BOLETÍN OFICIAL DEL ESTADO
Núm. 140

Lunes 10 de junio de 2024

Sec. III. Pág. 67458

información que contienen, la forma de envío/recepción y la persona responsable para
su recepción/entrega, la cual deberá estar debidamente autorizada.
v. Copias de respaldo y recuperación. Existen procedimientos de realización de
copias de respaldo de la información. Las copias de seguridad se conservan en un lugar
diferente de donde se encuentran los equipos informáticos. Además, se definirán y
ejecutarán pruebas de recuperación de datos con una periodicidad semestral.
vi. Pruebas. Las pruebas anteriores a la implantación o modificación de los
sistemas de información que traten ficheros con datos de carácter personal no se
realizarán con datos reales, salvo que se garantice con carácter previo al tratamiento el
nivel de seguridad correspondiente al tratamiento o la información haya sido previamente
seudonimizada.
d.

Medidas de seguridad para tratamiento no automatizado de datos.

e. Gestión de incidencias de seguridad. El CSD cuenta con un plan de respuesta
ante incidentes de seguridad.
Las incidencias se reflejan en un registro en el que consta el tipo de incidencia,
momento en el que se ha producido o en su caso, detectado, persona que realiza la
notificación, a quién se comunica, los efectos que se hubiesen derivado de la misma y
las medidas correctoras aplicadas. Existe un procedimiento para la notificación de las
incidencias que afectan a los datos personales que se ajusta en plazos, y contenidos y
destinatarios de la notificación, a la legislación en vigor.
El Encargado de tratamiento acredita tener implementado un sistema de gestión de
seguridad de la información basado en la ISO 27002, con una política de seguridad y
una normativa de acuerdo con las buenas prácticas indicadas en dicha norma y
garantiza que éste es de aplicación al servicio prestado. Asimismo, manifiesta haber
obtenido la PCI-DSS de protección de datos de tarjeta.
Asimismo, en el caso que fuera necesario, el CSD realizará una evaluación del
impacto sobre la protección de los datos personales de las operaciones de tratamiento a
realizar por el Encargado de tratamiento.

cve: BOE-A-2024-11738
Verificable en https://www.boe.es

i. Control de acceso documental. CECA mantendrá un listado actualizado del
personal que tiene autorizado el acceso a documentos con los datos personales,
definiendo sus funciones y permisos de acceso, estableciendo mecanismos para evitar
que un usuario no autorizado pueda acceder a recursos con derechos distintos a los
autorizados.
ii. Gestión de documentos. Todos los documentos o sistemas de almacenamiento
de información documental de CECA que contengan datos de carácter personal
derivados del presente convenio, deberán permitir identificar el tipo de información que
contienen, ser inventariados y solo ser accesibles por personal autorizado. La salida de
documentación con datos personales deberá ser autorizada por CECA. Además, el
traslado de dicha documentación se realizará conforme a procedimientos establecidos al
efecto y deberá observar las medidas de seguridad necesarias para garantizar la
disponibilidad, integridad y confidencialidad de la información documental. La destrucción
de información documental con datos de carácter personal deberá realizarse mediante
mecanismos que garanticen que la información es irrecuperable y no accesible a
terceros no autorizados.
iii. Criterio de archivo. CECA definirá el criterio de archivo adecuado para garantizar
la localización y consulta de la documentación en los archivos, así como su correcta
conservación, tomando como referencia las normas sectoriales aplicables al tratamiento
de datos, cuando las hubiere.
iv. Custodia de documentos. Cuando la información documental no se encuentre
archivada en el lugar habitual de almacenamiento de la documentación, CECA definirá la
normativa aplicable a la gestión documental por usuarios, que en todo caso deberá
preservar la integridad, confidencialidad y disponibilidad de la información de carácter
personal.