Circular nº C-090/14

Circular nº C-090/14.7

En Proceso de Actualización


Título:		Fecha entrada en vigor:
Tipo:		Fecha publicación:
Dirección:		Fecha actualización:
Área:		Fecha caducidad:
Nivel de lectura:	Todos los usuarios + ZACL_Proyecto-INSTMAN

Con objeto de garantizar el cumplimiento del Reglamento (UE) 2016/679 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales, la normativa vigente en materia de protección de datos en el ámbito de actuación de la mutua y el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad (ENS) en el ámbito de la Administración Electrónica, todo ello articulado bajo el Sistema de Gestión de la Seguridad de la Información (SGSI) alineado con la norma UNE ISO/IEC 27001:2014, Asepeyo ha constituido la figura del Comité de Protección de Datos y Seguridad de la Información (en adelante el Comité).

La necesidad de abordar los aspectos relacionados con la privacidad de datos y la seguridad de la información de forma holística e integrada (perspectiva legal, técnica, organizativa, operativa, etc.) motivan la constitución de este Comité multidisciplinar. Este Comité, designado y aprobado por la Dirección de la Mutua, es la figura competente en el ámbito de la protección de datos y la seguridad de la información.

Este Comité asume las competencias que tiene designadas la figura del Responsable de Seguridad y la del Delegado de Protección de Datos (DPD) en el ámbito del Reglamento General de Protección de Datos (RGPD). Sin perjuicio de ello, el rol de Delegado de Protección de Datos (DPD), a efectos de contacto con las Autoridades de Control, recae en el Director del área de Ciberseguridad y Riesgos TIC.

Las principales características de este Comité son:

A. Objetivos

Los objetivos del Comité son:

Disponer de un órgano único, centralizado y multidisciplinar para la gestión de los aspectos relacionados con la privacidad de datos y la seguridad de la información
Facilitar la comunicación y coordinación entre las distintas partes implicadas (se trata de aspectos transversales a toda la organización)
Poner a disposición de toda la organización un punto de referencia único para tratar las cuestiones relacionadas con este ámbito

B. Funciones

El Comité se encarga principalmente de las siguientes funciones:

Desarrollar, revisar y aprobar la Política de Protección de Datos y Seguridad de la Información corporativa así como la normativa de seguridad que se deriva de la misma.
Definir las medidas y los controles de seguridad en el ámbito técnico, legal, operativo y/o organizativo necesarios y adecuados para satisfacer los requisitos establecidos en la normativa de seguridad.
Coordinar y supervisar la implantación de las medidas y controles de seguridad que se establezcan en la normativa de seguridad.
Planificar, analizar y revisar los informes de auditoría realizados, tanto internos como externos, y proceder a la ejecución de las recomendaciones y propuestas de mejora.
Revisar y validar periódicamente el análisis de riesgos de los activos de información. Elaborar y aplicar el oportuno plan de tratamiento de riesgos.
Analizar las incidencias y/o incumplimientos que se produzcan en materia de privacidad de datos y seguridad de la información. De este análisis se propondrán las oportunas medidas preventivas, correctoras y/o de otra índole.
Implicar y concienciar a toda la organización en la interpretación/comprensión de la normativa de seguridad.
Atender a las modificaciones legislativas, así como a las instrucciones, recomendaciones, resoluciones, etc. emitidas por la Agencia Española de Protección de Datos (AEPD) u otros reguladores.
Reportar periódicamente a la Dirección de ASEPEYO el estado y evolución de la mutua en el ámbito de la privacidad de datos y seguridad de la información

En el manual de Funciones y Obligaciones del personal se describen con mayor detalle las funciones que desempeña.

C. Composición

La composición permanente del Comité de Seguridad de la Información es:

Director Área Funcional Documentación e información sanitaria (Dirección Asistencia Sanitaria)
Directora Contratación
Subdirector Recursos Humanos
Director Asesoría Jurídica
Gerente Hospital Coslada
Director Adjunto Dirección de Tecnologías de la Información y Comunicación
Director Área Funcional CiberSeguridad y Riesgos TIC

La composición del Comité será revisada y aprobada con una periodicidad anual.

En la Política de Protección de Datos y Seguridad de la Información se puede encontrar la dependencia del comité en el organigrama.

En función de los temas a tratar el Comité podrá ampliar el número de asistentes con personal clave de otras direcciones. Del mismo modo, la asistencia al Comité está abierta a cualquier dirección, área o departamento de la mutua que requiera tratar algún tema específico de su ámbito funcional (contactar previamente con el Comité).

D. Reuniones y convocatorias

El Comité se reunirá de forma ordinaria con una periodicidad trimestral. Si por cualquier motivo se requiriese tratar algún tema de carácter excepcional, el Comité podrá ser convocado por cualquiera de sus miembros.

Se levantará acta de todas las reuniones del Comité. Éstas serán publicadas en la base de datos de Instrucciones y Manuales a disposición del equipo directivo.

E. Contacto con el Comité

A través de la dirección de correo electrónico COMITE SEGURIDAD INFORMACIÓN se podrán plantear todas aquellas consultas, dudas, observaciones, etc. en materia de privacidad de datos y seguridad de la información.

Alejandro Iñareta
Director Gerente

Fecha	Versión	Descripción	Autor
31/03/2014	0	Primera versión de la Circular	DIRECCION TIC AG_Director
22/04/2014	1	Se incluye la dirección de correo de contacto con el Comité y la referencia a la política de seguridad.	DIRECCION TIC AG_Director
07/07/2015	2	Se incorpora un representante de la Organización Territorial	DIRECCION TIC AG_Director
11/12/2015	3	Modificación de la periodicidad de reunión del comité. En lugar de una periodicidad trimestral, ésta pasa a ser semestral. Las funciones relacionadas con la revisión por la Dirección pasan a ser asumidas por el comité de Gestión por Procesos.	DIRECCION TIC AG_Director
26/04/2016	4	Redefinición del Comité de Seguridad de la Información como resultado de la fusión del comité SGSI y el comité LOPD.	DIRECCION TIC AG_Director
31/05/2018	5	Actualización de los miembros del comité e inclusión competencias DPD (Delegado Protección Datos). Adaptación requerimientos ENS y RGPD.	DIRECCION TIC AG_Director
04/05/2020	6	Actualización composición del Comité. Actualización firmante de la circular.	DIRECCION TIC AG_Director
09/11/2020	7	Pruebas DTIC	ZACL_Proyecto-INSTMAN