Junta de Extremadura

El Consejo de Gobierno de la Junta de Extremadura el día 1 de julio de 2025, ha aprobado el Acuerdo por el que se establece una nueva Política de Privacidad y Seguridad de la Información de la Administración de la Comunidad Autónoma de Extremadura, teniendo en cuenta el contenido del mismo y lo dispuesto en el apartado 2 del artículo 11 del Decreto 17/2025, de 1 de abril, por el que se regula el Diario Oficial de Extremadura,

Ordenar la publicación en el Diario Oficial de Extremadura del Acuerdo del Consejo de Gobierno de la Junta de Extremadura, de 1 de julio de 2025, por el que se establece una nueva Política de Privacidad y Seguridad de la Información de la Administración de la Comunidad Autónoma de Extremadura, el cual se incorpora como anexo a la presente resolución.

Mérida, 15 de julio de 2025.

La Junta de Extremadura tiene como misión servir con objetividad a los intereses generales y procurar satisfacer, con eficacia y eficiencia, las necesidades públicas, de conformidad con los principios constitucionales y estatutarios, para beneficio de la ciudadanía.

En el Estatuto de Autonomía de la Comunidad Autónoma de Extremadura, en la redacción dada al mismo por la Ley Orgánica 1/2011, de 28 de enero, se impone, entre otros, facilitar el acceso a las nuevas tecnologías de la información y comunicación a los ciudadanos y empresas (artículo 7), ajustar su actuación a los principios de buena fe, confianza legítima, transparencia, calidad en el servicio a los ciudadanos (artículo 37.2) y como medidas de buena administración “regular los procedimientos administrativos propios y adaptar los procedimientos generales para dar celeridad y transparencia a la tramitación administrativa, para extender las relaciones interadministrativas y con los ciudadanos por medios telemáticos y para la simplificación de trámites” (artículo 39.2).

De acuerdo con ello, la Ley 4/2013, de 21 de mayo, de Gobierno Abierto de Extremadura, previene que la buena administración y el buen gobierno administrativo deberán ser informados por los principios previstos en la normativa básica del Estado y otros tales como de modernización, accesibilidad y prevención dirigidos a impulsar el proceso de transformación digital de la Administración pública.

Dichas previsiones deben ser contextualizadas en el marco de actuación del sector público definido por la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas y la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, que imponen el funcionamiento de las Administraciones Públicas, por medios electrónicos, para satisfacción de la ciudadanía preservando la protección de datos de carácter personal y, en particular, la seguridad y confidencialidad de los datos que figuren en los ficheros, sistemas y aplicaciones que dispongan para prestar servicios públicos.

En relación con este ámbito, el Real Decreto 311/2022, de 3 de mayo por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica (en adelante, ENS), establece la necesidad de disponer de Política de Seguridad en la utilización de medios electrónicos por parte de las entidades públicas, asegurando la protección adecuada de la información y los servicios electrónicos, y siendo necesaria su aprobación por el órgano competente.

A nivel autonómico, el Decreto 225/2014, de 14 de octubre, de régimen jurídico de administración electrónica de la Comunidad Autónoma de Extremadura establece las bases para el uso de medios electrónicos en la Administración pública de Extremadura, facilitando la relación entre la Administración y los ciudadanos, así como las relaciones con otras Administraciones Públicas. Dicho decreto, establece en su disposición adicional séptima que el Consejo de Gobierno establecerá una Política de Seguridad de la Información, donde se marcarán las directrices de la Administración para garantizar el acceso, la integridad, la autenticidad, la confidencialidad y la conservación de los datos, informaciones y servicios que gestionen en el ejercicio de sus competencias . La Política de Privacidad y Seguridad de la Información será reglamentariamente desarrollada por la Consejería competente en materia de administración electrónica, a través del órgano directivo competente conforme al apartado tercero de la Disposición Adicional Séptima del Decreto 225/2014 .

Dicha Política debe ser coherente con la Estrategia de Ciberseguridad de la Unión Europea, con las exigencias del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas, en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), que sienta las bases de una normativa de privacidad, en el auge de la economía digital, para garantía de los derechos de la ciudadanía, y con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que adapta dicho Reglamento General de Protección de Datos al ámbito nacional, reconociendo y recopilando, además, un catálogo de derechos digitales.

