizaci髇 e implantaci髇 del proceso de seguridad

La seguridad deber� comprometer a todas las personas pertenecientes a la Diputaci髇 foral de Bizkaia y a las entidades forales, tal y como se ha expuesto en de la presente pol韙ica se procede a una organizaci髇 y distribuci髇 de funciones en el cap韙ulo IV de roles y en el art韈ulo 4 respecto a su 醡bito de aplicaci髇, asignando expresamente responsabilidad diferenciada a los siguientes roles: responsable de la informaci髇, responsable del servicio, responsable de seguridad y responsable del sistema.

Art韈ulo 33 An醠isis y gesti髇 de los riesgos

La Diputaci髇 Foral de Bizkaia, y las entidades forales, como organizaciones que desarrollan e implantan sistemas para el tratamiento de la informaci髇 o la prestaci髇 de servicios realizar醤 su propia gesti髇 de riesgos, de acuerdo con lo establecido en el cap韙ulo VII de la presente pol韙ica.

Esta gesti髇 se realizar� por medio del an醠isis y tratamiento de los riesgos a los que est� expuesto el sistema. Sin perjuicio de lo dispuesto en el anexo II del Real Decreto 311/2022 por el que se regula el ENS, se emplear� alguna metodolog韆 reconocida internacionalmente.

Las medidas adoptadas para mitigar o suprimir los riesgos deber醤 estar justificadas y, en todo caso, existir� una proporcionalidad entre ellas y los riesgos.

Art韈ulo 34 Gesti髇 del personal

Todo el personal relacionado con la informaci髇 y los sistemas ser� informado y formado en los deberes, obligaciones y responsabilidades en materia de seguridad, tal y como se dispone en los art韈ulos 5 y 6 de la presente pol韙ica. Su actuaci髇 ser� supervisada para verificar que se siguen los procedimientos y normas de seguridad que se aprueben.

Art韈ulo 35 Profesionalidad

Todos los roles definidos en la presente pol韙ica ejercer醤 sus funciones con la debida profesionalidad.

La Diputaci髇 Foral de Bizkaia y las entidades forales exigir醤, de manera objetiva y no discriminatoria, que las organizaciones que les presten servicios de seguridad cuenten con profesionales cualificados y con unos niveles id髇eos de gesti髇 y madurez en los servicios prestados.

Adem醩, la seguridad de los sistemas estar� atendida, revisada y auditada por personal cualificado, dedicado e instruido en todas las fases de su ciclo de vida: planificaci髇, dise駉, adquisici髇, construcci髇, despliegue, explotaci髇, mantenimiento, gesti髇 de incidencias y desmantelamiento. Adem醩, se exigir� que las empresas y organizaciones que presten servicios a la Diputaci髇 Foral de Bizkaia y a las entidades forales, tanto en el 醡bito de la protecci髇 de datos personales, como en el de seguridad de la informaci髇, cuenten con profesionales cualificados y con unos niveles id髇eos de gesti髇 y madurez en los servicios prestados.

Art韈ulo 36 Autorizaci髇 y control de accesos

Se establecer醤 los mecanismos necesarios de protecci髇 que controlen el acceso a los sistemas de informaci髇, a trav閟 de la mejora continua. Estos accesos estar醤 limitados a las personas usuarias, procesos, dispositivos u otros sistemas de informaci髇, debidamente autorizados y exclusivamente para el desempe駉 de las funciones atribuidas, de acuerdo con el art韈ulo 17 del Real Decreto 311/2022 por el que se regula el ENS.

En caso de existir indicios de actividades delictivas o que comprometan la seguridad de la informaci髇 tratada, deber醤 ser gestionados de acuerdo con el procedimiento y normativa que, en su caso, aplique.

Art韈ulo 37 Protecci髇 de las instalaciones

Se procurar� que los sistemas de informaci髇 y su infraestructura de comunicaciones asociada se ubiquen en 醨eas controladas que sean emplazamientos seguros, y que sean protegidos, bien por controles de acceso f韘icos adecuados a su nivel de criticidad o mediante medidas apropiadas a los mismos, que garanticen su protecci髇 en funci髇 de los requisitos legales y normativos existentes, su valor para la Diputaci髇 Foral de Bizkaia y las entidades forales, y el riesgo al que pueden estar sometidos en cada momento, de acuerdo con el art韈ulo 18 del Real Decreto 311/2022, por el que se aprueba el ENS. Como m韓imo, las salas deben estar cerradas y disponer de un control de accesos.

Art韈ulo 38 Adquisici髇 de productos de seguridad

En la adquisici髇 de productos de seguridad o contrataci髇 de servicios de seguridad de las tecnolog韆s de la informaci髇 y la comunicaci髇 entre estos, se utilizar醤 de forma proporcionada a la categor韆 del sistema y el nivel de seguridad, aquellos que tengan certificada la funcionalidad de seguridad relacionada con el objeto de su adquisici髇.

Art韈ulo 39 M韓imo privilegio

Para dar cumplimiento a cuanto dispone el art韈ulo 20 del Real Decreto 311/2022, por el que se aprueba el ENS los sistemas de informaci髇 de la Diputaci髇 Foral de Bizkaia y de las entidades forales, se dise馻r醤 y configurar醤 otorgando los m韓imos privilegios para su correcto desempe駉 y procurar醤 que:

• a) Los sistemas proporcionen la funcionalidad imprescindible para que la Diputaci髇 Foral de Bizkaia y las entidades forales alcancen sus objetivos competenciales o contractuales.
• b) Las funciones de operaci髇, administraci髇 y registro de actividad sean las m韓imas necesarias, y se asegurar� que s髄o sean accesibles por las personas autorizadas, desde emplazamientos o equipos que sean autorizados y definidos,

  pudiendo contemplarse y exigirse, en su caso restricciones de horario y puntos de acceso facultados.

• c) Se eliminen o desactiven, mediante el control de la configuraci髇, las funciones que sean innecesarias o inadecuadas al fin que se persigue, aprobando y aplicando, en su caso, las gu韆s, procedimientos o directrices de configuraci髇 de seguridad para las diferentes tecnolog韆s correspondientes a la categor韆 del sistema.
• d) El uso ordinario del sistema sea sencillo y seguro para la persona usuaria, de forma que una utilizaci髇 insegura requiera de un acto consciente por parte de la persona usuaria.

