BOLETÍN OFICIAL DEL ESTADO
Miércoles 20 de septiembre de 2023

Sec. III. Pág. 127709

– Se garantizará la confidencialidad de las contraseñas, evitando que queden
expuestas a terceros. En ningún caso se compartirán las contraseñas ni se
dejarán anotadas en lugar común y el acceso de personas distintas del usuario.
– Actualización de ordenadores y dispositivos. Los dispositivos y ordenadores
utilizados para el almacenamiento y el tratamiento de los datos personales
deberán mantenerse actualizados en la media posible.
– En los ordenadores y dispositivos donde se realice el tratamiento de los
datos personales, se dispondrá de un sistema de antivirus que garantice en la
medida posible el robo y destrucción de la información y datos personales. El
sistema de antivirus deberá ser actualizado de forma periódica.
– Para evitar accesos remotos indebidos a los datos personales, se velará
para garantizar la existencia de un cortafuegos activado en aquellos sistemas en
los que se realice el almacenamiento y/o tratamiento de datos personales.
– Cuando se precise realizar la extracción de datos personales fuera del
recinto donde se realiza su tratamiento, ya sea por medios físicos o por medios
electrónicos, se deberá valorar la posibilidad de utilizar un método de cifrado para
garantizar la confidencialidad de los datos personales en caso de acceso indebido
a la información.
– En la parte del flujo de trabajo de cada Encargado del Tratamiento y como
refuerzo al apartado a), periódicamente se realizará una copia de seguridad en un
segundo soporte distinto del que se utiliza para el trabajo diario. La copia se
almacenará en lugar seguro, distinto de aquél en que esté ubicado el equipo con
los ficheros originales, con el fin de permitir la recuperación de los datos
personales en caso de pérdida de la información. La copia de seguridad debe
estar encriptada.
– Se deberá evitar el acceso de personas no autorizadas a los datos
personales, a tal fin se evitará: dejar los datos personales expuestos a terceros
(pantallas electrónicas desatendidas, documentos en papel en zonas de acceso
público, soportes con datos personales, etc.), esta consideración incluye las
pantallas que se utilicen para la visualización de imágenes del sistema de
videovigilancia, si lo hubiera. Cuando la persona se ausente del puesto de trabajo,
procederá al bloqueo de la pantalla o al cierre de la sesión.
– Los documentos en papel y soportes electrónicos se almacenarán en lugar
seguro (armarios o estancias de acceso restringido) durante las 24 horas del día, y
serán custodiados cuando, con motivo de su tramitación, se encuentren fuera de
los dispositivos o salas de archivo.
– No se desecharán documentos (papel) o soportes electrónicos (cd, pen
drives, discos duros, etc.) con datos personales sin garantizar su destrucción, de
forma que la información no sea recuperable.
Elementos del tratamiento.
El tratamiento de los Datos Personales comprenderá: registro (grabación),
estructuración, modificación, consulta, interconexión (cruce), cotejo, supresión,
destrucción (de copias temporales), conservación (en sus sistemas de
información), copia de seguridad y recuperación.
Disposición de los datos al finalizar la colaboración.
a) Una vez finalice la vigencia del convenio, el encargado (y sus
subencargados implícitamente) deben: devolver al responsable del tratamiento los
datos de carácter personal y, si procede, los soportes donde consten, una vez
cumplida la prestación. La devolución debe comportar el borrado total de los datos
existentes en los equipos informáticos utilizados por el encargado. No obstante, el
encargado puede conservar una copia, con los datos debidamente bloqueados,
mientras puedan derivarse responsabilidades de la ejecución de la prestación.

cve: BOE-A-2023-19756
Verificable en https://www.boe.es

Núm. 225