Documento de seguridad de datos personales (medidas obligatorias del Reglamento D.S. 016-2024-JUS)

DOCUMENTO DE SEGURIDAD DE DATOS PERSONALES

[RAZÓN SOCIAL] · RUC [número]

VersiónAprobado porFecha de aprobaciónFecha cierta

[1.0][Gerencia general / Directorio][fecha][legalización notarial / firma digital con sello de tiempo del [fecha]]

1. OBJETO Y ALCANCE

Este documento establece las medidas de seguridad técnicas, organizativas y legales para proteger los datos personales que trata [RAZÓN SOCIAL], en soporte digital y en papel. Es de cumplimiento obligatorio para todos los trabajadores, practicantes y proveedores con acceso a los sistemas o archivos. Su incumplimiento constituye falta laboral o incumplimiento contractual, según corresponda.

2. RESPONSABLES

RolNombre / cargoFunciones

Titular del banco de datos[RAZÓN SOCIAL]Aprueba este documento y provee recursos.

Oficial de datos personales[nombre]Supervisa el cumplimiento, atiende consultas e incidentes.

Responsable de TI[nombre / proveedor]Implementa las medidas técnicas.

Jefes de área[cargos]Autorizan accesos de su personal y verifican su cumplimiento.

3. INVENTARIO DE DATOS PERSONALES Y SISTEMAS

El inventario detallado se mantiene en el anexo 1 (puedes usar el "Inventario de bancos de datos personales" en Excel de esta misma sección). Resumen:

Banco de datos / procesoSistema o soporte¿Datos sensibles?Área dueña

[Trabajadores][Sistema de planillas / file físico][Sí: salud][RR. HH.]

[Clientes][ERP / CRM][No][Comercial]

[Videovigilancia][DVR / nube][No][Seguridad]

4. CICLO DE VIDA DEL DATO

1. Recopilación: solo los datos necesarios, con información al titular y consentimiento cuando se requiere.

2. Uso: solo para las finalidades informadas, por personal autorizado.

3. Conservación: durante los plazos de la Política de conservación y destrucción de documentos.

4. Eliminación: vencido el plazo, se eliminan de forma segura (sección 8).

5. GESTIÓN DE ACCESOS Y PRIVILEGIOS

1. Cada usuario tiene una cuenta personal e intransferible. Se crea con la autorización escrita del jefe de área y se da de baja el mismo día del cese; se suspende durante vacaciones o licencias prolongadas.

2. Identificación y autenticación con usuario y contraseña robusta [mínimo 12 caracteres, cambio cada [90] días] [y segundo factor para accesos remotos y cuentas privilegiadas].

3. Los privilegios se asignan según la función (mínimo necesario).

4. Revisión semestral de privilegios: cada [enero y julio], TI y los jefes de área verifican que cada usuario tenga solo los accesos que necesita, y se deja constancia en un acta.

6. REGISTROS DE ACCESO (LOGS)

Los sistemas que tratan datos personales registran: cuenta de usuario, inicio y fin de sesión, y las acciones de visualizar, modificar, eliminar, importar y exportar datos. Los registros son legibles, se protegen contra modificaciones y se conservan al menos dos años. [Responsable] los revisa [mensualmente] en busca de accesos anómalos.

7. RESPALDOS

Se realizan copias de respaldo [diarias / al menos semanales] de [sistemas], que se guardan en [ubicación distinta / nube con cifrado]. Cada [trimestre] se prueba la recuperación de una copia y se deja constancia.

8. EQUIPOS, ÁREAS Y ELIMINACIÓN SEGURA

1. Los servidores y archivos están en áreas de acceso restringido.

2. Ningún equipo sale de la empresa sin autorización. Política de escritorio y pantalla limpios: bloquear el equipo al ausentarse y no dejar documentos con datos a la vista.

3. Antes de desechar, vender o reasignar un equipo o medio de almacenamiento, se borra o sobrescribe la información de forma que no pueda recuperarse, y se registra.

4. Los datos que salen de la empresa (USB, correo, nube) requieren autorización y se envían cifrados.

5. Uso de mensajería, correos y redes sociales no institucionales para datos personales: [prohibido / solo las herramientas aprobadas: [lista]].

9. DOCUMENTOS EN PAPEL

1. Se guardan en archivadores con llave o ambientes cerrados; solo el personal autorizado los consulta y copia.

2. Se registra quién retira y devuelve expedientes con datos sensibles.

3. Las copias y documentos que se desechan se destruyen con trituradora o servicio de destrucción certificada, sin posibilidad de recuperarlos.

10. PROVEEDORES

Los proveedores que tratan datos por encargo de la empresa firman un contrato de encargo de tratamiento. Los que no necesitan acceder a datos personales tienen acceso restringido y una cláusula de confidencialidad.

11. INCIDENTES DE SEGURIDAD

Todo incidente que afecte datos personales se reporta de inmediato al oficial de datos personales y se documenta en el registro de incidentes (hechos, efectos y medidas adoptadas), aunque no deba notificarse. Se sigue el Procedimiento de gestión de incidentes y brechas de datos personales. Si el incidente afecta grandes volúmenes de datos o datos sensibles, se notifica a la Autoridad Nacional de Protección de Datos Personales dentro de las 48 horas de conocido y, cuando corresponda, se informa a los titulares afectados (art. 34 del Reglamento). Los encargados del tratamiento avisan a la empresa de inmediato (art. 36).

12. CAPACITACIÓN, CONTROL Y ACTUALIZACIÓN

El personal recibe capacitación al ingresar y al menos [una vez al año], según su rol. [Responsable] verifica periódicamente el cumplimiento de estas medidas. Este documento se revisa [anualmente] y cuando cambian los sistemas, procesos o riesgos; cada versión se aprueba formalmente y obtiene fecha cierta.

_______________________________ [Nombre] · [Gerente general / Presidente del directorio] APROBADO POR_______________________________ [Nombre] OFICIAL DE DATOS PERSONALES

NOTAS PARA ADAPTAR ESTE MODELO (elimina esta página antes de aprobarlo) Obligación. El documento de seguridad debe estar aprobado formalmente, contar con fecha cierta y mantenerse actualizado; debe incluir la gestión de accesos y privilegios, las políticas del ciclo de vida del dato y un inventario de datos y sistemas que identifique los datos sensibles (art. 47 del Reglamento). Puede remitirse a la NTP-ISO/IEC 27001. Medidas mínimas. Revisión semestral de privilegios (art. 46.1.c); logs por al menos dos años (art. 46.3); respaldos al menos semanales con prueba de recuperación (art. 51); borrado seguro antes de desechar o reutilizar equipos (art. 50); cifrado y autorización para el traslado de datos (art. 52); custodia y destrucción del papel (arts. 53 a 56). Fecha cierta. Puede obtenerse ante notario, por publicación fechada u otros medios técnicos fiables (art. 58). Lo que no es obligatorio. El Reglamento no exige una periodicidad fija de revisión del documento ni un "registro de actividades" al estilo europeo; la revisión anual y el inventario detallado son buenas prácticas. La evaluación de impacto es facultativa (art. 40), pero recomendable para datos sensibles o tratamientos masivos.