Art韈ulo 40 Integridad y actualizaci髇 del sistema

La inclusi髇 de cualquier elemento f韘ico o l骻ico en el cat醠ogo actualizado de activos del sistema o su modificaci髇 requerir� autorizaci髇 formal previa del administrador de seguridad. La evaluaci髇 y monitorizaci髇 permanentes permitir醤 adecuar el estado de seguridad de los sistemas atendiendo las deficiencias de configuraci髇, las vulnerabilidades identificadas y las actualizaciones que les afecten, as� como la detecci髇 temprana de cualquier incidente que tenga lugar sobre los mismos, tal y como consta en el art韈ulo 21 del Real Decreto 311/2022, por el que se aprueba el ENS.

Los detalles sobre la auditor韆 de registros de monitorizaci髇 para la correcta adecuaci髇 del sistema se desarrollar醤 en una normativa espec韋ica.

Art韈ulo 41 Protecci髇 de la informaci髇 almacenada y en tr醤sito

Se prestar� especial atenci髇 a la informaci髇 almacenada o en tr醤sito a trav閟 de equipos o dispositivos port醫iles o m髒iles, los dispositivos perif閞icos, los soportes de informaci髇 y las comunicaciones sobre redes abiertas, que deber醤 analizarse especialmente para lograr una adecuada protecci髇.

Se aplicar醤 procedimientos que garanticen la recuperaci髇 y conservaci髇 a largo plazo de los documentos electr髇icos producidos por los sistemas de informaci髇, cuando ello sea exigible.

Toda informaci髇 en soporte no electr髇ico que haya sido causa o consecuencia directa de la informaci髇 electr髇ica, que se encuentre en el 醡bito de aplicaci髇 del ENS, deber� estar protegida con el mismo grado de seguridad que 閟ta, y para ello se aplicar醤 las medidas correspondientes al soporte seg鷑 norma, procedimiento o directriz en su caso aplicable.

Toda informaci髇 en soporte papel y en soporte inform醫ico se etiquetar� adecuadamente en base a su clasificaci髇 para facilitar su uso, manipulaci髇 y protecci髇, tal y como se desarrollar� en la norma de seguridad sobre clasificaci髇 y etiquetado de la informaci髇. Los documentos y sus soportes, tanto f韘icos como electr髇icos, llevar醤 un etiquetado que permita reconocer el nivel de clasificaci髇 de la informaci髇 en base a los criterios de seguridad asociados, todo ello, en cumplimiento de lo que dispone el ENS, en su Anexo II, que indica que se ha de referenciar en la Pol韙ica de Seguridad, un est醤dar de clasificaci髇 y etiquetado de la informaci髇.

Art韈ulo 42 Prevenci髇 ante otros sistemas de informaci髇 interconectados

Se proteger� el sistema de las conexiones a redes p鷅licas, entendiendo por red p鷅lica de comunicaciones la red de comunicaciones electr髇icas que se utiliza, en su totalidad o principalmente, para la prestaci髇 de servicios de comunicaciones electr髇icas disponibles para el p鷅lico, de conformidad a la definici髇 establecida en el apartado 32 del anexo II, de la Ley 9/2014, de 9 de mayo, de Telecomunicaciones.

En todo caso, se analizar醤 los riesgos derivados de la interconexi髇 del sistema, a trav閟 de redes, con otros sistemas, y se controlar� su punto de uni髇, de acuerdo con el art韈ulo 23 del Real Decreto 311/2022 por el que se regula el ENS.

Art韈ulo 43 Registro de actividad

De acuerdo con el art韈ulo 24 del Real Decreto 311/2022 por el que se regula el ENS, y con la finalidad exclusiva de lograr el cumplimiento del objeto de esta pol韙ica de seguridad de la informaci髇 y protecci髇 de datos personales, con plenas garant韆s del derecho al honor, a la intimidad personal y familiar y a la propia imagen de las personas afectadas, y de acuerdo con la normativa sobre protecci髇 de datos personales, normativa de funci髇 p鷅lica o laboral, y dem醩 disposiciones que resulten de aplicaci髇, se registrar醤 las actividades de las personas usuarias, reteniendo la informaci髇 estrictamente necesaria para monitorizar, analizar, investigar y documentar actividades indebidas o no autorizadas, permitiendo identificar en cada momento a la persona que act鷄.

Art韈ulo 44 Detecci髇 de c骴igo da駃no

Al objeto de preservar la seguridad de los sistemas de informaci髇, garantizando la rigurosa observancia de los principios de actuaci髇 de las Administraciones p鷅licas y de conformidad con el RGPD y el respeto a los principios de limitaci髇 de la finalidad, minimizaci髇 de los datos y limitaci髇 del plazo de conservaci髇 recogidos en esta pol韙ica, la Diputaci髇 Foral de Bizkaia y las entidades forales podr醤 analizar las comunicaciones entrantes o salientes, y en la medida estrictamente necesaria 鷑icamente para los fines de seguridad de la informaci髇, de forma que sea posible impedir el acceso no autorizado a las redes y sistemas de informaci髇, detener los ataques de denegaci髇 de servicio, evitar la distribuci髇 malintencionada de c骴igo da駃no, as� como otros da駉s a las redes y sistemas de informaci髇.

Para corregir, o en su caso, exigir responsabilidades, cada persona usuaria perteneciente a la Diputaci髇 Foral de Bizkaia o entidades forales, que acceda al sistema de informaci髇 deber� estar identificada de forma 鷑ica, de modo que se sepa, en todo momento, qui閚 recibe derechos de acceso, de qu� tipo son 閟tos y qui閚 ha realizado una determinada actividad.

