Carme Sánchez i Ors Responsable Corporativa de Protecció de dades

1. IMPLANTACIÓ DEL MODEL DE PROTECCIÓ DE DADES DE CARÀCTER PERSONAL I DE POLÍTICA DE PRIVACITAT A LA DIPUTACIÓ DE BARCELONA Carme Sánchez i Ors Responsable Corporativa de Protecció de dades Barcelona, 28 de setembre de 2010

2. Estructura organitzativa complexa: 14 Àrees 32 Direccions/Gerències de serveis 68 Serveis/Oficines 6 Ens de gestió amb personalitat pròpia (funcions) > 20 Òrgans de gestió participats 4.300 treballadors Àrea Presidència – Direcció de Secretaria - Arxiu Àrea Hisenda i Recursos Interns – Direcció de Serveis Tecnològics i Sistemes Corporatius Responsable Corporativa LOPD Responsable de Seguretat dels Sistemes Corporatius

3. Les figures corporatives de protecció de dades

4. Referents Resp. gestió Resp. seguretat Resp. drets ARCO • Per cada servei • gestor • Caps de Servei/ • Oficina • Gerents/Directors • serveis • Automatitzat • No Automatitzat • Registre gral. • Secretaria • Resp. Gestió President Comitè directiu protecció dades Responsable corporativa Projecte corporatiu de Protecció de dades Usuaris de les dades 3rs Propietaris de les dades Àmbit municipal • Personal • autoritzat • Encarregats del • tractament • Altres administr. • Ciutadans • Treballadors • Responsables • assistència • municipal

5. Coordinador de l’Àrea d’Hisenda i Recursos Interns. Actua de President. • D.S. de Tecnologíes i Sistemes Corporatius. • Subd. de Planificació i Serveis Informàtics. Responsable de seguretat dels sistemes corp. • Subd. Desenvolupament de Sistemes d’Informació. • Subd. de Logística. • D.S. Recursos Humans. • D.S. de Secretaria. • Secretari delegat. • Responsable corporativa en Protecció de dades. Actua de Secretària. Comitè directiu Protecció dades Delegació del President

6. Fixar les directrius operatives LOPD. • Establir els criteris d’actuació i assessorament dels diferents àmbits de suport. • Avaluar els informes de seguretat, així com els informes d’auditoria. • Impulsar i avaluar els processos d’adequació dels fitxers i tractaments, i proposar a l’òrgan competent l’adopció de mesures tècniques, organitzatives i de gestió. • Elevar als òrgans de govern les propostes relatives als actes administratius vinculats. Comitè directiu Protecció dades Delegació del President

7. Supervisa i controla, a nivell operatiu, les activitats vinculades a la protecció de dades i sistemes d’informació corporatius generades per l’execució dels diferents programes d’actuació, d’acord amb les disposicions normatives i els procediments establerts pel Comitè Directiu. • Dirigeix les auditories. • Responsable d’Atenció a l’Afectat. • Interlocutora amb les autoritats de control. Responsable corporativa

8. Responsable de Gestió Responsable corporativa Registre general Rep la petició i la transmet Busca la informació • En fa el seguiment Definició en procés. Inclusió entre les competències de la RCPD Gestionar el procediment corporatiu que garanteix els drets als afectats. Responsable drets ARCO • Personal • autoritzat Secretaria • Valora la • resposta

9. Equivalent a la vigent figura del Responsable de Tractament, segons el Reglament 1720/2007 • Recau en el/la gerent de l’organisme autònom, director de serveis, gerent de serveis, coordinadors, comissionats o assimilats; promotor del Fitxer/Tractament. • Per aquells casos en que es tractin dades fora dels sistemes corporatius o en tercers països també serà el responsable de seguretat. Responsable de Gestió

10. Resp. seguretat • Automatitzat • No Automatitzat • Automatitzats gestionats per la DSTSC • - El Responsable de seguretat corporatiu. • Atomatitzats no gestionats per la DSTSC • El Responsable de gestió. • NO automatitzats • - El Responsable de gestió. • Fitxers Mixtes (paper i automatitzat) • El RSC i/o el RG • En estudi la creació del Comitè de seguretat que inclogui l’ENS i Privacitat.

11. Tot el model gira en torn seu. • Cooperen amb la RC en l’adequació del seu àmbit. • Són l’enllaç entre el servei i la RC. • Coneixedors del seu entorn de gestió. • Coneguts pels seus companys. • Reben formació específica. • Disposen d’eines per facilitar-los la gestió. Referents • Per cada servei • gestor

12. El Pla d’adequació

13. Proposta actuació 1r Difusió • Interna: Directius, comandaments i treballadors • APDcat Difusió planificada sobre el projecte • Identificació (1 o més) • Per àrees o serveis • Aprenentatge Referents

14. Proposta actuació 2n Diagnosi i adequació • Totes les Àrees • Organismes depenents • Presentació informe al Comitè directiu de seguretat Auditoria / Informe de Situació • Fitxers corporatius per finalitats comunes • Fitxers unitats gestores per finalitats específiques Actualització de l’inventari de fitxers Revisió i elaboració document de seguretat Validació i redacció de clàusules, llegendes i contractes Implementació deficiències detectades

15. Proposta actuació 3r Suport continuat • Referents • Auditories bianuals • Control implementació canvis • Seguiment eina corporativa Controls periòdics • Referents • Resta personal Assessorament i consultes • Formació bàsica i específica • Presencial i no presencial • Ha d’Incloure: • Manual de funcions i obligacions • + • Contingut document de seguretat • + • Resultat de l’informe de situació Informació per al personal

16. Principals dificultats

17. Organització corporativa complexa, i jerarquitzada, que fa que no sempre que s’hauria d’acudir a la RCPD es faci. • Manca de difusió generalitzada del projecte entre el personal de la corporació. • Recursos, humans i econòmics, clarament insuficients que fan que la implantació sigui més lenta del desitjat. • Ubicació a l’organigrama: Independència?. • Deficient definició de les funcions de la RCPD. • Canvis en l’alta direcció que poden ocasionar una pèrdua d’impuls. • Manca d’una norma, estatal o autonòmica, que reguli la necessitat de la figura i les seves competències mínimes. • Resistències per part d’alguns col·lectius que se senten “controlats”.

18. Elements clau

19. El President ha encarregat l’actuació. • Les figures especialitzades: Responsable corporativa i Referent en protecció de dades de cada àmbit asseguren una atenció constant. • Independència i dedicació exclusiva de la RCPD. • Es millora el “govern” de la protecció de dades. • Homogenització corporativa. Procediments i protocols comuns. • Millora la transversalitat amb el treball conjunt dels referents dels diferents àmbits. • Millora la transparència. Projecte transversal: Grup de treball d’accés a la informació. • Relació directa amb l’ENS.