Caso práctico: almacenamiento de información

---

Como decimoctava entrega de la serie de artículos sobre protección de datos personales en los bufetes de abogados, hoy les mostraré un caso práctico sobre almacenamiento de información personal y las ventajas del despacho digital.

El caso práctico

“El despacho jurídico “De La Torre Abogados” va a procede a implantar las medidas necesarias para adecuar su local en el centro de Almería a la normativa vigente en materia de protección de datos. El despacho cuenta con una pequeña sala de archivo, un despacho de administración y una sala común con una fotocopiadora y con las tres mesas de los letrados que trabajan en el despacho, equipadas con ordenadores personales. El despacho cuenta también con un servidor de datos en la Nube.

Se llevan casos de todo tipo: civiles, penales, divorcios, violencia de género…

¿Qué medidas de seguridad se deben implementar en “De La Torre Abogados” para no incumplir la normativa en materia de protección de datos, almacenando la información personal como es debido?” 

Deber de secreto

Como comenté anteriormente en esta serie de artículos el deber de secreto consiste en la no divulgación de datos de carácter personal, ya sea hacia el exterior del despacho, como internamente, a personas que no tengan necesidad de conocer esa información en el marco de la prestación de servicios jurídicos. Por ello, se debe controlar qué persona accede a qué información y durante qué periodo de tiempo, independientemente del soporte en el que se encuentre dicha información. 

Almacenamiento y gestión de datos no automatizados

Los datos no automatizados son aquellos datos de carácter personal organizados de forma no automática y estructurados conforme a criterios específicos relativos a personas físicas que permitan acceder sin esfuerzos desproporcionados a sus datos personales. En definitiva, se trata de los expedientes en papel de toda la vida.

Almacenamiento de datos no automatizados

Según el actual caso práctico, el despacho jurídico cuenta con una pequeña sala de archivo. En dicha sala se encuentran diversas estanterías con archivadores de cartón, conteniendo cada uno diversos expedientes en sus respectivas carpetas.

Tratándose de un despacho jurídico típico, les recomiendo que a cada carpeta le asignen un código basado en las iniciales de su cliente y un número basado en la fecha de apertura del expediente, como por ejemplo “20170928” que correspondería al 28/09/2017. Con ello los datos están exteriormente disociados y se establece un criterio de búsqueda sencillo.

La sala de archivo donde se almacenan los expedientes de cada cliente contará con un sistema de cierre y apertura mediante llave. De dicha llave únicamente dispondrán cada uno de los tres letrados que tendrán acceso a los expedientes jurídicos.

Registro de entrada y salida de expedientes jurídicos

Existirá un registro de entrada y salida de expedientes jurídicos que cada letrado deberá cumplimentar al sacar o depositar un expediente en la sala de archivo. El registro tendrá el siguiente formato:

El registro consistirá en una serie de hojas dispuestas junto a la salida de la sala de archivo y que deberán ser cumplimentadas para cada operación. Como ven, no requiere un excesivo tiempo y con ello podemos auditar a qué información a accedido cada letrado y cuándo.

Almacenamiento de los expedientes jurídicos fuera de la sala de archivo

Mientras los letrados trabajen con los expedientes jurídicos originales, los documentos deberán estar contenidos en sus carpetas, las cuales no pueden dejar entrever desde fuera el contenido del expediente.

Si el letrado va a abandonar su puesto de trabajo por cualquier circunstancia, deberá introducir el expediente jurídico en uno de los cajones de su escritorio, bajo llave, o bien devolverlo a la sala de archivo.

Estará terminantemente prohibido sacar expedientes originales fuera de las dependencias del despacho. Para ello se realizarán copias.

Elaboración de copias de expedientes y registro

Para trabajar en el exterior del despacho o porque varios letrados deban trabajar con el mismo expediente, se podrán realizar copias totales o parciales de dicho expediente.

Junto a la fotocopiadora existirán varias hojas de registro que deberán cumplimentarse tras realizar cada copia, bajo el siguiente formato:

La copia se introducirá en una carpeta al igual que para documentos originales y se rotulará con la palabra “Copia/” seguida del mismo identificador de expediente que el original añadiendo las páginas copiadas o bien la palabra “Total” separadas por una “/”

Al igual que para expedientes originales, si el letrado abandona su puesto de trabajo, deberá almacenar las copias en un cajón de su escritorio bajo llave.

Salida de documentación fuera del despacho

Si el letrado, en ejercicio de sus funciones, requiere sacar expedientes o cualquier otra información que necesite con motivo de sus labores, deberá elaborar una declaración responsable en la que especifique su identidad, qué documentación va a llevarse, cual es el objeto de llevarse dicha información y el periodo de tiempo en la que dicha información va a estar fuera de las dependencias del despacho.

La declaración responsable es un método menos engorroso que estar solicitando, para cada salida, la autorización del responsable de seguridad. En lugar de ello, se le entregará al responsable de seguridad dicha declaración responsable con anterioridad a la salida, para que tenga constancia de la misma.

La información que salga del despacho debe de ir almacenada en un maletín con candado o con combinación. En definitiva, se trata de impedir el acceso a las copias de los expedientes en caso de robo o extravío.

Entrada de documentación al despacho

No es necesario declarar la entrada de información al despacho mediante un registro propio. Aquellos expedientes jurídicos originales que entren al despacho serán depositados en la sala de archivo, cumplimentando una entrada de documentación, y almacenándola bajo los criterios anteriormente descritos.

Si se trata de copias de información, el letrado deberá depositarlas en un cajón bajo llave de su escritorio o bien proceder a su destrucción.