Art韈ulo 45 Incidentes de seguridad

La Diputaci髇 Foral de Bizkaia y las entidades forales dispondr醤 de un procedimiento para la gesti髇 de incidentes de seguridad, que dar� cumplimiento al art韈ulo 25 del Real Decreto 311/2022 por el que se regula el ENS y que regula los incidentes de seguridad. Este procedimiento ser� accesible y conocido entre las personas que se identifiquen en el procedimiento y que desempe馿n roles y que conforme a 閟tos tengan asignadas responsabilidades y obligaciones. En este procedimiento se describir醤 los mecanismos de detecci髇, los criterios de clasificaci髇, los procedimientos de an醠isis y resoluci髇, los cauces de comunicaci髇 a las partes interesadas, la notificaci髇 a las autoridades y organismos oficiales, as� como el registro de las actuaciones que se desarrollen durante la gesti髇 del mismo. El procedimiento dispondr� de los siguientes mecanismos para su gesti髇, sin perjuicio del desarrollo posterior por el procedimiento de Gesti髇 de Incidentes de Seguridad:

• a) Detecci髇 y registro.
• b) An醠isis y clasificaci髇. Criterios de clasificaci髇.
• c) Comunicaci髇 interna.
• d) An醠isis y toma de decisi髇: seg鷑 valoraci髇 y probabilidad del riesgo decisi髇 a adoptar por rol correspondiente seg鷑 gravedad del incidente.
• e) Resoluci髇: contenci髇, erradicaci髇 y recuperaci髇.
• f) Informe de cierre.
• g) Notificaci髇, en su caso a agentes externos, autoridades competentes y en su caso, personas afectadas.
• h) Reflexi髇 y mejora.

Art韈ulo 46 Continuidad de la actividad

Los sistemas de la Diputaci髇 Foral de Bizkaia y entidades forales dispondr醤 de copias de seguridad y de mecanismos que garanticen la continuidad de las operaciones en caso de p閞dida de los medios habituales de trabajo o afecci髇 grave de los activos empleados, tal y como indica el art韈ulo 26 del Real Decreto 311/2022 por el que se regula el ENS.

Art韈ulo 47 Mejora continua del proceso de seguridad

El proceso integral para la gesti髇 de la protecci髇 de datos personales y seguridad de la informaci髇 ser� mejorado de manera continua en base a los indicadores que se consideren en funci髇 de los requisitos establecidos, el nivel de madurez en cada momento y las necesidades estrat間icas de Diputaci髇 Foral de Bizkaia y las entidades forales, tal y como indica el art韈ulo 27 del Real Decreto 311/2022 por el que se regula el ENS.

Art韈ulo 48 Cumplimiento de los requisitos m韓imos

Declaraci髇 de aplicabilidad La Diputaci髇 Foral de Bizkaia y las entidades forales adoptar醤 las medidas y refuerzos de seguridad correspondientes al Anexo II del Real Decreto 311/2022 por el que se regula el ENS, teniendo en cuenta:

• a) Los activos que constituyen los sistemas de informaci髇.
• b) La categor韆 del sistema.
• c) Las decisiones que se adopten para gestionar los riesgos que se identifiquen.

Estas medidas de seguridad ser醤 m韓imos exigibles, siendo ampliables a criterio del responsable de seguridad por medidas adicionales de seguridad. Las medidas de seguridad del Anexo II podr醤 ser reemplazadas por otras medidas compensatorias, siempre y cuando se justifique documentalmente que protegen igual o mejor el riesgo sobre los activos y se satisfacen los principios b醩icos y requisitos m韓imos recogidos en el ENS y en la presente pol韙ica. Esta relaci髇 de medidas se formalizar� en un documento denominado 獶eclaraci髇 de aplicabilidad�, firmado por el responsable de seguridad. Como parte de la declaraci髇 de aplicabilidad se indicar� de forma detallada la correspondencia entre las medidas compensatorias implantadas y las medidas del Anexo II que compensan.

Art韈ulo 49 Sistemas de informaci髇 de terceras entidades prestatarias de servicios

Las entidades del sector privado, que, en virtud de una relaci髇 contractual, presten servicios o provean soluciones a la Diputaci髇 foral de Bizkaia y/o a las entidades forales para el ejercicio por 閟tas de sus competencias y potestades administrativas, y en particular sus sistemas de informaci髇 cumplir醤 el Esquema Nacional de Seguridad y las directrices que emanen de los organismos oficiales. En particular, las referencias que se establezcan relativas a la pol韙ica de seguridad.

Los pliegos de prescripciones administrativas o t閏nicas de la Diputaci髇 Foral de Bizkaia y de las entidades forales contemplar醤 todos aquellos requisitos necesarios para asegurar la conformidad con el ENS de los sistemas de informaci髇 en los que se sustenten los servicios prestados por los contratistas, tales como la presentaci髇 de Declaraciones o Certificaciones de Conformidad con el ENS. Esta cautela se extender� a la cadena de suministro de estos contratistas.

En el caso de servicios externalizados, salvo por causa justificada y documentada, la organizaci髇 prestataria de los servicios designar� un POC (punto o persona de contacto) para la seguridad de la informaci髇 tratada y del servicio prestado. El POC de seguridad canaliza y supervisa, tanto el cumplimiento de los requisitos de seguridad del servicio o soluci髇 que presta, como las comunicaciones relativas a la seguridad de la informaci髇 y la gesti髇 de los incidentes para el 醡bito de dicho servicio, en cumplimiento de lo dispuesto en el art韈ulo 13.5 del Real Decreto 311/2022 por el que se regula el ENS.

Todas las aplicaciones y herramientas tecnol骻icas que afecten o se incorporen a la red corporativa deber醤 ser adquiridas con el visto bueno previo de Lantik, S.A.M.P., en particular, con la aprobaci髇 de su departamento de seguridad.

Art韈ulo 50 Infraestructuras y servicios comunes

La utilizaci髇 de infraestructuras y servicios comunes de la Diputaci髇 Foral de Bizkaia y de las entidades forales, incluidos los compartidos o transversales, facilitar� el cumplimiento de lo dispuesto en esta pol韙ica. Los supuestos concretos de utilizaci髇 de estas infraestructuras y servicios ser醤 determinados por la Diputaci髇 Foral de Bizkaia y las entidades forales.