El 26 de junio de 2018, se aprobó por Acuerdo de Consejo de Gobierno de la Junta de Extremadura, la actual Política de Privacidad y Seguridad de la información de la Administración de la Comunidad Autónoma de Extremadura, que cumple con las obligaciones recogidas en la normativa vigente hasta esa fecha. Resultó oportuno e idóneo establecer dicha Política, que define las directrices de la Administración para garantizar la integridad, disponibilidad, autenticidad, confidencialidad, trazabilidad de los datos personales que dispone, conserva y obtiene en la prestación de los servicios de interés público para preservar e incrementar la confianza de la ciudadanía, pero que se ha quedado obsoleta.

A estos efectos, a propuesta de la Comisión de Coordinación de Administración Electrónica, previa iniciativa de la Dirección General de Digitalización de la Administración, conforme a lo dispuesto en la Disposición adicional séptima del Decreto 225/2014, de 14 de octubre, de régimen jurídico de la administración electrónica de la Comunidad Autónoma de Extremadura en relación con el artículo 8 del Decreto 234/2023, de 12 de septiembre, que establece la estructura orgánica de laConsejería de Economía, Empleo y Transformación Digitalde la Comunidad Autónoma de Extremadura, se establece por Acuerdo del Consejo de Gobierno, una nueva Política de Privacidad y Seguridad de la Información de la Administración de la Comunidad Autónoma de Extremadura.

En este sentido, el contenido del documento que se somete a aprobación del Consejo de Gobierno está determinado por la normativa básica estatal y autonómica. Así, el ENS, en su Anexo II, Sección 3. Marco organizativo [ORG], 3.1 Política de seguridad [org.1], precisa que La política de seguridad, que se aprobará de conformidad con lo dispuesto en el artículo 12 de este real decreto, se plasmará en un documento en el que, de forma clara, se precise, al menos, lo siguiente:

.

La disposición adicional séptima del Decreto 225/2014, de 14 de octubre, indica que la Política de Seguridad de la Información de la Comunidad Autónoma de Extremadura cumplirá los principios básicos y los requerimientos mínimos recogidos en el ENS.

Con estas premisas, la Política que sea de aplicación en nuestra administración pública, necesariamente tiene que cumplir con el contenido prescrito en el ENS, que además de lo indicado en el anexo II ya enunciado, en su artículo 11 configura la seguridad como función diferenciada en la que se contemplan varios roles posibles, debiendo detallar la correspondiente política de la seguridad las atribuciones de cada responsable y los mecanismos de coordinación y resolución de conflictos, exigiendo el artículo 12 que todas las Administraciones públicas dispongan formalmente de su política de seguridad, que se aprobará por el órgano competente correspondiente.

Atendiendo a estas previsiones y resultando que en la Administración de la Comunidad Autónoma de Extremadura la competencia sobre administración electrónica y la gestión de los sistemas de información y comunicaciones se ejerce de forma transversal, por la Dirección General de Digitalización de la Administración y, coordinada por la Secretaría General de Transformación Digital y Ciberseguridad, resulta oportuno diseñar un modelo de política que permita definir un marco común en toda nuestra Administración Pública ajustado a las previsiones, no pudiendo desconocer sus requerimientos mínimos ni desarrollarlos de otro modo pues se correría el riesgo de dejar de tener la consideración de política como anteriormente se ha señalado.

Por todo ello, el documento ha sido elaborado cumpliendo dichos requerimientos sin incorporar al ordenamiento organizativo otras funciones o responsabilidades de las definidas por la Ley 1/2002, de 28 de febrero, del Gobierno y de la Administración de la Comunidad Autónoma de Extremadura.

El alcance de la política se extiende a las previsiones y requisitos del ENS y a la normativa de protección de datos bajo la consideración que esta última forma parte de la seguridad de la información, lo que se desprende de la inclusión de ambas materias en el derecho de la ciudadanía a que refiere el artículo 13.h) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.

De acuerdo con ello, los principios, requisitos mínimos y otras referencias contenidas en la nueva Política de Privacidad y Seguridad de la información se han elaborado considerando el conjunto de normas vigentes de dichos ámbitos normativos.

