ANEXO 6 1 de 5 FUNCIONES Y OBLIGACIONES DEL PERSONAL

ANEXO 6
FUNCIONES Y OBLIGACIONES DEL PERSONAL CON ACCESO A DATOS DE
CARÁCTER PERSONAL
Responsable del Fichero
HOSPITALINTERMUTUAL DE LEVANTE
Responsable de Seguridad
D. Federico Beltrán Carbonell
El propósito de esta norma es informar a todos los empleados del HOSPITAL
INTERMUTUAL DE LEVANTE (en adelante HIL) así como a los usuarios autorizados
aunque no medie relación laboral con el Hospital, que tengan acceso al sistema de
información y ficheros, informáticos o en papel, con datos de carácter personal, de sus
funciones y obligaciones con respecto al Sistema de Seguridad de protección
de datos personales implantado en el HIL.
Esto cubre el acceso para el uso de ordenadores, redes de ordenadores, programas de
software, archivos de ordenador, e-mail y fichero no automatizados (en papel)
Todo el personal debe conocer que:
 La Ley Orgánica de Protección de Datos (LOPD), del 13 de diciembre de
1999, establece los requisitos y medidas de seguridad que deben cumplirse para
el tratamiento de datos de carácter personal.
 La LOPD recoge los derechos de los titulares de los datos, que deben ser
respetados por todos los Organismos públicos o privados que manejan datos de
carácter personal. Entre los más importantes destacan el principio de calidad y los
derechos de acceso, rectificación, cancelación y oposición.
 El principio de calidad de la LOPD implica que los datos se pueden recoger o
solicitar al afectado, cuando sean adecuados, pertinentes y no excesivos en
relación con el ámbito y las finalidades determinadas, explícitas y legítimas para
los que se solicitan.
 Derecho de Información: El personal de la empresa que solicite datos de
carácter personal, para ser almacenados o tratados en los sistemas de
información, deberá de informar al afectado previamente, de modo expreso,
preciso e inequívoco
a) De la existencia de un fichero o tratamiento de datos de carácter personal
b) De la finalidad de la recogida de éstos
c) De los destinatarios de la información.
d) De la posibilidad de ejercitar los derechos de acceso, rectificación,
cancelación y oposición.
e) De la identidad y dirección de la Organización Responsable del Fichero
Este derecho de información deberá incluirse en los formularios o contratos
utilizados para la recogida de datos personales.
 Todo el personal debe ofrecer al afectado, la posibilidad de consultar qué datos se
tratan, cumpliendo así el derecho de acceso gratuito. Cuando el interesado
solicite acceder a sus datos (Derecho de Acceso), el personal que recoja la
1 de 5
ANEXO 6
solicitud (vía teléfono, carta, o email) la trasladará al Responsable de Seguridad,
para atender y responder al interesado su petición.
 Todo el personal debe ofrecer al afectado, la posibilidad de Rectificar o Corregir
gratuitamente, los datos inexactos que se encuentren en sus ficheros. Cuando el
interesado ejerza este derecho, el personal que recoja la solicitud (vía teléfono,
carta, o email), podrá rectificar el dato inexacto si tiene permisos de acceso, o
trasladará la petición al Responsable de Seguridad, para atender y responder al
interesado.
 Todo afectado o interesado al que se hayan recogido datos personales, puede
hacer uso del Derecho de Cancelación. Por ello cuando un cliente, proveedor o
empleado, lo solicite, puede cancelar (o en su caso bloquear) sus datos de un
fichero, aunque previamente hubiese autorizado su tratamiento. El personal que
recoja la solicitud la trasladará al Responsable de Seguridad, para atender y
responder al interesado.
Todo el personal tiene obligación de:
 Garantizar que la información que se muestra en pantalla del ordenador, o sobre
la mesa de trabajo, no pueda ser visible por personas no autorizadas. Esto implica
que tanto las pantallas como las impresoras u otro tipo de dispositivos conectados
al puesto de trabajo deberán estar físicamente ubicados en lugares que garanticen
esa confidencialidad.
 Cuando el responsable de un puesto de trabajo lo abandone, bien temporalmente
o bien al finalizar su turno de trabajo, deberá dejarlo en un estado que impida la
visualización de los datos protegidos. Esto podrá realizarse a través de un
protector de pantalla que impida la visualización de los datos. La reanudación del
trabajo implicará la desactivación de la pantalla protectora con la introducción de
la contraseña correspondiente.