Art韈ulo 51 Cat醠ogo de Servicios Electr髇icos

La Diputaci髇 Foral de Bizkaia establecer� un Cat醠ogo de Servicios Electr髇icos, que ser� el registro que recoja el inventario de servicios y de la informaci髇 (gestionada por estos) junto con la valoraci髇 y su justificaci髇, y a partir del cual los responsables de informaci髇 y servicio valorar醤 los requisitos de seguridad de la informaci髇 almacenada y tratada y los servicios prestados, de acuerdo con lo establecido en el art韈ulo 40 del Real Decreto 311/2022 por el que se regula el ENS. Asimismo, el Cat醠ogo de servicios electr髇icos se emplear� como referencia para determinar el impacto que podr韆 suponer sobre los mismos una amenaza de seguridad en los procesos de an醠isis de riesgos o impacto en el negocio, requeridos respectivamente en las medidas de seguridad op.pl.1 (relativa a la necesidad de realizaci髇 del an醠isis de riesgos) y op.cont.1 (relativa al an醠isis de impacto en la continuidad del servicio) del Anexo II del citado Esquema Nacional de Seguridad.

El alcance del Cat醠ogo deber� contemplar el conjunto de aquellos servicios que conforman el 醡bito objetivo de aplicaci髇 de la Ley 39/2015 de 1 de octubre, del Procedimiento Administrativo Com鷑 de las Administraciones P鷅licas que est閚 sustentados en medios electr髇icos y dirigidos a gestionar las competencias de la Diputaci髇 Foral de Bizkaia o desarrollar o contribuir a desarrollar el procedimiento administrativo.

La determinaci髇 del grado de detalle y granularidad de los diferentes servicios que conformar醤 el Cat醠ogo de servicios electr髇icos se realizar� adapt醤dolo para soportar los procesos de categorizaci髇 del sistema, an醠isis de riesgos e impacto en el negocio especificados en el Esquema Nacional de Seguridad.

Las entidades forales, en la misma l韓ea, definir醤 y adoptar醤 su correspondiente cat醠ogo de servicios electr髇icos conforme a los servicios que presten y a su 醡bito de actuaci髇.

Art韈ulo 52 Suspensi髇 de larga duraci髇 y/o suspensi髇 cautelar

Suspensi髇 de larga duraci髇: si se apreciaran deficiencias graves de seguridad que afecten a la prestaci髇 de un determinado servicio o al tratamiento de cierta informaci髇, el responsable del sistema propondr� la suspensi髇 del tratamiento o la prestaci髇 del servicio. La decisi髇 final ser� adoptada por el Comit� de Direcci髇 que deber� ser acordada con los responsables de la informaci髇 y los servicios afectados y con el responsable de seguridad. La ejecuci髇 de la suspensi髇 se efectuar� por el responsable del sistema.

Suspensi髇 cautelar o de corto plazo: se producir� la suspensi髇 cautelar del servicio para dar una respuesta 醙il ante un problema de seguridad que se detecte y se tratar� de una suspensi髇 de corta duraci髇. El responsable de seguridad adopta la decisi髇 e informa de la misma al Comit� de Direcci髇, responsables de informaci髇 y responsables de servicio afectados y su ejecuci髇 corresponder� al responsable del sistema.

Art韈ulo 53 Directrices para la estructuraci髇 de la documentaci髇 de seguridad

La Diputaci髇 Foral de Bizkaia y las entidades forales, al respecto de contemplar las directrices para la estructuraci髇 de la documentaci髇 de seguridad del sistema, de su gesti髇 y acceso, tal y como indica el art韈ulo 12.1.e) del Real Decreto 311/2022 por el que se regula el ENS, el proceso de implantaci髇 de la presente pol韙ica se establecer� mediante la normativa de seguridad, documentaci髇 y procedimientos de seguridad, del sistema de informaci髇. Esta normativa de seguridad trata sobre determinadas materias, entre otras, que se recogen a continuaci髇:

• a) Auditor韆s de registros de monitorizaci髇.
• b) Clasificaci髇, etiquetado y tratamiento de la informaci髇.
• c) Control de accesos l骻icos.
• d) Gesti髇 de incidentes de seguridad y datos personales.

La normativa de seguridad contempla un conjunto de regulaciones que, desarrollan la pol韙ica de seguridad de la informaci髇 y protecci髇 de datos personales, para cumplir el objetivo de ejecuci髇 y despliegue de los elementos esenciales y b醩icos que se regulan en la presente pol韙ica. Para ello, cada norma de seguridad debe cumplir los siguientes aspectos:

• a) Centrar su regulaci髇 en el objetivo espec韋ico que pretende alcanzar.
• b) Incluir una descripci髇 de acciones conforme a la norma.
• c) Ser concisa, motivada e incluir referencias para que pueda realizarse una correcta interpretaci髇 de la misma.

En particular, los procedimientos de seguridad recogen una descripci髇 detallada sobre c髆o realizar una actividad concreta, de acuerdo con las directrices que se deban seguir. Estos procedimientos deber醤 recoger lo siguiente:

• a) 羗bito objetivo y subjetivo de aplicaci髇.
• b) Roles intervinientes en el procedimiento.
• c) Regulaci髇 del proceso a llevar a cabo.
• d) En su caso, m閠ricas para evaluar los resultados.
• e) En su caso, posibilidad de reportar mejoras y deficiencias.

Art韈ulo 54 Concepto

El proceso de an醠isis y gesti髇 de los riesgos es un procedimiento en el que son objeto de an醠isis, revisi髇 y gesti髇 de los riesgos peri骴icos, en los plazos legalmente establecidos y conforme al procedimiento que desarrolle el mismo:

• a) Los tratamientos de datos personales.
• b) Toda la informaci髇 y los sistemas de informaci髇 que est醤 sujetos a la presente Pol韙ica.