En particular se han considerado según lo dispuesto en el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas, en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), así como en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), en el Real Decreto 1720/2007, de 21 de diciembre por el que se aprueba el Reglamento de desarrollo en lo que no contradiga a la normativa anteriormente citada, en el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica (en adelante, ENS) y en las Guías CCN-STIC de Seguridad, que constituyen un cuerpo de normas, instrucciones, guías y recomendaciones desarrolladas por el Centro Criptológico Nacional, perteneciente al Centro Nacional de Inteligencia, con el fin de mejorar el grado de ciberseguridad de las organizaciones (CCN-STIC-805 Política de Seguridad de la Información, CCN-STIC-830 Ámbito de aplicación del Esquema Nacional de Seguridad, CNN-STIC-800 Glosario de términos y abreviaturas del ENS, CCN-STIC-801 Responsabilidades y Funciones en el ENS).

En este sentido, se ha propuesto describir las directrices con un lenguaje sencillo y simplificado evitando en la medida de lo posible los tecnicismos para facilitar su entendimiento por toda la organización. Por todo ello, se estima que el contenido de la Política cumple sobradamente con el contenido legalmente impuesto.

La aprobación por el Consejo de Gobierno de la Política debe adoptar la forma de acuerdo considerando que su contenido está definido reglamentariamente por la normativa superior de carácter básica y que la necesidad de establecerse por el Consejo de Gobierno está impuesta por la disposición adicional séptima del Decreto 225/2014, aprobado en el momento que estaba vigente el Real Decreto 3/2010, de 8 de enero, sin requerir su desarrollo reglamentario.

La normativa básica reguladora del ENS requiere, entre otros aspectos, Los roles o funciones de seguridad, definiendo para cada uno, sus deberes y responsabilidades, así como el procedimiento para su designación y renovación (artículo 12.1 c) ENS), y dichas funciones están determinadas legalmente al precisarse las mismas en el artículo 13 ENS.

De acuerdo con ello, la propuesta organizativa incluida en la política se realiza de conformidad con los mandatos de la normativa superior (sometida a los trámites de información) consistiendo en una simple contextualización de dichas previsiones en la estructura organizativa de la Administración autonómica considerando lo que se precisa en la Ley 1/2002, de 28 de febrero, de la Administración de la Comunidad Autónoma de Extremadura, respecto a las funciones y responsabilidades que deben asumir los respectivos órganos que se estructura la acción de gobierno administrativa tales como Presidente, Consejeros, Secretarias Generales de las Consejerías y órganos directivos.

El documento no contempla funciones distintas de las que legalmente se desprenden del marco normativo de lo que viene impuesto legalmente en leyes, reglamentos europeos, normativa sobre seguridad de la información y preceptos del Decreto 225/2014, de 14 de octubre, de régimen jurídico de la Administración electrónica en la Comunidad Autónoma de Extremadura.

A modo de ejemplo, la atribución al Consejo de Gobierno de la competencia para definir la Estrategia de Privacidad y Seguridad de la Información, que habrá de informar la acción de gobierno de la Administración de la Comunidad Autónoma de Extremadura, estableciendo las condiciones necesarias de confianza en la ciudadanía para el ejercicio de sus derechos y cumplimiento de las obligaciones y que será aprobada a propuesta de la Consejería con competencias en materia de administración electrónica, tiene su sede en lo dispuesto en el artículo 12 del Decreto autonómico. Conforme al mismo, al Consejo de Gobierno le corresponde aprobar la política y estrategia de administración electrónica, en la que estimamos embebida la estrategia en este ámbito de actuación considerando el régimen de competencias definido reglamentariamente.

La efectividad de la organización operativa de la privacidad y seguridad de la información contemplada en el texto de la nueva Política de Privacidad y Seguridad de la Información de la Administración de la Comunidad Autónoma de Extremadura requiere la modificación de la Disposición adicional quinta del Decreto 77/2023, de 21 de julio, por el que se establece la estructura orgánica básica de la Administración de la Comunidad Autónoma de Extremadura. Esta disposición recoge a los Órganos con competencias en materia de política de privacidad y seguridad de la información, de conformidad con lo establecido en la citada Política Privacidad y Seguridad aprobada por Acuerdo del Consejo de Gobierno de la Junta de Extremadura del año 2018.

