El Esquema Nacional de Seguridad (en adelante, también, ENS) está regulado en el Real Decreto 3/2010 de 8 de enero (link). Como se indica en su exposición de motivos, su objeto es “el establecimiento de los principios y requisitos de una política de seguridad en la utilización de medios electrónicos que permita la adecuada protección de la información” y persigue “fundamentar la confianza en que los sistemas de información prestarán sus servicios y custodiarán la información de acuerdo con sus especificaciones funcionales, sin interrupciones o modificaciones fuera de control, y sin que la información pueda llegar al conocimiento de personas no autorizadas”.

Como es generalmente conocido, el ENS tiene que ser aplicado por las Administraciones públicas para “asegurar el acceso, integridad, disponibilidad, autenticidad, confidencialidad, trazabilidad y conservación de los datos, informaciones y servicios utilizados en medios electrónicos que gestionen en el ejercicio de sus competencias”.

No obstante lo anterior, muchas personas desconocen que la Ley contempla que la aplicabilidad del ENS se extienda, en un supuesto determinado, a empresas puramente privadas y que nada tienen que ver con la Administración pública.

El origen de este supuesto, como analizaremos más adelante, lo hemos de localizar en el último párrafo de la Disposición Adicional 1ª de la Ley Orgánica, 3/2018 de 5 de diciembre, de Protección de Datos y Garantía de los Derechos Digitales (en adelante, LOPD-GDD). Dicha Ley Orgánica establece en su artículo 1.a) que su objeto es “adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679”, es decir, al Reglamento General de Protección de Datos (en adelante, RGPD).

Pues bien, el RGPD dispone en su art. 5.2 el “principio de la responsabilidad proactiva”, que, de una manera muy resumida, viene a establecer que el responsable del tratamiento debe cumplir y ser capaz de demostrar que los datos personales son tratados de acuerdo con los principios de “licitud, lealtad y transparencia”; “limitación de la finalidad”; “minimización de datos”; “exactitud”; “limitación del plazo de conservación” y de “integridad y confidencialidad”. Precisamente ese último principio de “integridad y confidencialidad” es el que establece que se ha de garantizar una seguridad adecuada de los datos personales, para protegerlos “contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental”.

Por su parte, el artículo 32 del RGPD, dice que “teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo […]”.

Es decir, para la generalidad de los responsables del tratamiento las medidas de seguridad a implantar para proteger los datos personales no se recogen en una lista taxativa que es aplicable por igual a todo el mundo. Con este artículo 32, en mayo del año 2018, se introduce un concepto desconocido en campo de la protección de datos española: la autoevaluación por el responsable de las medidas de seguridad que son necesarias para proteger los datos personales que son objeto de tratamiento directamente por él o, en su caso, por encargados de tratamiento que tratan datos por cuenta suya.

Sin embargo, unos meses más tarde de la entrada en vigor de la LOPD-GDD, en diciembre del 2018, el Legislador español decidió que esta obligación de auto-imposición de las medidas de seguridad no sería de aplicación a las categorías de responsables y/o encargados citados en el art. 77 de la LOPD-GDD[1], que, cómo se puede comprobar en el pie de página, integran la totalidad de la Administración Pública española. Y es aquí es donde entra en juego la mencionada Disposición Adicional Primera que dice así:

“Medidas de seguridad en el ámbito del sector público:

1. El Esquema Nacional de Seguridad incluirá las medidas que deban implantarse en caso de tratamiento de datos personales para evitar su pérdida, alteración o acceso no autorizado, adaptando los criterios de determinación del riesgo en el tratamiento de los datos a lo establecido en el artículo 32 del Reglamento (UE) 2016/679.
2. Los responsables enumerados en el artículo 77.1 de esta ley orgánica deberán aplicar a los tratamientos de datos personales las medidas de seguridad que correspondan de las previstas en el Esquema Nacional de Seguridad, así como impulsar un grado de implementación de medidas equivalentes en las empresas o fundaciones vinculadas a los mismos sujetas al Derecho privado.

En los casos en los que un tercero preste un servicio en régimen de concesión, encomienda de gestión o contrato, las medidas de seguridad se corresponderán con las de la Administración pública de origen y se ajustarán al Esquema Nacional de Seguridad.”

Por tanto, la distintas entidades enumeradas en el art. 77, para proteger la integridad, confidencialidad y disponibilidad de los datos personales que traten, ya sea en calidad de responsable o encargado del tratamiento, han de (1) categorizar de acuerdo con el Anexo I del ENS (en categoría básica, media o alta) los sistemas de información utilizados para el tratamiento y (2), de acuerdo con el Anexo II, implementar aquellas medidas de seguridad (organizativas, operacionales y de protección) que sean acordes a la categoría otorgada al sistema.

Es decir, la DA 1ª despoja a las distintas administraciones públicas de la capacidad de decisión sobre las medidas de seguridad a implementar para proteger la integridad y la confidencialidad de los datos personales y les obliga a cumplir[2] con el muy exigente marco del Esquema Nacional de Seguridad.

APLICABILIDAD DEL ENS A LAS EMPRESAS PRIVADAS

Por otro lado, es importante reseñar que el párrafo final de la DA 1ª contiene un matiz que hace que la aplicabilidad del ENS sea, al menos potencialmente, universal.

“En los casos en los que un tercero preste un servicio en régimen de concesión, encomienda de gestión o contrato, las medidas de seguridad se corresponderán con las de la Administración pública de origen y se ajustarán al Esquema Nacional de Seguridad.”

Este párrafo se traduce en que toda entidad que preste o quiera prestar servicios a una Administración Pública ha de cumplir también con las medidas de seguridad que, en virtud del ENS, sean de aplicación a dicha administración de referencia.

Como consecuencia de dicho precepto, cada vez es más común, que las empresas privadas que se presentan a licitaciones del sector público encuentren reflejados en los pliegos la exigencia inexcusable de que cumplan con el Esquema Nacional de Seguridad y que hayan superado un proceso de certificación por una entidad debidamente acreditada.

Enrique Molina Jordano

Equipo Govertis

Art. 77 LOPD-GDD: a) Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos. b) Los órganos jurisdiccionales. c) La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. d) Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas. e) Las autoridades administrativas independientes. f) El Banco de España. g) Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público. h) Las fundaciones del sector público. i) Las Universidades Públicas. j) Los consorcios. k) Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales.

[2] Se ha de remarcar que esa obligación de cumplimiento del ENS ya estaba vigente desde el 2010. Sin embargo, en la fecha de publicación del presente artículo, sólo un porcentaje ínfimo de los sistemas de información de categoría media o alta dependientes de la Administración han sido debidamente certificados conforme al RD 3/2010.