Art韈ulo 55 An醠isis de riesgos en el 醡bito de protecci髇 de datos personales

Cuando se trate de actividades de tratamiento de datos personales que lleven a cabo la Diputaci髇 Foral de Bizkaia o las entidades forales, tal y como establece el art韈ulo 32 RGPD, se aplicar醤 las medidas t閏nicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluir� entre otros, la realizaci髇 de un proceso de verificaci髇, evaluaci髇 y valoraci髇 regulares de la eficacia de las medidas t閏nicas y organizativas para garantizar la seguridad del tratamiento. Al evaluar la adecuaci髇 del nivel de seguridad se tendr醤 en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucci髇, p閞dida o alteraci髇 accidental o il韈ita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicaci髇 o acceso no autorizados a dichos datos.

Art韈ulo 56 Evaluaci髇 de impacto de protecci髇 de datos personales

Cuando sea probable que un tratamiento, en particular si utiliza nuevas tecnolog韆s, por su naturaleza, alcance, contexto o fines, entra馿 un alto riesgo para los derechos y libertades de las personas f韘icas, el responsable del tratamiento llevar� a cabo evaluaciones de impacto de las operaciones de tratamiento, con car醕ter previo al propio tratamiento, conforme a lo previsto en el art韈ulo 35 del RGPD, la metodolog韆 establecida por las autoridades de control y el procedimiento que se determine al efecto.

Art韈ulo 57 An醠isis de riesgos en el 醡bito de seguridad de la informaci髇

Tal y como establecen los art韈ulos 7 y 14 del Real Decreto 311/2022 por el que se regula el ENS, el proceso de an醠isis y gesti髇 de riesgos es una medida de planificaci髇 dentro del marco operacional del Esquema Nacional de Seguridad, para proteger la operaci髇 del sistema como conjunto integral de componentes para un fin. En este proceso se evaluar醤 las amenazas y los riesgos a los que est醤 expuestos, y permitir� identificar y gestionar los riesgos minimiz醤dolos hasta los niveles que puedan considerarse aceptables. Adem醩, se realizar醤 an醠isis de riesgos cuando concurra cualquiera de las siguientes circunstancias, pudi閚dose en estos casos realizar un an醠isis circunscrito a los activos afectados:

• a) Cuando cambie la informaci髇 manejada de forma sustancial.
• b) Cuando cambien los servicios prestados de forma sustancial.

Art韈ulo 58 Procedimiento

Dando cumplimiento al procedimiento que desarrolle el proceso de An醠isis y Gesti髇 de Riesgos, la Diputaci髇 Foral de Bizkaia, mediante la unidad org醤ica competente en protecci髇 de datos y/o seguridad de la informaci髇 de la Diputaci髇 Foral de Bizkaia, en colaboraci髇 con su administrador de seguridad, Lantik S.A.M.P., realizar� y coordinar� los procedimientos de an醠isis y gesti髇 de riesgos con cada una de las unidades implicadas en la Diputaci髇 Foral de Bizkaia, y con las entidades forales, cuando corresponda.

Dentro de la Diputaci髇 Foral de Bizkaia y en las entidades forales se convocar醤 para su participaci髇 los siguientes roles intervinientes en el proceso de an醠isis de riesgos en el 醡bito de seguridad de la informaci髇:

• a) Responsable de servicio.
• b) Personal dinamizador.
• c) Unidad org醤ica competente en protecci髇 de datos y/o seguridad de la informaci髇 de la Diputaci髇 Foral de Bizkaia.
• d) Lantik, S.A.P.A., en calidad de administrador de seguridad.
• e) Responsable de la informaci髇.
• f) Otros roles que se determine su necesidad de intervenci髇 en el proceso. En su caso, participaci髇 del Equipo t閏nico combinado para la seguridad de la informaci髇.

Dentro de la Diputaci髇 Foral de Bizkaia y en las entidades forales se convocan para su participaci髇 los siguientes roles intervinientes en el proceso de an醠isis de riesgos en el 醡bito de protecci髇 de datos personales:

• a) Responsable del tratamiento.
• b) Personal dinamizador.
• c) DPD o personal de la unidad org醤ica competente en protecci髇 de datos y/o seguridad de la informaci髇 de la Diputaci髇 Foral de Bizkaia.
• d) Otros roles que se determine su necesidad de intervenci髇 en el proceso. Por ejemplo, en el caso del administrador de seguridad para aquellas cuestiones t閏nicas en las que sea necesaria su participaci髇.

En este proceso se determinar醤 los activos m醩 importantes a analizar desde el punto de vista de las dimensiones de la seguridad (disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad) y se evaluar醤 las amenazas y los riesgos a los que est醤 expuestos, permitiendo identificar y gestionar los riesgos, minimiz醤dolos hasta los niveles que puedan considerarse aceptables. Se deber� realizar una validaci髇 de cada uno de los an醠isis de riesgos de los servicios analizados que se consignar醤 en el correspondiente Informe de resultados del proceso, en el que se recoger醤 los riesgos identificados, la propuesta y asunci髇 del riesgo m韓imo aceptable y el plan de tratamiento de riesgos a ejecutar.

En el proceso se realiza un an醠isis que describe los siguientes aspectos:

• a) Identificaci髇 y valoraci髇 cualitativa de los activos m醩 valiosos del sistema.
• b) Identificaci髇 y cuantificaci髇 de las amenazas m醩 probables.
• c) Identificaci髇 y valoraci髇 de las salvaguardas que protegen de dichas amenazas.
• d) Identificaci髇 y valoraci髇 del riesgo residual.

El equipo t閏nico combinado para la seguridad de la informaci髇 participar� en los procesos de an醠isis de riesgos o revisi髇 de los mismos y, adem醩, coordinar� la correcta ejecuci髇, despliegue y seguimiento de las medidas t閏nicas, organizativas y operacionales que se incluyan dentro de cada plan de tratamiento de riesgos.

El informe de resultados junto con su Plan de Tratamiento de Riesgos ser� realizado por el responsable de seguridad en colaboraci髇 con Lantik S.A.M.P y se dar� cuenta del proceso y de los resultados al Comit� de direcci髇 para su aprobaci髇.

