De conformitat amb el que s’estableix en el Reglament Europeu de Protecció de Dades (Reglament UE 2016/679) i Llei 3/2018 de 5 de desembre de Protecció de dades personals i garantia dels drets digitals, s’informa que tot el personal (usuaris) que accedeixi a les dades de caràcter personal està obligat a conèixer i observar les mesures, normes, procediments, regles i estàndards que afectin les funcions que desenvolupa amb la finalitat d’homogeneïtzar i fer extensibles les bones pràctiques d’ús dels sistemes d’informació del Responsable el CONSORCI CENTRE D’ESTUDIS DEMOGRÀFICS (el CED),tant per treballadors com per tercers i per fer un tractament de les dades adequat a la normativa de protecció de dades.
Totes les persones amb accés a informació corporativa del Responsable i amb accés a les dades personals han de guardar el secret de la informació de caràcter personal que coneguin en l’acompliment de la seva funció fins i tot després de finalitzar la seva vinculació amb el Responsable.
Tot el personal i els usuaris ha de col·laborar amb el Responsable en el compliment de les mesures de seguretat aplicables al tractament de les dades personals per a evitar riscos d’indisponiblitat de les dades que puguin produir-se a conseqüència d’incidències fortuïtes o intencionades en la seu, com a robatori, incendi o inundació.
1. ÀMBIT D’APLICACIÓ
Els aspectes inclosos en aquest document, són d’aplicació i de compliment obligat per a tots els empleats del Responsable i aquells professionals que hi presten els seus serveis, incloent col·laboradors en pràctiques, d’ETT o altres col·laboradors externs i és d’aplicació des del primer dia de la col·laboració de l’empleat i/o tercer, tant remotament com a les instal·lacions del Responsable.
Els actius protegits per aquestes normes són també els següents:
– Actius intangibles, incloent propietat intel·lectual i industrial.
– Reputació del Responsable i els seus professionals.
– Informació sobre les dades personals.
– Dades econòmiques del Responsable
– Dades personals dels proveïdors.
– Informació sobre know how, procediments, protocols, plans d’actuació etc.
– Informació sobre expedients
– Qualsevol altre actiu tangible o intangible relacionat amb els recursos de tecnologia de la informació (TI) .
2.ACCÉS ALS SISTEMES/AUTENTICACIÓ
-Cada usuari compta amb un nom d’usuari o clau única d’identificació personal proporcionat pel Responsable i una contrasenya d’accés establerta pel propi usuari per accedir als recursos que li són assignats. Cada usuari té accés autoritzat únicament a aquelles dades i recursos que precisi per al desenvolupament de les seves funcions.
-Les contrasenyes han de complir els requisits de longitud, composició, prohibicions, i canvi periòdic establertes pel Responsable.
-Cada usuari és responsable de la seguretat de les seves credencials d’accés. En cas de detectar qualsevol activitat sospitosa s’ha de notificar immediatament al responsable immediat per fer les verificacions necessàries
-Emmagatzematge de contrasenyes: les contrasenyes no s’han de desar en paper, documents electrònics sense xifrar o qualsevol format no segur, cal gestionar contrasenyes de manera segura, no es poden compartir contrasenyes amb altres empleats, usuaris o persones externes al Responsable.
-No està permès l’accés als equips o sistemes informàtics utilitzant un usuari i contrasenya d’un altre usuari ni facilitar a un altre usuari les contrasenyes d’accés
-Tancament de sessió: l’usuari ha de tancar sessió als seus sistemes quan no estiguin en ús, especialment en dispositius compartits o públics. Aquest bloqueig de l’estació de treball es realitzarà automàticament passat un temps d’inactivitat.
-Quan estigui disponible, és obligatori activar l’autenticació multifactor (MFA) per augmentar la seguretat de l’accés.
-Si s’introdueix de forma errònia i reiteradament la contrasenya de validació d’entrada al sistema, el compte quedarà bloquejat i l’usuari haurà de contactar amb el departament corresponent per desbloquejar-lo.
