Universidad Internacional de la Rioja

Máster Universitario en Seguridad Informática

Aspectos legales y regulatorios

Actividad No. 1: Elaboración de una evaluación de impacto de datos personales (EIPD)

Estudiante: Javier Leonardo Díaz García

Contenido
1. ACTIVIDAD PROPUESTA .................................................................................................................... 2
2. DESARROLLO................................................................................................................................... 2
2.1. Ciclo de vida de los datos: ........................................................................................................ 2
2.1.1. Recolección de datos:.......................................................................................................... 2
2.1.2. Uso de datos en cada proceso: ............................................................................................. 3
2.2. Gestión del riesgo de los datos personales ................................................................................. 4
2.2.1. Información de datos personales .......................................................................................... 4
2.2.2. Identificación de activos de información ................................................................................ 4
2.2.3. Gestión del riesgo ............................................................................................................... 5
2.2.4. Evaluación de Impacto de Protección de Datos....................................................................... 6
1. ACTIVIDAD PROPUESTA

El trabajo consiste en la elaboración de una EIPD. Para ello tendrás que tener en cuenta las siguientes
cuestiones:

- Debes partir del siguiente supuesto de hecho: una clínica dental situada en España utiliza determinado
software de gestión de pacientes instalado en modo local. La empresa SW System S.L es la proveedora
del mismo, a la vez la encargada de efectuar su mantenimiento.

- El propietario de la clínica ha decidido cambiar dicho software por el de la empresa No problem S. L.

que además se entrega en modo software como Servicio (SaaS), proporcionando ella misma el
alojamiento cloud para los datos siendo la sede física del alojamiento de estos un CPD que se
encuentra en España. La denominación social No problema S.L. está registrada también en España.

- El resto de los datos que se requieran pueden ser ficticios e inventados porque lo relevante es el
aprendizaje de la mecánica o proceso de elaboración.

Debe emitirse un informe de evaluación de impacto.

2. DESARROLLO

Según la metodología relacionada en el material de ayuda, es necesario verificar primero el contexto de la

organización y sus necesidades. Debido a lo anterior, se asumirá que la clínica dental tiene definidos los
siguientes procesos:

Procesos Estratégicos
• Planeación estratégica (PE)
Procesos Misionales

• Gestión Comercial (GC)

• Odontología (OD)
Procesos de apoyo

• Talento Humano (TH)

• Compras (CI)
• Contabilidad y tesorería (CT)
• Administrativo (AD)

2.1. Ciclo de vida de los datos:

2.1.1. Recolección de datos:

 Herramientas de recolección de datos personales:

La recolección de datos personales en la clínica dental se realiza a través de dos formularios que los pacientes
tienen que llenar con su información personal:
 - Formulario de vinculación de pacientes, que se diligencia una vez el paciente haya aceptado las
condiciones comerciales y de tratamiento.
- Formulario de contacto en página Web, en el que los pacientes solicitan información a la clínica y
facilitan sus datos de contacto

 Procesos implicados en la recolección:

Los siguientes son los procesos que están implicados en la recolección de datos personales:

- Gestión comercial
- Administrativo

 Tipos de datos recolectados:

Se recopilan los siguientes datos de los pacientes:

- Nombres y apellidos
- No. de identificación
- Dirección de residencia
- Número telefónico de contacto (fijo o móvil)
- Estado Cartera y/o pagos
- Fotografía
- Historia clínica del paciente (Considerados como datos delicados)

Nota: Se debe tener en cuenta que los pacientes pueden ser niños menores de 13 años, debido a la actividad
comercial de la organización.

2.1.2. Uso de datos en cada proceso:

A continuación, se describirá que uso se da a los datos personales de los pacientes en cada proceso:

 Gestión comercial

- Contactar con los pacientes para conocer los resultados y el nivel de conformidad con los
procedimientos realizados, además de ofrecer productos o servicios adicionales.

 Odontología

- Llevar la trazabilidad de los tratamientos, productos o servicios específicos realizados a cada uno de
los pacientes (Historias Clínicas)

 Administrativo

- Este proceso ingresa los datos al sistema desde el formulario de vinculación y es el que lleva la
trazabilidad, además del control de los aspectos administrativos relacionados con los pacientes.

 Contabilidad y tesorería

- Verificación de estado de pagos de los pacientes

2.2. Gestión del riesgo de los datos personales

2.2.1. Información de datos personales

Para la actividad se definió que la información de los pacientes es a la que se debe aplicar el tratamiento y
realizar la gestión de riesgos informáticos. Esta información se encuentra principalmente en tres archivos:

ID Nombre Ubicación Tipo

BD_001 Base de datos clínica digital de pacientes Servidor Local Digital
BD_002 Base de datos financiera digital de pacientes Servidor Local Digital
BD_003 Carpetas con formularios de vinculación Archivador Confidencial Física
BD_004 Base de datos formulario página web Servidor Local Digital

Específicamente en el eje006Dplo de la actividad, se va a contratar un servicio SaaS, por ende, se debe

contemplar de una vez la información que este va a tratar.