Art韈ulo 59 Valoraci髇 y categorizaci髇 del sistema de informaci髇

La categor韆 de seguridad de los sistemas de informaci髇 de la Diputaci髇 Foral de Bizkaia y/o de las entidades forales modular� el equilibrio entre la importancia de la informaci髇 que maneja y los servicios que presta y el esfuerzo de seguridad requerido, en funci髇 de los riesgos a los que est醤 expuestos, bajo el principio de proporcionalidad.

La determinaci髇 de la categor韆 de seguridad del sistema de informaci髇 se efectuar� en funci髇 de la valoraci髇 del impacto que tendr韆 un incidente que afectase a la seguridad de la informaci髇 o de los servicios con perjuicio para las dimensiones de seguridad ( disponibilidad, autenticidad, integridad, confidencialidad o trazabilidad) y siguiendo cuanto dispone, tanto el procedimiento descrito en el anexo I del Real Decreto 311/2022 por el que se regula el ENS, como las facultades establecidas en el art韈ulo 41 del mismo y en la presente pol韙ica.

Art韈ulo 60 Prestaci髇 de servicios y realizaci髇 de actividades en situaciones de movilidad, trabajo en remoto y teletrabajo C

uando por necesidades del servicio, situaciones extraordinarias o por la concurrencia de circunstancias debidamente reguladas en la Diputaci髇 Foral de Bizkaia y en las entidades forales, el personal tenga que desarrollar sus funciones fuera de las instalaciones forales, es decir, en situaci髇 de prestaci髇 de servicios en movilidad, trabajo en remoto o en el marco de un programa de teletrabajo, se deber醤 establecer las medidas necesarias para garantizar la protecci髇 de los sistemas de informaci髇 y de los datos personales. En concreto, se deber醤 establecer las siguientes medidas:

• 60.1. Indicaciones y directrices para la Diputaci髇 Foral de Bizkaia y las entidades forales
  • a) Definir y establecer las instrucciones, gu韆s y medidas jur韉icas, t閏nicas y organizativas que estimen necesarias para proteger la informaci髇 y los datos personales en el desempe駉 de las situaciones de movilidad, trabajo en remoto y teletrabajo, que contemplar醤 las necesidades concretas y los riesgos particulares introducidos por el acceso a los recursos corporativos desde espacios que no est醤 bajo su control.
  • b) Determinar las formas de acceso remoto permitidas qu� tipo de dispositivos son v醠idos para cada forma de acceso y el nivel de acceso permitido en funci髇 de los perfiles de movilidad definidos. Tambi閚 deben definirse las responsabilidades y obligaciones que asumen las personas que desempe馿n funciones en situaci髇 de movilidad, trabajo en remoto y teletrabajo.
  • c) Garantizar los derechos digitales de las personas que desempe馿n funciones en situaci髇 de movilidad, trabajo en remoto y teletrabajo de acuerdo con la regulaci髇 contenida en el T韙ulo X de la Ley Org醤ica 3/2018, de 5 de diciembre, de protecci髇 de datos personales y garant韆 de los derechos digitales, y en particular cuanto dispone el art韈ulo 87 respecto al derecho a la intimidad y uso de dispositivos digitales en el 醡bito laboral.
  • d) Informar al personal que desempe馿 funciones en situaci髇 de movilidad, trabajo en remoto y teletrabajo: se informar� de las instrucciones, gu韆s y medidas jur韉icas, t閏nicas y organizativas adoptadas, de las principales amenazas por las que puedan verse afectados al trabajar desde fuera de la Diputaci髇 Foral de Bizkaia y de las entidades forales, y de las posibles consecuencias que pueden materializarse de acontecer las mismas.
  • e) Elegir soluciones y prestadores de servicio confiables y con garant韆s: se evitar� contratar y utilizar aplicaciones y soluciones de trabajo remoto y/o teletrabajo que no ofrezcan garant韆s y que puedan dar lugar a la exposici髇 de los datos personales del personal que desempe馿 funciones en situaci髇 de movilidad, trabajo en remoto y teletrabajo y de las personas interesadas y de la informaci髇 y los servicios corporativos de la Diputaci髇 Foral de Bizkaia y de las entidades forales, en particular, a trav閟 de los servicios de correo y mensajer韆.

    Se recurrir� a proveedores y encargados de tratamiento que ofrezcan soluciones probadas y garant韆s suficientes. Si estos acceden a datos personales, tendr醤 la consideraci髇 de encargados de tratamiento y la relaci髇 se regir� por un contrato u otro acto jur韉ico que vincule al encargado respecto del responsable. Este contrato debe establecer el objeto, la duraci髇, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categor韆s de personas interesadas, y las obligaciones y derechos del responsable, de acuerdo con los t閞minos establecidos en el art韈ulo 28.3 del RGPD.