3. UTILITZACIÓ ADEQUADA DELS SISTEMES D’INFORMACIÓ
-Els recursos TIC assignats, han de ser usats en tot moment de forma responsable, i de conformitat al que estableix aquest document.
-L’usuari ha de fer un ús responsable dels mitjans electrònics:
No accedir, consultar ni difondre consulti continguts no permesos per la llei, especialment rellevant des del punt de vista penal, p. ex. continguts que tinguin com a objecte la xenofòbia, la discriminació, l’enaltiment de la violència o la pornografia o que estiguin associats amb una violació de drets de propietat intel·lectual, com p. ex. el cas de descàrrega no autoritzada d’arxius de música, imatges o vídeos.
Evitar qualsevol tipus d’actuació, a través dels recursos TIC (especialment el correu electrònic) que es pugui considerar com assetjament o intimidació a la feina o que tingui caràcter obscè, ofensiu o difamatori.
No utilitzar o descarregar continguts que estiguin protegits per les lleis de la propietat intel·lectual i sobre els quals no tingui permís per al seu ús.
No infringir cap clàusula de no competència ni les normes contra la competència deslleial.
No obtenir de manera no autoritzada cap secret comercial o empresarial ni altres assumptes confidencials del Responsable o dels seus socis comercials, ni usar-los per finalitats pròpies ni transmetre’ls a tercers.
Respectar la reputació del Responsable.
4. EMMAGATZEMATGE DE LA INFORMACIÓ
-Els documents s’han d’emmagatzemar a la carpeta corresponent del servidor de fitxers assignat del Responsable. No es permet l’emmagatzematge de documents de treball interns o relatius a clients als discs durs dels equips locals, ni en suports aliens al Responsable.
-L’emmagatzematge en dispositius d’ús extern (USB, HDD, etc.) ha de tenir sempre un caràcter temporal i només cal utilitzar-lo si la informació emmagatzemada és encriptada. Quan aquests dispositius hagin de ser rebutjats o se’n requereixi la reutilització, s’han d’adoptar les mesures necessàries per impedir qualsevol recuperació posterior en la informació que havia estat emmagatzemada.
-L’usuari ha de preservar la confidencialitat de tota la informació de què disposi, i ha de prestar especial atenció a la gestió de fitxers i tractaments que continguin dades de caràcter personal (clients, proveïdors, col·laboradors, professionals, etc.), especialment els generats a partir de les aplicacions de gestió, per emmagatzemar-los als servidors del Responsable.
-La instal·lació de programes informàtics no està permesa per part de l’usuari. Ho farà el departament d’informàtica i/o sota la seva supervisió. No es permet utilitzar programes del que el Responsable no tingui una llicència prèvia.
-Els programes informàtics instal·lats als equips informàtics són propietat del Responsable i la seva còpia o reproducció amb finalitats no professionals, no està permesa.
-No està permesa la descàrrega i/o l’ús de programes informàtics no autoritzats, incloent jocs i programes de reproducció de música. L’usuari serà responsable de qualsevol dany que els equips o els sistemes informàtics puguin patir per la instal·lació deliberada de qualsevol programa informàtic no autoritzat pel Responsable.
5. CONSERVACIÓ DELS DISPOSITIUS
-L’usuari no té permès modificar la configuració dels dispositius electrònics assignats per evitar la protecció d’accés i/o el sistema de bloqueig.
-L’usuari que tingui a la seva disposició dispositius electrònics mòbils ha d’extremar la precaució quan en faci ús fora de les instal·lacions del Responsable i mai els ha de mantenir fora del seu abast.
-En cas d’usar dispositius mòbils personals per a fins professionals s’ha d’instal·lar un sistema de bloqueig extern al dispositiu.
-En el moment en que es rescindeixi la relació contractual entre el Responsable i l’usuari es procedirà a la devolució dels dispositius usats per l’usuari.
6. CORREU ELECTRÒNIC
-Cada usuari té assignat un compte de correu electrònic del Responsable per a la comunicació interna/externa en l’exercici de les seves funcions diàries.
