BOCM
Pág. 112

BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID
LUNES 4 DE OCTUBRE DE 2021

B.O.C.M. Núm. 236

3. La información sensible gestionada y tratada en la Universidad tendrá asignado un
responsable encargado de conceder, modificar o retirar los permisos de acceso a los usuarios.
4. Las personas usuarias que tengan acceso a información sensible aplicarán los criterios específicos de tratamiento, almacenamiento, comunicación y transmisión recogidos en la
presente normativa, en las instrucciones específicas que puedan adoptarse para su desarrollo
y en la legislación vigente que resulte de aplicación.
Artículo 31
Tratamiento de la información sensible de carácter personal
1. Los datos personales relativos a la ideología u opiniones políticas, afiliación sindical, religión o convicciones religiosas, creencias o convicciones filosóficas, origen racial
o étnico y orientación sexual no podrán ser objeto de tratamiento salvo que la persona interesada preste su consentimiento claro y expreso y concurra alguno de los supuestos recogidos en las letras b) a j) del artículo 9.2 del Reglamento General de Protección de Datos.
2. Los datos personales relativos a la vida sexual y la salud así como los datos genéticos y biométricos podrán ser objeto de tratamiento cuando la persona interesada preste su
consentimiento claro y expreso o cuando concurra alguno de los supuestos recogidos en las
letras b) a j) del artículo 9.2 del Reglamento General de Protección de Datos teniendo en
cuenta, en su caso, lo dispuesto en el artículo 9.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales.
3. Antes del tratamiento de categorías especiales de datos personales se realizará una
Evaluación de Impacto en la Protección de Datos, que determine los riesgos derivados del
tratamiento.
4. En el tratamiento de categorías especiales de datos personales se aplicarán, al menos, las siguientes medidas de seguridad:
a) Cifrar los datos en su almacenamiento, comunicación y transmisión.
b) Llevar un registro de acceso a los datos, con indicación de la fecha de acceso y del
usuario que accedió.
c) Elaborar una lista de personas autorizadas para el tratamiento.
d) Habilitar un procedimiento seguro para el tratamiento.
Artículo 32
1. Las personas usuarias que tengan acceso a información sensible podrán almacenarla en soporte informático cuando resulte estrictamente necesario y por el tiempo imprescindible para el desarrollo de sus funciones, utilizando para ello mecanismos de cifrado y
los sistemas de almacenamiento siguientes:
a) Sistema de almacenamiento en servidores de la red corporativa, mediante las carpetas compartidas habilitadas en los sistemas informáticos: el usuario utilizará
prioritariamente este sistema de almacenamiento.
b) Sistema de almacenamiento en las herramientas colaborativas de la Universidad:
el usuario/a podrá utilizar este sistema siempre que se garantice su seguridad adecuada mediante el establecimiento de permisos de acceso, segundos factores de
autenticación y cifrado cuando sean de aplicación.
c) Sistema de almacenamiento local en equipos de trabajo: el usuario/a podrá almacenar la información sensible en el equipo de trabajo puesto a su disposición por
la Universidad cuando resulte imprescindible para el desarrollo de las funciones,
cuente con autorización expresa para ello y siga el procedimiento habilitado al
efecto.
2. Una vez finalice la vida útil de la información sensible almacenada en soporte informático, y de acuerdo con la Política de Gestión Documental y los requisitos legales en
materia de preservación de la misma, los usuarios se asegurarán de borrar de forma segura
la misma, comunicando tal hecho por los cauces habilitados para la notificación de incidentes.

BOCM-20211004-25

Almacenamiento de información sensible