L'any 1999 es va aprovar la Llei Orgànica 15/1999, de 13 de desembre, de Protecció de Dades de Caràcter Personal, que tenia per objecte garantir i protegir el tractament de les dades personals de les persones físiques. En aquest context, l'any 2000, l'equip del Departament de Sistemes d'Informació va elaborar el primer document de seguretat de l'Ajuntament de Viladecans i s'hi recollien els aspectes generals del sistema (Normés en ús de la xarxa: com connectar-se, els backups...) adaptats a la Llei Orgànica de Protecció de Dades (LOPD).

Amb l'entrada en vigor de l'Esquema Nacional de Seguretat (ENS) l'any 2007, l'Ajuntament de Viladecans va liderar un grup de treball amb els consistoris de Gavà, Vilanova i la Geltrú, Rubí i Castelldefels. L'objectiu era abordar la implementació de l'ENS de manera conjunta. Es van treballar els aspectes generals i es va assistir a formacions conjuntes amb l'empresa Astrea. Cadascun dels municipis va adequar l'ENS de manera individualitzada.

El 25 de maig de 2018 va entrar en vigor el Reglament Europeu de Protecció de Dades (RGPD) a nivell de la Unió Europea i d'implantació obligatòria, que derogava part de la LOPD. Aquest reglament tenia per objectiu garantir la protecció de les persones físiques respecte al tractament de les seves dades personals i la lliure circulació d'aquestes dades.

En conseqüència, el 5 de desembre de 2018 es va aprovar la Llei Orgànica 3/2018 de Protecció de Dades i Garantia dels Drets Digitals (LOPD-GDD) que adaptava el RGPD al dret intern, alhora que derogava la LOPD.

Població: Dirigida a tota l'activitat de l'Ajuntament que contingui dades personals o posi en risc la seguretat de la informació.

Territori: Ajuntament de Viladecans.

Aquest projecte està emmarcat en el Pla de mandat de sistemes i el Pla d'acció anual de sistemes 2019-2022 de l'Ajuntament de Viladecans.

A partir de les obligacions establertes en matèria de protecció de dades de caràcter personal a partir de l'abril de 2008 amb l'entrada en vigor del Reglament de desenvolupament de la llei orgànica 15/1999, de 13 de desembre, de protecció de dades de caràcter personal, l'Ajuntament de Viladecans va acordar la constitució de la Comissió de Seguretat en matèria de protecció de dades de caràcter personal.

La Comissió de Seguretat es definia com un òrgan consultiu i de proposta per a la gestió de tots els aspectes relacionats amb la seguretat i la protecció de dades de caràcter personal. Va sorgir amb les funcions de:
- Coordinació i control de les mesures de seguretat aplicable.
- Revisió periòdica de la informació de control i registre a aquests efectes.
- Elaboració d'informes de les revisions realitzades i dels problemes detectats.
- Anàlisi dels informes d'auditoria elevant les conclusions al responsable del fitxer per a l'adopció de les mesures correctores adequades.
- Control dels mecanismes de registre.
- Auditoria dels sistemes per a detectar possibles mals usos de la xarxa corporativa.

Amb l'entrada en vigor de la nova normativa en matèria de protecció de dades de caràcter personal (RGPD i Llei Orgànica 3/2018), la Comissió modifica les seves funcions i és designada també com a Delegada de Protecció de Dades de l'Ajuntament de Viladecans. Com a conseqüència, amplia les seves competències i funcions:
- Informar, assessorar i supervisar el compliment de les obligacions i les polítiques en matèria de seguretat de les dades i de protecció de dades de caràcter personal.
- Cooperació amb les autoritats de control en la matèria.
- Impuls, revisió i actualització dels documents i recursos de control de les activitats vinculades a la seguretat de les dades i al tractament de les dades de caràcter personal.
- Gestió d'incidències en matèria de seguretat i protecció de les dades.
- Impuls de formació en aquesta matèria.
- Interlocutor de l'Ajuntament davant els interessats per tot allò relatiu a la protecció de dades de caràcter personal.

La Comissió de Seguretat es reuneix periòdicament, amb caràcter trimestral, de manera ordinària i amb caràcter extraordinari si es produeix algun incident en matèria de seguretat de les dades o de dades de caràcter personal.