No obstante, debido a que como hemos mencionado, con la nueva Política de Privacidad y Seguridad de la información se pretende modificar la organización operativa de la privacidad y seguridad de la información, lo cual requiere la referida modificación del Decreto 77/2023, de 21 de julio, debemos tener en cuenta el carácter de acto administrativo del acuerdo que aprueba la nueva Política de Privacidad y Seguridad de la Información, y asimismo lo dispuesto en el apartado 1 del artículo 37 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, al disponer respecto la inderogabilidad singular de los actos administrativos que Las resoluciones administrativas de carácter particular no podrán vulnerar lo establecido en una disposición de carácter general, aunque aquéllas procedan de un órgano de igual o superior jerarquía al que dictó la disposición general .

Como consecuencia de lo mencionado anteriormente, el acuerdo del Consejo de Gobierno de la Junta de Extremadura mediante el que se aprueba la Nueva Política de Privacidad y Seguridad no podría modificar lo establecido mediante una norma de carácter general, como es el citado Decreto 77/2023, de 21 de julio. Por este motivo, resulta necesario que lo previsto en el apartado 6 del anexo del acuerdo por el que se establece la actual Política de Privacidad y Seguridad ( DISTRIBUCIÓN ORGÁNICA DE FUNCIONES EN EL ÁMBITO DE LA PRIVACIDAD Y SEGURIDAD DE LA INFORMACIÓN ) continue produciendo sus efectos hasta la entrada en vigor de la modificación de la citada Disposición adicional quinta del Decreto 77/2023, de 21 de julio. Asimismo, resulta necesario que el apartado 8 del anexo del acuerdo por el que se establece la nueva política de Privacidad y Seguridad ( DISTRIBUCIÓN ORGÁNICA DE FUNCIONES EN EL ÁMBITO DE LA PRIVACIDAD Y SEGURIDAD DE LA INFORMACIÓN ) no empiece a producir sus efectos hasta la entrada en vigor de la modificación de la referida Disposición adicional quinta del Decreto 77/2023, de 21 de julio.

Por ello y, teniendo en cuenta que la actual Política de Privacidad y Seguridad de la Información de la Administración de la Comunidad Autónoma de Extremadura se aprobó con anterioridad a la entrada en vigor de la LOPDGDD y del vigente ENS, se considera necesaria la aprobación de una nueva Política de Privacidad y Seguridad de la Información de la Administración de la Comunidad Autónoma de Extremadura, la implicación de todos los órganos superiores y centros directivos mencionados en la misma en su implementación y puesta en práctica, y su posterior desarrollo por la Consejería competente en materia de administración electrónica.

Por todo lo cual, el Consejo de Gobierno de la Junta de Extremadura, a propuesta del Consejero de Economía, Empleo y Transformación Digital, de conformidad con lo establecido en los artículos 23 y 90.3 de la Ley 1/2002, de 28 de febrero, del Gobierno y la Administración de la Comunidad Autónoma de Extremadura

La Junta de Extremadura tiene como misión servir con objetividad a los intereses generales y procurar satisfacer, con eficacia y eficiencia, las necesidades públicas, de conformidad con los principios constitucionales y estatutarios, para beneficio de la ciudadanía.

En la Ley Orgánica 1/2011, de 28 de enero, de reforma del Estatuto de Autonomía de la Comunidad Autónoma de Extremadura se impone, entre otros, facilitar el acceso a las nuevas tecnologías de la información y comunicación a los ciudadanos y empresas (Art 7), ajustar su actuación a los principios de buena fe, confianza legítima, transparencia, calidad en el servicio a los ciudadanos (Artículo 37.2) y como medidas de buena administración “regular los procedimientos administrativos propios y adaptar los procedimientos generales para dar celeridad y transparencia a la tramitación administrativa, para extender las relaciones interadministrativas y con los ciudadanos por medios telemáticos y para la simplificación de trámites” (artículo 39.2).

De acuerdo con ello, la Ley 4/2013, de 21 de mayo, de Gobierno Abierto de Extremadura, previene que la buena administración y el buen gobierno administrativo deberán ser informados por los principios previstos en la normativa básica del Estado y otros tales como de modernización, accesibilidad y prevención dirigidos a impulsar el proceso de transformación digital de la Administración pública.

Dichas previsiones deben ser contextualizadas en el nuevo marco de actuación del sector público definido por la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas y la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, que imponen el funcionamiento de las Administraciones Públicas, por medios electrónicos, para satisfacción de la ciudadanía preservando la protección de los datos personales y, en particular, la seguridad y confidencialidad de los mismos que figuren en los registros, sistemas y aplicaciones que dispongan para prestar servicios públicos.