 En el caso de las impresoras deberá asegurarse de que no quedan documentos
impresos en la bandeja de salida que contengan datos protegidos. Si las
impresoras son compartidas con otros usuarios no autorizados para acceder a los
datos de Fichero, los responsables de cada puesto deberán retirar los documentos
conforme vayan siendo impresos.
 Es de obligación de todo el personal comunicar al Responsable de Seguridad las
solicitudes de derecho de acceso, rectificación o cancelación. Estas serán
atendidas y contestadas por escrito, a través del Responsable de Seguridad.
 Los usuarios tienen la obligación de pedir permiso al Responsable de Seguridad
para la salida de los soportes (automatizados o no), incluido el envío de
documentos por email, que contengan datos de carácter personal, fuera de los
locales en los que esté ubicado el fichero.
 Toda la documentación de un expediente o fichero en papel con datos personales se
almacenará en archivos o locales bajo llave y la persona que se encuentre al cargo
de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida
por persona no autorizada.
 Es obligación de todo el personal, comunicar inmediatamente al Responsable de
Seguridad cualquier incidencia que se produzca en los sistemas de información
automatizados o no, a que tengan acceso, entendiendo como incidencia, cualquier
2 de 5
ANEXO 6
anomalía que afecte o pueda afectar a la seguridad de los datos, pérdidas de
datos, etc.
 El sistema informático, y los terminales utilizados por cada usuario son propiedad
de la empresa y su uso se limitará a los temas directamente relacionados con la
actividad de la misma y los cometidos del puesto de trabajo del usuario.
ACCESO A INTERNET
 El uso del sistema informático del HIL para acceder a redes públicas como
Internet, se limitará a los temas directamente relacionados con la actividad de
HILy los cometidos del puesto de trabajo del usuario.
 El acceso a debates en tiempo real (Chat / IRC) es especialmente peligroso, ya
que facilita la instalación de utilidades que permiten accesos no autorizados al
sistema, por lo que su uso queda estrictamente prohibido.
 El acceso a páginas web (WWW), grupos de noticias (Newsgroups) y otras fuentes
de información como FTP, etc. se limita a aquéllos que contengan información
relacionada con la actividad del HIL o con los cometidos del puesto de trabajo del
usuario.
 El HIL se reserva el derecho de monitorizar y comprobar, de forma aleatoria y sin
previo aviso, cualquier sesión de acceso a Internet iniciada por un usuario de la
red corporativa.
 Cualquier fichero introducido en la red corporativa o en el terminal del usuario
desde Internet, deberá cumplir los requisitos establecidos en estas normas y, en
especial, las referidas a propiedad intelectual e industrial y a control de virus
USO DEL CORREO ELECTRONICO
 El sistema informático, la red corporativa y los terminales utilizados por cada
usuario son propiedad del HIL
 Queda prohibido intentar leer, borrar, copiar o modificar los mensajes de correo
electrónico o archivos de otros usuarios. (Esta actividad puede constituir un delito
de interceptación de las telecomunicaciones, previsto en el artículo 197 del Código
Penal).
 Queda prohibido enviar o reenviar mensajes en cadena o de tipo piramidal.
 Cualquier fichero introducido en la red corporativa o en el terminal del usuario a
través de mensajes de correo electrónico que provengan de redes externas deberá
cumplir los requisitos establecidos en estas normas y, en especial, las referidas a
propiedad intelectual e industrial y a control de virus.
 La entidad se reserva el derecho de revisar, sin previo aviso, los mensajes de
correo electrónico de los usuarios de la red corporativa, con el fin de comprobar el
cumplimiento de estas normas y prevenir actividades que puedan afectar a la
entidad como responsable civil subsidiario.
CONFIDENCIALIDAD DE LA INFORMACION
 Toda la información albergada en la red corporativa del HIL, de forma estática o
circulando en forma de mensajes de correo electrónico, es propiedad del HIL y
tiene el carácter de confidencial.
 Tendrán el carácter de información especialmente reservada los secretos
industriales o comerciales del HIL, en los que se incluyen, sin carácter limitativo,
los procedimientos, metodologías, código fuente, algoritmos, bases de datos de
3 de 5
ANEXO 6
clientes, planes de marketing, y cualquier otro material que forma parte de la
estrategia industrial o comercial del HIL.
 El usuario está obligado a utilizar la red corporativa y la intranet del HIL y sus
datos sin incurrir en actividades que puedan ser consideradas ilícitas o ilegales.
 Queda prohibido enviar información confidencial del HIL al exterior, mediante
soportes materiales, o a través de cualquier medio de comunicación, incluyendo la
simple visualización o acceso.
