Protección de datos personales - Medidas de seguridad

El 1 de septiembre de 2008 la Dirección Nacional de Protección de Datos Personales (“DNPDP”) dictó la Disposición N° 09/2008 que posterga el plazo fijado por la Disposición N° 11/2006 para la implementación de las medidas de seguridad que corresponden a los niveles medio y alto.

Como ha sido informado previamente (ver “Tratamiento y conservación de datos personales” en Marval News # 54), la Disposición Nº 11/2006 aprobó las Medidas de Seguridad para el Tratamiento y Conservación de los Datos Personales contenidos en Bases de Datos.

Dicha Disposición estableció tres niveles de seguridad dependiendo de las características de la información obrante en la base de datos. Cada nivel debe cumplir con las medidas de seguridad del nivel anterior más las previstas específicamente para él.

Asimismo, la DNPDP dispuso en la Disposición Nº 11/2006 distintos plazos para la implementación de las diferentes medidas de seguridad. Para el caso de las de nivel básico, el plazo venció el 22 de septiembre de 2007 y para el nivel medio el 22 de septiembre de 2008. Por su parte, el término para las medidas correspondientes al nivel alto ocurriría el 22 de septiembre de 2009.

La DNPDP dispuso prorrogar los plazos de exigibilidad de las medidas toda vez que percibió que los responsables de bases de datos han experimentado dificultades en la correcta implementación de las medidas de seguridad. En tal sentido, la Disposición Nº 9/2008 estableció los siguientes nuevos plazos para instrumentar las medidas:

- Nivel medio:      3 de agosto de 2009.

- Nivel alto:         3 de agosto de 2010.

Estos plazos podrán ser prorrogados a pedido de parte interesada y solo por razones debidamente fundadas.

Finalmente, la Disposición N° 9/2008 aprobó un modelo de documento de seguridad que contempla los lineamientos mínimos indispensables que establece la legislación vigente. Cabe señalar que el documento de seguridad debe ser implementado por todos los responsables cuyas bases de datos contengan información de carácter personal. Este modelo puede ser adoptado por los responsables de bases de datos, realizando los cambios que correspondieran.