Dicho documento deberá mantenerse siempre actualizado, incluyendo al menos el siguiente contenido:
- Los datos que identifican a la empresa, con el detalle de sus servicios.
- Detalle los expedientes que tiene la empresa en relación, por ejemplo, con sus clientes, empleados, cámaras de videovigilancia. Se deberá detallar el tipo y finalidad de uso de todos los datos personales incluidos en los ficheros.
- Para asegurar un adecuado cumplimiento, se definirá desde un inicio un responsable de seguridad, quien actualizará el documento con las medidas, estándares y procedimientos.
- Establecer las funciones y obligaciones del personal de la empresa.
- Describir un sistema de tratamiento de datos, incluyendo la forma en que se tratan los datos, diferenciando el tipo de soporte: informático o en papel, los tipos de información que se tratan, los niveles de seguridad del fichero, que pueden ser básicos, medio o alto.
- Incluir un procedimiento de notificación y respuesta a las incidencias que puedan producirse. El responsable de seguridad creará un registro de incidencias y establecerá un procedimiento de recuperación de datos.
- Realizar un inventario con soportes que incluyan datos de carácter personal, manteniendo un registro tanto de soportes informáticos como documentales.
- Redactar un procedimiento uniforme de generación y distribución de contraseñas para toda la empresa.
- Establecer, en función del tipo de datos que se gestionen, las medidas de seguridad adecuadas: destructoras de documentos, candados en oficinas y armarios, contraseñas caducadas, copias de seguridad.
- Incluir una relación de los encargados del tratamiento que tratan datos, identificándolos, delimitando su tratamiento y plazo de vigencia del tratamiento. En este caso, puede ser una agencia, la empresa que se ocupa del mantenimiento de los equipos informáticos o cualquier otra entidad que tenga acceso a los datos personales.
- Crear una lista del personal de la empresa que puede acceder a los datos protegidos y especificar sus funciones, detallar sus responsabilidades, así como establecer sus límites de acceso.
- Establecer controles periódicos para verificar el cumplimiento de lo establecido en el propio documento.
- La empresa tendrá la responsabilidad de divulgar las normas de seguridad entre el personal, especificando las funciones y obligaciones mediante formación específica o algún medio que garantice su conocimiento por parte de todos los empleados.