Des de que està en funcionament ha modificat els seus integrants en diverses ocasions per adaptar-se als successius canvis en el cartipàs municipal. Així, la seva composició és la següent:
- Part tècnica: 3 persones provinents dels Departaments d'Assessorament Jurídic, Sistemes d'Informació i Innovació Tecnològica, i la responsable de l'Arxiu Municipal (vinculada a la gestió del projecte de Transparència i expedient electrònic).
- Part de representació política i organitzativa: la Tinença d'Alcaldia responsable en matèria de Tecnologia i Sistemes d'Informació (presideix la Comissió), la direcció de l'Àrea de Serveis Generals i el Secretari del consistori.

La Comissió de Seguretat cada any organitza formacions per als treballadors de l'Ajuntament en matèria del Reglament General de Protecció de Dades i de l'Esquema Nacional de Seguretat. Aquestes inclouen formació en novetats normatives, afectacions del GDPR, expedient electrònic, seguretat de la informació... A nivell extern, de forma anual es complimenten les dades en la plataforma INES per anar comprovant el progrés en el compliment de l'ENS.

A més a més, elabora materials de suport per als treballadors de l'Ajuntament en forma de protocols i normatives per a millorar el tractament de les dades dels usuaris i fer ús de les tecnologies del dia a dia amb més seguretat. En aquest sentit, al llarg dels darrers anys s'han editat al voltant de 40 documents normatius, que són actualitzats sempre que hi hagi canvis en la normativa o en l'ús de les tecnologies.

L'any 2017 es va dur a terme una auditoria sobre els formularis, fitxers, es elaborar el Registre d'Activitats de Tractament, etc. per adequar tota l'activitat de l'Ajuntament al GDPR. Des de llavors, de forma anual es realitzen auditories al voltant de les tasques desenvolupades com a Delegada de Protecció de Dades i en l'actualització de les dades en l'eina PILAR.

15000

15.000€ cada dos anys. El pressupost que es dedica a seguretat surt cada any de les partides generals de Sistemes d'Informació.

• Treballadors de les empreses que anualment realitzen les auditories.
• Part tècnica:
- 1 jurista.
- 1 responsable de transparència i d'expedient electrònic.
- 1 cap de sistemes d'informació i responsable de seguretat.

• Part de representació política i organitzativa
- Tinenta d'Alcalde de Sistemes d'Informació i Recursos Humans.
- Director de l'Àrea de Serveis Generals.
- Secretari.

S'ha fet ús de les eines PILAR i INES. L'eina PILAR és un instrument que permet realitzar l'anàlisi de riscos sobre els tractaments en matèria de protecció de dades de les organitzacions. L'eina INES, en canvi, permet avaluar l'estat de compliment de l'ENS en una organització.

La Comissió de Seguretat en matèria de dades de caràcter personal es reuneix de manera trimestral, tot i que està previst que n'hi hagin de caràcter extraordinari en cas d'urgència. En les sessions es reporten les consultes i peticions que realitzen els treballadors del consistori.

L'equip tècnic és qui s'encarrega de preparar les ordres del dia, redactar les actes i desenvolupar les normatives i protocols. Aquestes, són proposades a la Comissió i, una vegada aprovades, s'eleven a la Junta de Govern per la seva aprovació definitiva.

• Comissió de Seguretat en matèria de dades de caràcter personal.
• Formacions en matèria de protecció de dades de caràcter personal a les 400 treballadors/es del consistori. Aquestes formacions han inclòs afectacions del GDPR, expedient electrònic, seguretat de la informació, ENS o LOPD.
• 39 Normatives i protocols. Aquests contenen normes d'ús dels dispositius (ús del whatsapp, sms,...), gestió de contrasenyes i d'accés a la xarxa, política de seguretat, etc.