Bloqueo de documentos

En caso de que por cualquier circunstancia haya que proceder al bloqueo de la información personal de un determinado cliente, se procederá a incluir la información en archivador de cartón titulado “Bloqueados” junto al año en el que se realiza dicho bloqueo.

Se procederá a cumplimentar en el registro de entrada salida una operación de “Traslado”, incluyendo como destino el archivador de bloqueados.

Destrucción de documentos

Cuando por cualquier razón se proceda a la destrucción de documentación, sea original o copia, se deberá proceder a registrar dicha operación en una hoja de destrucción de documentos, la cual se deberá notificar previamente al responsable de seguridad.

En dicha hoja se indicará la identidad de la persona que va a proceder a la destrucción, el motivo de la misma, si se trata de documentos originales o copias, y la identificación de la documentación.

Se procederá al triturado de los documentos, originales o copias, de forma que resulten ilegibles e irrecuperables, como paso previo a ser depositados en la basura. 

Almacenamiento y gestión de datos automatizados

Los datos automatizados son aquellos datos de carácter personal organizados de forma automática y gestionados mediante, programas, soportes, y/o equipos informáticos.

Almacenamiento de datos no automatizados

Según el actual caso práctico, el despacho cuenta con un servidor de datos en la Nube. Recomiendo que se utilice alguna de las abundantes aplicaciones informáticas de gestión de expedientes electrónicos que hay en el mercado. Este tipo de aplicaciones permite crear expedientes electrónicos a los que ir incorporando información digitalizada, almacenando la información cifrada en sus bases de datos y registrando todos los accesos y operaciones de los usuarios sobre la información.

Este tipo de aplicaciones también permite realizar el bloqueo de los datos con un solo clic y podremos preservar la información realizando copias de seguridad periódicas de la base de datos.

Al depositar la información en la Nube deberá asegurarse de la localización física del servidor de datos, no debiendo encontrarse fuera de territorio europeo ya que estaríamos incurriendo en una transferencia internacional de datos no autorizada.

Copias de trabajo de los ficheros electrónicos

Para trabajar con los expedientes, las personas autorizadas podrán proceder a descargar los ficheros a su ordenador de trabajo. Dichos ficheros no deben permanecer en el tiempo en los equipos informáticos, debiendo ser destruidos una vez se ha dejado de trabajar con ellos.

Para almacenar cualquier tipo de modificación o anotación de la información se procederá a guardar los datos en su correspondiente expediente electrónico.

Si se imprime la información, se procederá a registrar la elaboración de la copia como si fuera una copia de un expediente en papel, señalando la referencia al expediente y su ubicación como “Electrónico”.

La nomenclatura usada para dar nombre a los ficheros seguirá las mismas pautas que las usadas para nombrar carpetas en formato papel.

Envío de ficheros por correo electrónico y medios análogos

Al enviar la información por correo electrónico deberemos asegurarnos de que los ficheros enviados se encuentren cifrados y que la clave de acceso se la proporcionamos únicamente a la persona a la que va destinada la comunicación.

Únicamente se podrá utilizar el correo electrónico corporativo para remitir información, ya sea entre miembros del propio despacho o bien a terceros.

Salida del despacho de información electrónica

Para sacar del despacho información en formato electrónico únicamente podrá realizarse mediante soportes informáticos propiedad del despacho, ya sean dispositivos de almacenamiento u ordenadores portátiles.

En cualquiera de los dos casos se procederá de forma análoga a la salida de documentos en papel: la persona responsable de la salida de información emitirá una declaración responsable al encargado de seguridad, indicando el dispositivo que contiene la información según su identificación en el inventario del despacho, el periodo de tiempo durante el que la información va a estar fuera, y el objeto de la salida.

Los ficheros electrónicos que salgan fuera del despacho deberán estar cifrados a fin de impedir un acceso no autorizado en caso de pérdida o sustracción. 

Despacho sin papeles

Ya han podido ver que es mucho menos laborioso el almacenamiento de información en formato electrónico, además de no necesitar espacio físico adicional y facilitar mucho la gestión y auditoría del uso de la información. Adicionalmente en caso de siniestro en el despacho, no perderíamos la información.

Por ello les recomiendo que digitalicen toda la información mediante un escáner de documentos y que procedan a trabajar únicamente con expedientes electrónicos, emitiendo copias en papel de la información cuando resulte necesario.

En esta línea es en la que está avanzando la Administración de Justicia, si bien, a la vista de las numerosas incidencias que presentan Lexnet y otros sistemas informáticos de apoyo, hacen que todavía no termine de imponerse este modelo.

Los despachos jurídicos terminarán siendo digitales, no les quepa la menor duda. 

Recomendaciones

Una vez más, sentido común. Independientemente del soporte en el que se encuentre la información, deberá poder justificar en cada momento dónde estaba la información, que personas accedieron a la misma y que uso se le dio. Ello redundará, además de en un mejor funcionamiento del despacho, al ver realmente el uso que se hace de la información, en una mayor seguridad, con una carga burocrática mínima, prácticamente inexistente si la información se encuentra digitalizada.

Lo expuesto en este caso práctico no son medidas que deban implementarse estrictamente tal cual las he reflejado, sino siguiendo el precepto antes mencionado.

Olvídense de los montones de expedientes desperdigados por las mesas de cada letrado y en montañas de expedientes en papel que ocupan un espacio precioso en sus despachos.

Les espero en la próxima entrega: “Caso práctico: Lexnet”

ElDerecho.com no comparte necesariamente ni se responsabiliza de las opiniones expresadas por los autores o colaboradores de esta publicación