  • f) Restringir el acceso a la informaci髇: los perfiles o niveles de acceso a los recursos y a la informaci髇 tienen que configurarse en funci髇 del rol y/o del puesto de trabajo que cada persona desempe馿 en situaci髇 de movilidad, trabajo en remoto y teletrabajo. A su vez, hay que aplicar restricciones de acceso adicionales, en funci髇 del tipo de dispositivo desde el que se acceda a la informaci髇 (equipos port醫iles corporativos securizados, equipos personales externos y dispositivos m髒iles como smartphones o tablets) y tambi閚, dependiendo de la ubicaci髇 desde la que se accede.
  • g) Configurar y actualizar peri骴icamente los equipos: los dispositivos ser醤 revisados y se asegurar� que est醤 correctamente actualizados y configurados para garantizar el cumplimiento de las instrucciones, gu韆s y medidas que se aprueben para situaciones de movilidad establecidas por la Diputaci髇 Foral de Bizkaia y de las entidades forales, as� como el control de los perfiles de acceso definidos.
  • h) Monitorizar los accesos realizados a la red corporativa desde el exterior: se utilizar� un sistema de gesti髇 de eventos automatizado para que monitorice los logs, detectando fallos de rendimiento, mal funcionamiento o errores e intrusiones. Adicionalmente, la configuraci髇 definida para monitorizar los accesos a los recursos de forma remota debe ser revisada de forma peri骴ica para garantizar que no ha sido alterada ni desactivada sin autorizaci髇.
  • i) Gestionar racionalmente la protecci髇 de datos personales y la seguridad de la informaci髇: las medidas y garant韆s establecidas en las instrucciones, gu韆s y medidas que se definan, se establecer醤 a partir de un an醠isis de riesgos en el que se eval鷈 la proporcionalidad entre los beneficios a obtener de un acceso a distancia y el impacto potencial de ver comprometido el acceso a la informaci髇 y a los datos personales. Los recursos a los que se pueda acceder se limitar醤 en funci髇 de la valoraci髇 del riesgo que represente una p閞dida del dispositivo y la exposici髇 o acceso no autorizado a la informaci髇 manejada.
  • j) Cifrado de equipos: el equipamiento que vaya destinado a situaciones de movilidad, trabajo en remoto y teletrabajo ser� cifrado.
• 60.2. Directrices para el personal que participa en las acciones de movilidad, trabajo en remoto y teletrabajo
  • a) Observar y cumplir las instrucciones, gu韆s y medidas jur韉icas, t閏nicas y organizativas definidas y aprobadas por la Diputaci髇 Foral de Bizkaia y por las entidades forales para las situaciones de movilidad, as� como del resto de las normas y procedimientos que las desarrollen (en particular, C骴igo de Conducta Inform醫ico) y, especialmente, lo que concierne al deber de confidencialidad de la persona que desempe馿 funciones en situaci髇 de movilidad, trabajo en remoto y teletrabajo con relaci髇 a los datos personales a los que tuviera acceso en el desempe駉 de sus funciones laborales. Especial consideraci髇 se deber� tener respecto a las condiciones que regulen la realizaci髇 de videollamadas en situaciones de movilidad, trabajo en remoto y teletrabajo.
  • b) Proteger el dispositivo utilizado en movilidad, trabajo en remoto y/o teletrabajo y el acceso al mismo. Con respecto a los dispositivos y equipos port醫iles, el personal que tenga a su disposici髇 uno de ellos debe extremar su precauci髇 cuando haga uso de los mismos o los transporte fuera de las instalaciones de la Diputaci髇 Foral de Bizkaia y de las entidades forales. El contenido del dispositivo puede ser confidencial por lo que deben adoptarse todas las precauciones para evitar la p閞dida o sustracci髇 del mismo.

    Una vez concluida la jornada de trabajo en situaci髇 de movilidad, trabajo en remoto y/o teletrabajo debe desconectarse la sesi髇 de acceso remoto y apagar o bloquear el acceso al dispositivo.

  • c) Garantizar la protecci髇 de la informaci髇 que se est� manejando. Fuera de las instalaciones corporativas se adoptar醤 las precauciones necesarias para garantizar la confidencialidad de la informaci髇 que se est� tratando, conforme a las siguientes pautas:
    • 1 .� Minimizar o evitar la entrada y salida de documentaci髇 en soporte papel y extremar las precauciones para evitar accesos no autorizados por parte de terceras personas. La informaci髇 en soporte papel, incluyendo borradores, no se puede desechar sin garantizar que es adecuadamente destruida.
    • 2 .� Extremar las precauciones para evitar el acceso no autorizado a la informaci髇 personal, propia y de terceras personas, manejada, no dejando a la vista ning鷑 soporte de informaci髇 en el lugar donde se desarrolle la movilidad, trabajo en remoto o el teletrabajo y bloqueando las sesiones de los dispositivos cuando estos est閚 desatendidos.
    • 3 .� Evitar exponer la pantalla a la mirada de terceras personas.
    • 4 .� Prevenir que se puedan escuchar conversaciones por parte de terceras personas utilizando, por ejemplo, auriculares o retir醤dose a un espacio en el que la persona en situaci髇 de movilidad, trabajo en remoto o teletrabajo no est� acompa馻da.
  • d) Guardar la informaci髇 en los espacios de red habilitados, se adoptar醩 las siguientes precauciones:
    • 1 .� Evitar almacenar la informaci髇 generada durante la situaci髇 de movilidad, trabajo en remoto, teletrabajo, de forma local en el dispositivo utilizado, y hacer uso de los recursos de almacenamiento compartidos o en la nube proporcionados por la Diputaci髇 Foral de Bizkaia y las entidades forales.
    • 2 .� No utilizar aplicaciones no autorizadas por la Diputaci髇 Foral de Bizkaia y las entidades forales para compartir informaci髇 (servicios en nube de alojamiento de archivos, correos personales, mensajer韆 r醦ida, etc.).
    • 3 .� Revisar y eliminar peri骴icamente la informaci髇 residual que pueda quedar almacenada en el dispositivo, como archivos temporales del navegador o descargas de documentos.
  • e) Comunicar con car醕ter inmediato el incidente de seguridad, si hay sospecha de que la informaci髇 o los datos personales han podido verse comprometidos, o ante cualquier anomal韆 que pueda afectar a la seguridad de la informaci髇 y a los datos personales tratados se notificar� el incidente siguiendo el procedimiento y los canales que a tal efecto definan y aprueben la Diputaci髇 Foral de Bizkaia y las entidades forales.

Disposici髇 Adicional 趎ica Administraci髇 tributaria

De conformidad con lo previsto en la disposici髇 adicional primera de la Constituci髇 espa駉la, en el art韈ulo 41 del Estatuto de Autonom韆 para el Pa韘 Vasco, aprobado por medio de Ley Org醤ica 3/1979, de 18 de diciembre, y en el Concierto Econ髆ico con la Comunidad Aut髇oma del Pa韘 Vasco, aprobado por medio de Ley 12/2002, de 23 de mayo, lo dispuesto en la presente pol韙ica se entiende sin perjuicio de las especialidades aplicables a la administraci髇 tributaria y de las normas relativas al car醕ter reservado de los datos obtenidos por la misma en el ejercicio de sus funciones, reguladas ambas en la Norma Foral 2/2005, de 10 de marzo, General Tributaria del Territorio Hist髍ico de Bizkaia y en sus disposiciones reglamentarias de desarrollo.