Por todo ello, para la Junta de Extremadura la información constituye un activo de primer nivel ya que resulta esencial para la prestación de los servicios que satisfacen las necesidades de la ciudadanía. La rápida evolución tecnológica y la globalización han planteado nuevos retos para la protección de la información. Si bien, son estas tecnologías de la información y las comunicaciones imprescindibles, en términos de eficacia y eficiencia, para las administraciones públicas. No obstante, vienen acompañadas de nuevos riesgos y, por lo tanto, es necesario introducir medidas específicas para proteger tanto la información como los servicios que dependan de ellas.

En relación con este ámbito, el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (en adelante, ENS ), establece la necesidad de que todos los órganos superiores de las Administraciones Públicas dispongan formalmente de una política de seguridad aprobada por el titular del órgano superior, que cumpla los principios básicos y requisitos mínimos que precisa para proteger adecuadamente la información.

El Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad en el ámbito de la Administración Electrónica, establece la obligación en su artículo 9 a que cada Administración Pública disponga de un registro actualizado con el conjunto de sus inventarios de información administrativa y que esta información y documentos electrónicos se aseguren de conformidad con lo establecido en el ENS.

A nivel autonómico, resulta relevante destacar la Ley 8/2019, de 5 de abril, para una Administración más ágil en la Comunidad Autónoma de Extremadura que tiene por objeto el establecimiento de medidas de impulso para facilitar la actividad empresarial en la Comunidad Autónoma de Extremadura y la adopción de medidas de simplificación y mejora de la Administración autonómica, así como la Ley 4/2022, de 27 de julio, de racionalización y simplificación administrativa de Extremadura que entre otras estipulaciones recoge que el gobierno de los datos está orientado a la consecución de una gestión pública cercana a la ciudadanía, automatizada y segura .

Asimismo, el Decreto 225/2014, de 14 de octubre, de régimen jurídico de administración electrónica de la Comunidad Autónoma de Extremadura, cuyo ámbito de aplicación se extiende a la Administración de la Comunidad Autónoma, los organismos públicos vinculados o dependientes de la misma sujetos a derecho público y los restantes organismos cuando ejerzan potestades públicas, a la ciudadanía y a las relaciones con otras Administraciones Públicas, establece en su Disposición Adicional Séptima que el Consejo de Gobierno establecerá una Política de Seguridad de la Información, donde se marcarán las directrices de la Administración para garantizar el acceso, la integridad, la autenticidad, la confidencialidad y la conservación de los datos, informaciones y servicios que gestionen en el ejercicio de sus competencias y añade la Política de Seguridad de la Información será reglamentariamente desarrollada por la Consejería competente en materia de administración electrónica, a través del órgano directivo competente .

Dicha Política debe ser coherente con la Estrategia de Ciberseguridad de la Unión Europea y las exigencias del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas, en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), así como Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y del Real Decreto 1720/2007, de 21 de diciembre por el que se aprueba el Reglamento de desarrollo en lo que no contradiga a la normativa anteriormente citada, sentando las bases de una normativa de privacidad, en el auge de la economía digital, para garantía de los derechos y libertades de la ciudadanía.

Por todo lo anterior, resulta oportuno e idóneo establecer la Política de Privacidad y Seguridad de la Información de la Comunidad Autónoma de Extremadura que define las directrices de la Administración para garantizar la integridad, disponibilidad, autenticidad, confidencialidad, trazabilidad de los datos que dispone, conserva y obtiene en la prestación de los servicios de interés público para preservar e incrementar la confianza de la ciudadanía.

A estos efectos, a propuesta de la Comisión de Coordinación de Administración Electrónica, previa iniciativa de la Secretaria General de Transformación Digital y Ciberseguridad, conforme a lo dispuesto en la Disposición adicional séptima del Decreto 225/2014, de 14 de octubre, de régimen jurídico de la administración electrónica de la Comunidad Autónoma de Extremadura, en relación con el artículo 7 del Decreto 234/2023, de 12 de septiembre, por el que se establece la estructura orgánica de la Consejería de Economía, Empleo y Transformación Digital, se establece, por Acuerdo del Consejo de Gobierno, la Política de Privacidad y Seguridad. Todo ello conforme al artículo 12.2 del Real Decreto 311/2022, de 3 de mayo, que considera que cada administración pública contará con una política de seguridad formalmente aprobada por el órgano competente.