Aquests documents mantenen una estructura comuna i que es divideix de la següent manera:
- Quadre de control: conté el títol de la normativa/protocol, quin tipus de document és (normativa, protocol) i si compta amb annexos, classificació (ús intern/extern i àmbit), estat (definitiu/provisional), autor/a i en quina versió i data es troba el document. A més, consta qui ha revisat i aprovat el document, així com la llista de distribució i les accions de publicació (intranet, etc.).
- Control dels canvis: conté quines versions del document hi ha hagut, la data, qui l'ha modificat (autor/a dels canvis) i descripció del canvi.
- Objecte: s'hi defineix quin objectiu aquesta normativa/protocol. Per exemple, definició del procediment aplicable a la Gestió d'Usuaris.
- Abast: a quin àmbit d'aplicació va dirigida la normativa/protocol.
- Legislació i normativa aplicable: especifica els fonaments normatius utilitzats per l'elaboració del document.
- Vigència.
- Revisió i avaluació: aquest apartat conté qui és competent per revisar i cada quan s'examinarà el contingut. Qualsevol modificació entrarà en vigor després de la seva aprovació per la Junta de Govern Local.
- Rols i responsabilitats: determina quins rols de seguretat (usuari, Responsable de Seguretat, de Sistemes, de Recursos Humans, etc.) i quines responsabilitat tenen cadascun dels usuaris en la matèria tractada pel document.
- Els següents apartats serveixen per desplegar el gruix del cos normatiu emès per la Comissió de Seguretat.

Totes les comunicacions en relació a les activitats de la Comissió de Seguretat en matèria de dades de caràcter personal es fa de manera interna.

A més a més, es fa ús de l'Intranet per fer recordatoris de seguretat i per presentar les normatives i protocols creats per la Comissió de Seguretat.

• Ha dotat l'Ajuntament d'un òrgan col·legiat de caràcter consultiu i de proposta en temes de protecció i seguretat de les dades.
• S'ha canviat la manera de treballar del personal del consistori a través de les normatives i protocols dictats.
• S'ha convertit en el referent per als gestors municipals en tots els aspectes vinculats amb la seguretat de les dades i en la protecció de les dades de caràcter personal.
• Ha articulat les actuacions per donar compliment a les obligacions establertes pel marc regulador en aquesta matèria.
• Ha impulsat la formació continuada en matèria de seguretat de la informació i protecció de dades de caràcter personal.
• Ha permès redactar, proposar i impulsar l'aprovació pels òrgans de govern d'un cos normatiu en matèria de seguretat de les dades i protecció de dades de caràcter personal (polítiques, protocols, bones pràctiques, documentació i registre d'activitats de tractament, anàlisi de riscos...).

Interna

Ajuntament de Viladecans

La Comissió de Seguretat ha realitzat una important tasca de normalització i definició de polítiques corporatives de gestió en matèria de seguretat de les dades i gestió de les de caràcter personal.

A més, s'ha impulsat l'aprovació d'un conjunt de polítiques de gestió, protocols de funcionament i bones pràctiques per a la gestió vinculada al seu àmbit d'actuació.

La Comissió de Seguretat ha anat evolucionant i ha intentat donar resposta a les actualitzacions que s'han anat succeint des dels seus inicis. En aquest sentit, en el seu origen només tractava totes aquelles activitats relatives a la LOPD, però s'ha anat actualitzant amb les matèries presents en l'ENS i el GDPR.

• Transversalitat de la Comissió de Seguretat: engloba tots els serveis que treballen amb dades de caràcter personal i amb la seguretat de la informació.
• La composició de la Comissió de Seguretat compta amb dos perfils, tècnic i polític-organitzatiu, que permeten una mirada més precisa de la protecció de dades de caràcter personal i els seus riscos associats.
• Definició de la Comissió de Seguretat com a Delegada de Protecció de Dades de l'Ajuntament.
• Integra dues vessants de la gestió global de la informació corporativa, tant de del punt de vista de la seguretat de les dades com de la protecció de les dades personals.
• Poder comptar amb un pressupost que permet tenir assessorament extern puntual.
• Confiança en l'equip que pren decisions en el treball tècnic que es realitza i recolzament en totes les propostes de la Comissió de Seguretat.

• No es realitzen suficients formacions en temes de seguretat per al personal de la corporació.
• A vegades costa que els treballadors prenguin com a referència i consultin els documents i protocols emesos per la Comissió de Seguretat.

• Caldria ampliar el nombre de formacions als treballadors.
• S'haurien de realitzar formacions específiques sobre les normatives i protocols elaborats per la Comissió per tal de fer-ne major difusió i que esdevinguin eines de referència.

Una de les problemàtiques amb les que parteix aquesta experiència és el fet que els/les seves membres no es dediquen, exclusivament, a aquesta matèria. En aquest sentit, caldria dotar a la Comissió d'una persona dedicada a la protecció de dades de caràcter personal i de seguretat de la informació.