 Los usuarios de los sistemas de información corporativos deberán guardar, por
tiempo indefinido, la máxima reserva y no divulgar ni utilizar directamente ni a
través de terceras personas o empresas, los datos, documentos, metodologías,
claves, análisis, programas y demás información a la que tengan acceso durante
su relación laboral con el HIL y empresas pertenecientes al grupo, tanto en
soporte material como electrónico. Esta obligación continuará vigente tras la
extinción del contrato laboral.
 Ningún colaborador deberá poseer, para usos no propios de su responsabilidad,
ningún material o información propiedad del HIL, tanto ahora como en el futuro.
 En el caso de que, por motivos directamente relacionados con el puesto de
trabajo, el empleado entre en posesión de información confidencial bajo cualquier
tipo de soporte, deberá entenderse que dicha posesión es estrictamente temporal,
con obligación de secreto y sin que ello le irrogue derecho alguno de posesión, o
titularidad o copia sobre la referida información. Asimismo, el trabajador deberá
devolver dichos materiales al HIL, inmediatamente después de la finalización de
las tareas que han originado el uso temporal de los mismos, y en cualquier caso, a
la finalización de la relación laboral. La utilización continuada de la información en
cualquier formato o soporte de forma distinta a la pactada y sin conocimiento del
HIL, no supondrá, en ningún caso, una modificación de esta cláusula.
 El incumplimiento de esta obligación puede constituir un delito de revelación de
secretos, previsto en el artículo 197 y siguientes del Código Penal y dará derecho
al HIL a exigir al usuario una indemnización económica.
El trabajador de la empresa con acceso a datos de carácter personal tiene prohibido:
 Crear ficheros con datos de carácter personal sin la autorización por escrito del
Responsable del Fichero.
 Cruzar información relativa a datos de diferentes ficheros o servicios con el fin de
establecer perfiles de personalidad, hábitos de consumo o cualquier otro tipo de
preferencias, sin la autorización expresa del Responsable del Fichero.
 Cualquier otra actividad expresamente prohibida en este documento o en las
normas sobre protección de datos e Instrucciones de la Agencia de protección de
Datos.
 Comunicar o ceder datos a un tercero distinto del interesado o afectado, sin el
consentimiento por escrito del afectado, excepto cuando quede autorizada por una
Ley.
 Registrar en el sistema de información de la empresa, datos personales
especialmente protegidos como: origen racial, vida sexual, religión, creencias,
salud, afiliación sindical.
 Intentar descifrar las claves, sistemas o algoritmos de cifrado y cualquier otro
4 de 5
ANEXO 6
elemento de seguridad que intervenga en los procesos telemáticos
 Utilizar el sistema para intentar acceder a áreas restringidas de los sistemas
informáticos.
 Compartir o facilitar el identificador de usuario y la clave de acceso facilitados por
la empresa con otra persona, incluido el personal del HIL. En caso de
incumplimiento de esta prohibición, el usuario será el único responsable de los
actos realizados por la persona física o jurídica que utilice de forma no autorizada
el identificador del usuario.
 Depositar en papeleras o contenedores de basura cualquier soporte informático o
información en soporte papel sin haber sido previamente destruido de forma
ilegible o utilizando trituradoras.
 Destruir, alterar, inutilizar o de cualquier otra forma dañar los datos, programas o
documentos electrónicos deL HIL o de terceros. (Estos actos pueden constituir un
delito de daños, previsto en el artículo 264.2 del Código Penal).
 Introducir, descargar de Internet, reproducir, utilizar o distribuir programas
informáticos no autorizados expresamente por el HIL, o cualquier otro tipo de obra
o material cuyos derechos de propiedad intelectual o industrial pertenezcan a
terceros, cuando no se disponga de autorización para ello.
 Borrar cualquiera de los programas instalados legalmente.
 Utilizar los recursos telemáticos del HIL, incluida la red Internet, para actividades
que no se hallen directamente relacionadas con el puesto de trabajo del usuario,
así como introducir contenidos obscenos, inmorales u ofensivos y, en general,
carentes de utilidad para los objetivos del HIL en la red corporativa del HIL.
Procedimiento disciplinario:
Cualquier violación de las políticas, normas y/o estándares de seguridad de la
empresa están sujetas a acciones disciplinarias. La acción disciplinaria
específica depende de la naturaleza de la violación, el impacto en los activos
de información, etc. Esta acción puede conllevar desde una amonestación
verbal hasta el despido de la empresa y/o acciones legales pertinentes.
5 de 5