Política de Privacidad y Seguridad de la Información de la Administración de la Comunidad Autónoma de Extremadura.

TÉRMINOS Y ACRÓNIMOS.

1. MISIÓN, OBJETO Y ALCANCE.

2. DEFINICIONES.

3. MARCO REGULADOR DE LA PRIVACIDAD Y SEGURIDAD DE LA INFORMACIÓN.

4. MARCO NORMATIVO.

5. ESTRATEGIA DE PRIVACIDAD Y SEGURIDAD DE LA INFORMACIÓN.

6. POLÍTICA DE PRIVACIDAD Y SEGURIDAD DE LA INFORMACIÓN.

7. DESARROLLO DE LA PPSI.

8. DISTRIBUCIÓN ORGÁNICA DE FUNCIONES EN EL ÁMBITO DE LA PRIVACIDAD Y SEGURIDAD DE LA INFORMACIÓN.

9. PRINCIPIOS BÁSICOS Y REQUISITOS MÍNIMOS DE LA PRIVACIDAD Y SEGURIDAD DE LA INFORMACIÓN.

10. SISTEMA DE GESTIÓN DE LA PRIVACIDAD Y SEGURIDAD DE LA INFORMACIÓN.

11. EVALUACIÓN DE LA PRIVACIDAD Y SEGURIDAD DE LA INFORMACIÓN.

12. ORGANISMO PAGADOR DE EXTREMADURA.

13. RELACIÓN CON TERCERAS PARTES.

TÉRMINOS Y ACRÓNIMOS.

ACAEx: Administración de la Comunidad Autónoma de Extremadura.

CCN: Centro Criptológico Nacional.

CEPD: Comité Europeo de Protección de Datos.

CPSI: Comité de Privacidad y Seguridad de la Información.

ENS: Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (Real Decreto: 3/2010 en su regulación normativa vigente).

FEADER: Fondo Europeo Agrícola de Desarrollo Rural.

FEAGA: Fondo Europeo Agrícola de Garantía.

LGACAEx: Ley 1/2002, de 28 de febrero, del Gobierno y de la Administración de la Comunidad Autónoma de Extremadura.

PPSI: Política de Privacidad y Seguridad de la Información.

RGPD: Reglamento General de Protección de Datos (Reglamento (UE) 2016/679).

LOPDGGD: Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

RJAE: Decreto 225/2014, de 14 de octubre, de régimen jurídico de administración electrónica de la Comunidad Autónoma de Extremadura.

RSI: Responsable de Seguridad de la Información.

RSE: Responsable de Seguridad y Enlace.

SGPSI: Sistema de Gestión de Privacidad y Seguridad de la Información.

TIC: Tecnologías de la Información y Comunicación.

PIC: Protección de Infraestructuras Críticas.

CNPIC: Comisión Nacional de Protección de Infraestructuras Críticas.

1. MISIÓN, OBJETO Y ALCANCE.

2. DEFINICIONES.

3. MARCO REGULADOR DE LA PRIVACIDAD Y SEGURIDAD DE LA INFORMACIÓN.

Para el cumplimiento de los requisitos aplicables se identifican los siguientes elementos comprensivos del marco regulador de la privacidad y seguridad de la información:

4. MARCO NORMATIVO.

El marco normativo se compone de las normas de ámbito autonómico, estatal y europeo que afecten a la gestión de la Privacidad y Seguridad de la Información. Dicha normativa aplicable se encuentra publicada y actualizada en el Punto de Acceso General de la ACAEx apartado de Privacidad y Seguridad de la Información.

5. ESTRATEGIA DE PRIVACIDAD Y SEGURIDAD DE LA INFORMACIÓN.

De manera periódica, la ACAEX establecerá las líneas de actuación y objetivos en materia de privacidad y seguridad de la información, para un contexto y período determinados y al objeto de garantizar confianza de la ciudadanía en los servicios públicos digitales para el ejercicio de sus derechos y el cumplimiento de las obligaciones de esta Administración.

La estrategia de Privacidad y Seguridad de la Información, como parte de la Estrategia Global de la ACAEx en materia digital, podrá incorporarse en dicho proceso y será aprobada por Acuerdo de Consejo de Gobierno a propuesta de la persona titular de la Consejería con competencias en materia de Administración Electrónica, pudiendo ser sometida, con carácter previo, al análisis y opinión del Comité de Privacidad y Seguridad de la Información en su labor de asistencia a dicha Consejería.