Disposici髇 Transitoria 趎ica Marco normativo

El anteproyecto de Ley de Protecci髇 de Datos Personales y de la Autoridad Vasca de Protecci髇 de Datos y el anteproyecto de Ley de creaci髇 de la agencia vasca de ciberseguridad-euskadiko zibersegurtasun agentzia, que en la actualidad est醤 siendo tramitadas para su aprobaci髇 por el Parlamento Vasco, a partir de su entrada en vigor formar醤 parte del marco normativo recogido en el art韈ulo 2 de la presente pol韙ica. As� mismo, y en lo referente a este marco normativo resultar� de aplicaci髇 las disposiciones derogatorias que, en su caso, contengan las respectivas leyes tras su entrada en vigor.

Disposici髇 Derogatoria Primera Derogaci髇 de todas las disposiciones de igual o inferior rango

A la entrada en vigor del presente decreto quedan derogadas todas las disposiciones de igual o inferior rango que se opongan o contradigan lo establecido en la misma.

Disposici髇 Derogatoria Segunda Derogaci髇 de lo que respecta a la regulaci髇 de los roles y responsabilidades del sector p鷅lico foral de Bizkaia en el 醡bito de la protecci髇 de datos personales y seguridad de la informaci髇, que se realiza en el cap韙ulo IV

A la entrada en vigor del presente decreto, en lo que respecta a la regulaci髇 de los roles y responsabilidades del sector p鷅lico foral de Bizkaia (Diputaci髇 Foral de Bizkaia y entidades forales) en el 醡bito de la protecci髇 de datos personales y seguridad de la informaci髇, que se realiza en el cap韙ulo IV, quedan derogadas y modificadas las regulaciones vigentes de los roles recogidas en otras disposiciones de igual o inferior rango. En particular, quedan derogadas las siguientes:

• a) El Acuerdo de la Diputaci髇 Foral de Bizkaia de 15 de mayo de 2018, por el que se procede a la creaci髇, designaci髇 y regulaci髇 del estatuto jur韉ico de la persona delegada de protecci髇 de datos de la Diputaci髇 Foral de Bizkaia y entidades forales del art韈ulo 2 del Decreto Foral Normativo 5/2013, de 3 de diciembre, por el que se aprueba el Texto Refundido de la Norma Foral 5/2006 de 29 de diciembre, General Presupuestaria del TTHH Bizkaia.LE0000621645_20180613
• b) Decreto Foral de la Diputaci髇 Foral de Bizkaia 173/2013, de 10 de diciembre, por el que se aprueba la implantaci髇 de medidas de seguridad, organizativas, de infraestructura, aplicaciones y servicios en materia de protecci髇 de datos de car醕ter personal.LE0000518382_20160519
• c) Decreto Foral de la Diputaci髇 Foral de Bizkaia 187/2015, de 15 de diciembre, por el que se modifica el Decreto Foral 173/2013, de 10 de diciembre, por el que se aprueba la implantaci髇 de medidas de seguridad, organizativas, de infraestructura, aplicaciones y servicios en materia de protecci髇 de datos de car醕ter personal.LE0000564522_20151219

Disposici髇 Derogatoria Tercera Derogaci髇 de la pol韙ica de seguridad de la informaci髇 de la Diputaci髇 Foral de Bizkaia y de todas las entidades forales incluidas en los presupuestos del Territorio Hist髍ico de Bizkaia, aprobada mediante Acuerdo de la Diputaci髇 Foral de Bizkaia de 21 de marzo de 2017

A la entrada en vigor del presente decreto, queda derogada la pol韙ica de seguridad de la informaci髇 de la Diputaci髇 Foral de Bizkaia y de todas las entidades forales incluidas en los presupuestos del Territorio Hist髍ico de Bizkaia, aprobada mediante Acuerdo de la Diputaci髇 Foral de Bizkaia de 21 de marzo de 2017.

Disposici髇 Final Primera Entrada en vigor

La presente pol韙ica contenida en este decreto foral entrar� en vigor y surtir� efectos desde el d韆 siguiente al de su publicaci髇 en el 獴olet韓 Oficial de Bizkaia�.

Disposici髇 Final Segunda Revisi髇 de la Pol韙ica de seguridad de la informaci髇 y protecci髇 de datos personales del sector p鷅lico foral de Bizkaia

La Pol韙ica de seguridad de la informaci髇 y protecci髇 de datos personales del sector p鷅lico foral de Bizkaia ser� revisada, en un plazo m醲imo de 5 a駉s a computar desde la entrada en vigor del presente decreto que la aprueba. En todo caso, ser� revisada cada vez que se produzcan modificaciones sustanciales en la normativa, en las instrucciones o gu韆s oficiales que determinen la necesidad de su actualizaci髇.

Disposici髇 Final Tercera Habilitaci髇 para el desarrollo del presente decreto foral y la aprobaci髇 de normas, procedimientos, gu韆s e instrucciones, del 醡bito de seguridad y/o del de protecci髇 de datos personales

Se faculta a la diputada foral de Administraci髇 P鷅lica y Relaciones Institucionales o a la diputada o diputado foral del departamento que sea competente en materia de protecci髇 de datos y/o seguridad de la informaci髇, para aprobar o bien elevar a consejo de Gobierno para su aprobaci髇 la propuesta de resoluciones administrativas o de disposiciones administrativas de car醕ter general, cuando sea necesario actualizar, desarrollar o ejecutar lo dispuesto en este decreto foral.

En particular, respecto al 醡bito de seguridad de la informaci髇, la pol韙ica de seguridad que se aprueba en el presente decreto se configura como la norma de seguridad a alto nivel que establece los roles, estructura general, requisitos m韓imos y garant韆s b醩icas de seguridad pero tal y como dispone el ENS y las Gu韆s del CCN-CERT es necesario disponer y aprobar el resto de normativa de seguridad complementaria (normas, procedimientos, gu韆s e instrucciones de seguridad) que desarrollen de manera detallada la parte organizativa, operacional y t閏nica de seguridad, y es por ello que se motiva la necesidad de la presente habilitaci髇. De igual manera, en el 醡bito de protecci髇 de datos personales puede surgir la necesidad de completar lo regulado en el presente decreto.