-En l’ús diari del correu electrònic corporatiu s’han de respectar els següents aspectes:
No difondre o donar suport a actes o campanyes de caràcter polític, cívic o social (per exemple, suport a col·lectius) que no hagin estat impulsats o autoritzats per la direcció del Responsable.
No fer enviaments massius de correus electrònics com felicitacions, comiats, etc.
Quan es remetin missatges a diversos destinataris de diferents organitzacions s’hauran d’incloure les adreces en còpia oculta.
No respondre a correus electrònics que demanin informació de caràcter personal.
Extremar les precaucions quan es rebin correus de remitents desconeguts i no obrir els fitxers adjunts.
Si s’envien fitxers adjunts amb dades de caràcter personal, especialment si et tracta de categories especials de dades, cal garantir-ne la confidencialitat aplicant un sistema de protecció amb clau d’accés, encriptació del fitxer, etc.
-El compte de correu assignat a l’usuari s’utilitzarà només amb finalitats professionals. En el moment en què cessi la relació amb l’usuari, el Responsable adoptarà les mesures necessàries per mantenir el compte durant un període temporal per eliminar-lo posteriorment i s’eliminarà del compte qualsevol tipus de correu d’àmbit privat que es pugui emmagatzemar.
-El Responsable es reserva el dret a la revisió del correu corporatiu, respectant en tot cas els principis de legalitat, idoneïtat, proporcionalitat i raonabilitat d’aquesta revisió.
7. NAVEGACIÓ PER INTERNET
-Com a criteri general, l’accés a Internet no està autoritzat per finalitats alienes al treball i a les funcions de l’usuari.
-L’accés a Internet amb finalitats privades només es permetrà fora de l’horari laboral o durant les pauses establertes i sempre respectant els principis de navegació establerts pel Responsable.
-El Responsable podrà bloquejar l’accés als portals que consideri inadequats i, igual que amb el correu electrònic, podrà revisar els registres de navegació dels professionals quan ho consideri necessari per al control i la seguretat dels sistemes d’informació.
8. LLOC DE TREBALL
-Cada usuari serà responsable de preservar la informació a què es pugui accedir des del seu lloc de treball i per tant ha de de:
Bloquejar l’estació de treball si s’absenta del lloc de forma temporal.
Al acabar la jornada laboral, emmagatzemar la documentació que pugui contenir dades personals als corresponents calaixos/armaris.
Recollir els documents impresos en el moment d’imprimir.
No deixar documentació sobre de la taula de treball.
9. GESTIÓ DOCUMENTAL
-A més de les mesures que fan referència als sistemes d’informació cal preservar adequadament la confidencialitat de la documentació en paper, especialment si conté dades de caràcter personal:
-L’arxiu de la documentació es realitzarà garantint en tot moment la conservació correcta, la localització i la consulta i es pot facilitar l’exercici dels drets dels possibles afectats.
-Quan la documentació no estigui en dispositius degudament protegits (armaris, calaixos, arxivadors, etc.) sigui per motiu de processos de revisió i/o tramitació, previs o posteriors al seu arxiu, l’usuari a càrrec d’aquesta haurà de custodiar-la impedint l’accés a tercers no autoritzats.
-Cada usuari es farà responsable d’emmagatzemar de manera protegida la informació sensible en paper quan abandoni el lloc de treball.
-Els llocs de recollida/enviament de correu postal, enviaments de fax, fotocopiadores i escàners estaran en llocs restringits a persones externes i cada usuari s’encarregarà de recollir immediatament els documents enviats a aquests dispositius.
-Respecte de les impressores, cada responsable del seu lloc de treball haurà d’assegurar-se que no queden documents impresos en la safata de sortida que continguin dades protegides i retirar aquests documents conforme vagin sent impresos en el cas que s’utilitzin impressores compartides. En cas que al professional se li hagi lliurat una targeta/codi d’impressió estarà obligat a fer-ne ús.
-La documentació es destruirà usant les màquines destructores de paper o contenidors destinats a aquesta finalitat.
