INFORME DE AUDITORÍA EN EL CUMPLIMIENTO DE LA NORMATIVA DE PROTECCIÓN DE DATOS

Nombre de la empresa: xxx

9.1        Ejemplo de informe de auditoría de cumplimiento

NOMBRE_EMPRESA_LARGO

GRUPO NOMBRE_EMPRESA_CORTO

INFORME DE AUDITORÍA DE CUMPLIMIENTO SOBRE LA LEY ORGÁNICA DE PROTECCIÓN DE DATOS (Basado en el Real Decreto 1720/2007 de 21 de Diciembre)

Informe de Auditoría de Cumplimiento

Introducción

De acuerdo con los términos de nuestra propuesta de servicios profesionales, les presentamos nuestro informe de Auditoría de cumplimiento de la Ley Orgánica de Protección de Datos, en cumplimiento de los artículos 96 y 110 del Real Decreto 1720/2007, de 21 de diciembre.

Este informe de Auditoría ha sido preparado para uso exclusivo de NOMBRE_EMPRESA_LARGO (en adelante NOMBRE_EMPRESA_CORTO o la Sociedad) y del Responsable de Seguridad de la misma, en el contexto de la Auditoría reglamentaria obligatoria de Medidas de Seguridad, por lo que no deberá ser utilizado para fines distintos al descrito ni ser distribuido, salvo a la Agencia Española de Protección de Datos (en adelante AEPD).

Objetivo

Para dar cumplimiento a la normativa vigente, y de conformidad con los artículos 96 y 110 del citado Real Decreto, hemos procedido, a solicitud de NOMBRE_EMPRESA_CORTO, a revisar la política de protección de datos de

carácter personal y a realizar la preceptiva auditoría de los Sistemas de Información e instalaciones de tratamiento de datos, al objeto de verificar, en relación con los ficheros de carácter personal declarados ante la AEPD, el cumplimento del mencionado Reglamento, así como de los procedimientos e instrucciones vigentes en materia de seguridad de los datos.

Nuestra responsabilidad es la emisión de un informe que exprese un dictamen sobre la adecuación de NOMBRE_EMPRESA_CORTO a las medidas y controles definidos en el Reglamento de Desarrollo de la Ley Orgánica de Protección de Datos, identificar sus deficiencias y proponer medidas correctoras o complementarias necesarias. Adicionalmente, nuestro informe incluye, los datos, hechos y observaciones en que se basan los dictámenes alcanzados y recomendaciones propuestas. El Responsable de Seguridad deberá elevar las conclusiones al responsable de los ficheros para que se adopten las medidas correctoras adecuadas.

Objetivos específicos

El objetivo específico del trabajo es la revisión de los diferentes aspectos relativos a las medidas de seguridad requeridas por el Reglamento anteriormente mencionado.

En el ámbito del tratamiento automatizado de datos de carácter personal, las áreas sujetas a revisión han sido:

• Niveles de seguridad y ficheros

• Encargado de tratamiento

• Prestación de servicios sin acceso a datos

• Delegación de autorizaciones

• Acceso a datos a través de redes

• Régimen de trabajo fuera de los locales

• Ficheros temporales

• Documento de Seguridad

• Funciones y obligaciones del personal

• Gestión y registro de incidencias

• Control de acceso

• Gestión de soportes y documentos

• Identificación y autenticación

• Copias de respaldo y recuperación

• Responsable de Seguridad

• Auditoría

• Control de acceso físico

• Registro de accesos

• Telecomunicaciones

Por otro lado, en el ámbito del tratamiento no automatizado de datos de carácter personal, las áreas sujetas a revisión han sido:

• Niveles de seguridad y ficheros

• Encargado de tratamiento

• Prestación de servicios sin acceso a datos

• Delegación de autorizaciones

• Régimen de trabajo fuera de los locales

• Documento de Seguridad

• Funciones y obligaciones del personal

• Gestión y registro de incidencias

• Control de acceso

• Gestión de soportes y documentos

• Criterios de archivo

• Dispositivos de almacenamiento

• Custodia de soportes

• Responsable de Seguridad

• Auditoría

• Almacenamiento

• Copia o reproducción

• Acceso a la documentación

• Traslado de la documentación

Alcance

El alcance de la revisión ha contemplado únicamente los ficheros de nivel medio/alto declarados ante la Agencia Española de Protección de Datos (en adelante AEPD) por el grupo NOMBRE_EMPRESA_CORTO, y que son enumerados a continuación, con números de inscripción, nivel de seguridad y tratamiento de acuerdo con el artículo 80 del Real Decreto 1720/2007, de 21 de diciembre. Asimismo, se ha asignado un identificador corto a cada fichero (columna IDENT) que identificará los ficheros en algunos de los apartados del presente documento.

Metodología

La metodología empleada para la realización del presente trabajo, ha consistido en:

• Preparación  previa:  el  trabajo  de  auditoría  se  ha  iniciado  con  un

análisis de la documentación facilitada por NOMBRE_EMPRESA_CORTO a partir de la que se ha planificado la revisión conjuntamente con los responsables del proyecto de la Sociedad.

• Desarrollo de la revisión: se han validado los procedimientos descritos en el Documento de Seguridad, se han realizado las pruebas y comprobaciones necesarias y se ha procedido a realizar las entrevistas necesarias a fin de analizar las funciones de cada área y departamento y asegurar que se adecuan a la normativa y a la definición de ficheros con datos personales que tiene NOMBRE_EMPRESA_CORTO.

• Entrevistas: las personas de EMPRESA_AUDITORA que ha participado en la auditoría se han entrevistado con diferentes

responsables de área y departamento de NOMBRE_EMPRESA_CORTO, con la finalidad de revisar la actual declaración de ficheros así como detectar posibles nuevos ficheros o aspectos de mejora a ser considerados en el presente informe.

...