ID Nombre Ubicación Tipo

Base de datos clínica digital de pacientes -
BD_005 Servidor Web (Proveedor) Digital
Nube
Base de datos financiera digital de pacientes -
BD_006 Servidor Web (Proveedor) Digital
Nube

Los plazos de conservación de estas bases de datos, serán de 4 años a partir de su recolección.

2.2.2. Identificación de activos de información

En este punto, se debe definir los siguientes aspectos:

- ¿Dónde se encuentra almacenada la información?

- ¿Qué sistemas intervienen en el uso, procesamiento y almacenamiento de esta información?
- ¿El personal que accede y utiliza esta información se encuentra debidamente informado y capacitado
para tener en cuenta los aspectos de seguridad necesarios?
- ¿Qué riesgos corre esta información en términos de confidencialidad, accesibilidad e integridad?
- ¿Cuál o cuales son las medidas de seguridad definidas para los archivos, sistemas y personal que tienen
relación con los activos de información?

Una vez definidos, podemos organizar la información en una tabla de gestión de activos de informáticos, que
para este caso se centrará únicamente en los datos personales de los pacientes:

ID Nombre Descripción Responsable Tipo Critico

Servidor local en donde se encuentra
instalada la aplicación de gestión de
pacientes.

001 Servidor 01 En este servidor también se encuentra SW System S.L Físico-Local Sí

la página web, por ende, acá se
almacenan los datos de contacto de
personas que han diligenciado el
formulario Web.
 Carpetas que contienen todos los
002 Carpetas FV formatos de vinculación de los Asistente Admin Físico-Papel No
pacientes con su información.
Servidor del nuevo proveedor que
Servidor mediante su aplicación SaaS, realizará el
003 No problem S. L. Físico-Nube Si
“Nube” procesamiento, análisis y
almacenamiento de la información
Mediante estos equipos, el personal de
Equipos de los diferentes procesos accede a la Personal
004 acceso a información almacenada, para su designado por la Físico - Local No
servidores posterior uso, dependiendo de las clínica
funciones y tareas asignadas.

2.2.3. Gestión del riesgo

En esta etapa, verificaremos los diferentes riesgos a los que está expuesta la información de los pacientes en
cada uno de los activos identificados y además las diferentes medidas que se encuentran implementados en la
organización para mitigarlos total o parcialmente:

ID Riesgo Tratamiento Aspecto afectado

-Cláusulas específicas de encargado de tratamiento de
datos con el proveedor
Robo o modificación de la
-Revisión periódica del soporte y mantenimiento Confidencialidad
información por parte del
realizado al servidor. Integridad
personal de soporte.
-Procedimiento de selección y evaluación de
proveedores para garantizar que sea idóneos
001
-Gestión de usuarios con permisos específicos a la
Acceso a información por
información de los pacientes.
parte del personal no Confidencialidad
-Cláusulas de confidencialidad con los empleados, según
autorizado
el tipo de información que requieran utilizar
Pérdida de información por
-Procedimientos periódicos de BackUp Accesibilidad
daño o robo del equipo
Pérdida o daño de -Puerta contra incendio de armario
información debida a daños -Digitalización de archivos cada 2 meses, guardado en Accesibilidad
físicos servidor Local
002
Acceso a información por
-Medidas físicas para evitar intrusión de personal no Confidencialidad
parte del personal no
autorizado a la información Integridad
autorizado
Robo o modificación de la
-Procedimiento de selección y evaluación de
información por parte del
proveedores que garantiza la correcta identificación de
personal de soporte.
necesidades y cumplimiento de requerimientos de Confidencialidad
Acceso a información por
003 idoneidad de los di referentes proveedores. En este caso Integridad
parte del personal no
el del aplicativo tipo SaaS. Accesibilidad
autorizado
-Clausulas de responsabilidad y asignación como
Pérdida de información por
encargado del tratamiento de datos (No en su totalidad)
daño o robo del equipo
-Capacitación para concientización del personal con
Acceso, robo o modificación respecto a la seguridad de la información.
Confidencialidad
004 por parte de personal no -Políticas de gestión de usuarios y contraseñas seguras.
Integridad
autorizado -Política de cierre de sesión periódico para evitar
accesos no autorizados.
2.2.4. Evaluación de Impacto de Protección de Datos

Una vez que la metodología de gestión del riesgo está definida y el flujo de información, se ingresa la
información a la aplicación Sandas GRC, con el fin de obtener la Evaluación de Impacto de Protección de Datos,
el cual se encuentra como anexo a la actividad.