10. GESTIÓ D’INCIDÈNCIES, BRETXES DE SEGURETAT
Una incidència és la circumstància que compromet o pot comprometre algun dels aspectes relacionats amb la seguretat de la informació, fonamentalment confidencialitat, integritat i disponibilitat, sigui quin sigui el suport i el tractament que se’n faci: la pèrdua o robatori d’un dispositiu (smartphone, ordinador portàtil, tablet , etc.), l’accés no autoritzat a les bases de dades, l’esborrat accidental de fitxers que continguin dades de caràcter personal, la fuita d’informació a causa d’un atac a la xarxa corporativa o a la pàgina web, la pèrdua de documentació amb informació sensible, etc.)
Tot usuari que intervingui en el tractament de dades de caràcter personal i/o informació confidencial, així com en el desenvolupament d’activitats relacionades amb la seguretat té l’obligació de col·laborar activament en la seguretat de la informació, si detecta una incidència o anomalia relacionada amb la informació que contingui dades de caràcter personal i/o informació confidencial, i és responsable de notificar-ho al seu responsable immediat per poder prendre les mesures oportunes.
11. TREBALL A DISTÀNCIA I TELETREBALL
Aquestes mesures apliquen a les activitats dels usuaris que es duguin a terme en situacions de treball a distància i/o teletreball i tenen per objecte garantir el compliment dels principis de confidencialitat, disponibilitat, integritat i resiliència en el sistema d’informació i tractament de dades personals i informació, així com per al compliment i respecte per als drets i les llibertats dels interessats.
-El Responsable amb la finalitat de gestionar el treball a distància i teletreball, podrà adoptar les mesures que consideri més oportunes de vigilància i control per verificar el compliment per la persona treballadora de les seves obligacions i deures laborals.
Cada usuari, té el seu propi perfil amb les mesures de seguretat pròpies i inherents al seu càrrec.
-Els servidors de estan permanentment actualitzats tant a nivell d’aplicacions com de sistema operatiu i antivirus. Les configuracions fixades per a cadascun dels perfils no poden ser desactivades ni modificades pels usuaris. Només es poden instal·lar les aplicacions autoritzades pel Responsable.
-En cas que es permeti l’ús de dispositius particulars de l’usuari i sempre que sigui possible, es restringirà la connexió a una xarxa que únicament proporcioni un accés limitat als recursos necessaris per fer les seves funcions.
-Els accessos realitzats a la xarxa corporativa des de l’exterior es monitoritzen per identificar possibles accessos no autoritzats o patrons de comportament anòmals i també
s’utilitza per a la verificació del compliment de les obligacions laborals respectant sempre la Llei.
-El personal autoritzat per treballar a distància i/o teletreballar haurà de respectar les condicions de teletreball o treball a distància i aquesta política, complint les mesures i les directrius detallades a continuació:
-Utilitzar contrasenyes d’accés al sistema robustes i diferents de les utilitzades en l’àmbit particular.
-No descarregar ni instal·lar cap programari ni aplicació que no hagi estat prèviament autoritzat pel Responsable.
-Verificar els correus electrònics rebuts, tant comprovant que el domini electrònic del remitent sigui vàlid i/o conegut, com no descarregar mai fitxers adjunts estranys, amb extensions inusuals o amb enllaços inclosos al cos del correu sospitosos.
-Si s’utilitzen dispositius corporatius, evitar l’accés a xarxes socials personals, correu electrònic personal, pàgines web o altres llocs susceptibles de contenir virus.
-Si s’usen dispositius particulars definir perfils independents per desenvolupar les tasques.
Disposar d’antivirus i antimalware operatiu i actualitzat en el dispositiu.
Protegir les contrasenyes, certificats, etc. control d’accés remot del Responsable.
Evitar la connexió dels dispositius a llocs públics mitjançant xarxes WIFI públiques o obertes.
Si no s’estan utilitzant la WIFI o el Bluetooth, desactivar-los.
Quan no es faci teletreball, desconnectar la sessió d’accés remot i apagar o bloquejar l’accés al dispositiu, evitar exposar la pantalla a tercers, bloquejar la sessió quan el dispositiu estigui desatès.
Sobre els documents en paper: minimitzar la documentació en suport paper, evitar els accessos no autoritzats, garantir una destrucció total de la documentació innecessària. No llençar papers sencers o en trossos grans en llocs públics o a les escombraries domèstiques.
Sobre l’emmagatzematge de la informació: emmagatzemar la informació i documentació als espais digitals habilitats pel Responsable, revisar i eliminar periòdicament els fitxers temporals del navegador o descàrregues de documents, no utilitzar aplicacions no autoritzades pel Responsable per compartir informació.
12. REVISIÓ DELS SISTEMES
Quan s’estimi necessari el responsable podrà revisar periòdicament, a través dels serveis tècnics, el contingut dels discs durs dels ordinadors o sistemes d’emmagatzematge d’informació, les dades de les connexions dels professionals als sistemes, les dades de les connexions dels professionals a Internet. Les revisions es faran respectant en tot cas els principis de legalitat, idoneïtat, proporcionalitat i raonabilitat de la revisió esmentada.
13. DRETS DIGITALS A L’ÀMBIT LABORAL
La LOPDGDD 3/2018 introdueix un nou TÍTOL X, sobre la “ Garantia dels Drets Digitals ”, que inclou drets, alguns relacionats directament amb les relacions laborals del Responsable: Dret a la intimitat i ús dels dispositius digitals a l’àmbit laboral (article 87), Dret a la desconnexió digital a l’àmbit laboral (article 88), Dret a la intimitat davant l’ús de dispositius de videovigilància i d’enregistrament de sons al lloc de treball (article 89), Dret a la intimitat davant la utilització de sistemes de geolocalització en l’àmbit laboral (article 90), Drets digitals en la negociació col·lectiva (article 91). Sobre aquests drets digitals, el Responsable podrà establir els protocols que cregui necessaris i incloure’ls en aquesta normativa o en un altre document intern,
14. ÚS DE LES XARXES SOCIALS
-La creació de perfils en xarxes socials utilitzant el nom del Responsable està autoritzada únicament als professionals que comptin amb autorització expressa de del Responsable.
Els usuaris que s’identifiquin a les xarxes socials com a empleats o col·laboradors del Responsable seran personalment responsables del que publiquin a mitjans socials. En cap moment no exerciran de portaveus del Responsable no el representaran, ni utilitzaran logotips o elements de la imatge corporativa.
-La participació a les xarxes socials es farà sempre a títol personal. L’usuari ha d’aclarir que en nom seu, haurà d’identificar-se amb el nom real i amb el càrrec, quan publiqui sobre temes relacionats amb el sector d’activitat del Responsable.
-L’usuari ha de mantenir en les xarxes, una actitud coherent amb el càrrec i les seves responsabilitats.
L’usuari no pot fer difusió d’informació confidencial o sensible del Responsable i demanarà permís sempre per publicar continguts que puguin ser de caràcter intern o que no hagin estat fets públics pels canals de comunicació habituals del Responsable.
L’usuari no publicarà vídeos, imatges, música o textos sense l’autorització de l’autor o propietari dels drets si és el cas. No és permès publicar en xarxes socials crítiques el Responsable, els seus integrants, la competència, els clients o les autoritats administratives i/o judicials.
15. ACTUALITZACIÓ D’AQUEST DOCUMENT
Aquest document serà revisat de forma periòdica pel Responsable quan es produeixi un canvi substancial en l’estructura organitzativa, tecnològica, processos de del Responsable o de caràcter legal o regulatori aplicable a l’activitat del Responsable. El seu contingut es comunicarà a tots els usuaris i també s’informarà del seu obligat compliment.
I en prova de conformitat el sotasignat, com a usuari dels recursos informàtics i sistemes d’informació i coneixedor d’informació del Responsable, manifesta haver llegit i comprès el document de Funcions i Obligacions dels Usuaris sobre la utilització de la informació del Responsable i l´ús dels recursos i sistemes d’Informació. L’usuari i es compromet a complir el contingut del present document.