6. POLÍTICA DE PRIVACIDAD Y SEGURIDAD DE LA INFORMACIÓN.

La PPSI es el conjunto de directrices que rigen la forma en que la ACAEx gestiona y protege la información que trata y los servicios que presta.

Será aprobada por Acuerdo de Consejo de Gobierno a propuesta de la persona titular de la Consejería con competencias en materia de administración electrónica, oídas las declaraciones del Comité de Privacidad y Seguridad de la Información en su labor de asistencia a la persona titular de dicha Consejería.

7. DESARROLLO DE LA PPSI.

La documentación de desarrollo de la PPSI se estructura jerárquicamente en los siguientes niveles.

Al objeto de contar con un marco documental de desarrollo de la PPSI integrado, se procurará que cada documento, de un nivel determinado esté fundamentado en documentación de niveles superiores. Atendiendo a la necesidad de conocer, se dará acceso a la documentación de desarrollo de la PPSI siguiendo los procesos formales de gestión, acceso, publicación y difusión de la citada documentación.

8. DISTRIBUCIÓN ORGÁNICA DE FUNCIONES EN EL ÁMBITO DE LA PRIVACIDAD Y SEGURIDAD DE LA INFORMACIÓN.

9. PRINCIPIOS BÁSICOS Y REQUISITOS MÍNIMOS DE LA PRIVACIDAD Y SEGURIDAD DE LA INFORMACIÓN.

El ENS, como casi cualquier normativa o estándar de seguridad, se estructura en principios, requisitos y medidas de seguridad, aportando así un enfoque de lo más general a lo más concreto en su desarrollo.

Los principios son las premisas a tener en cuenta para garantizar que una organización puede cumplir sus objetivos, desarrollar sus funciones y ejercer sus competencias utilizando sistemas de información y que se concretan en requisitos mínimos como especificaciones para una protección adecuada de la información y los servicios. Los anteriores descienden a un conjunto de medidas de seguridad que conducen el proceso de seguridad para lograr el cumplimiento de los principios básicos y requisitos mínimos establecidos.

10. SISTEMA DE GESTIÓN DE LA PRIVACIDAD Y SEGURIDAD DE LA INFORMACIÓN.

La ACAEx considera fundamental la gestión de la privacidad y seguridad de la información, por lo que se plantea como objetivo disponer de un sistema de gestión que incluya la planificación, organización, control de recursos de privacidad y seguridad de la información con mejora continua, actualización y aprobación periódica.

11. EVALUACIÓN DE LA PRIVACIDAD Y SEGURIDAD DE LA INFORMACIÓN.

De manera periódica y conforme al perfil de cumplimiento de los activos involucrados se llevará a cabo una evaluación del cumplimiento de las medidas establecidas por la ACAEx para la gestión de privacidad y seguridad de la información.

Para la realización de la evaluación se seguirá un proceso sistemático y documentado cuyos resultados formarán parte del proceso de revisión y mejora de la privacidad y seguridad.

El responsable del proceso de evaluación será el Responsables de Privacidad y Seguridad de la Información. En dicho proceso deberán participar activamente los Responsables de privacidad y seguridad sectoriales, Responsables de Tratamiento y Delegados de Protección de Datos, estando obligados a aportar, al RPSI, los recursos que resulten necesarios para su realización.

12. ORGANISMO PAGADOR DE EXTREMADURA.

El Organismo Pagador de los Fondos Europeos Agrícolas de Garantía (FEAGA) y de Desarrollo Rural (FEADER), en base a sus obligaciones legales y normativas derivadas de la gestión de los citados fondos y de manera transitoria, podrá mantener una estructura organizativa específica y complementaria a la del RPSI de la Junta de Extremadura, para la gestión de la Privacidad y Seguridad de la Información en lo referente a sus competencias como Organismo Pagador.

La citada estructura, la normativa y las actuaciones que puedan desarrollarse en el ámbito de la privacidad y seguridad de la información del Organismo Pagador deberán ser coherentes con las de la ACAEx, en general, y con esta PPSI, para lo cual Organismo Pagador informará de las distintas planificaciones y resultados en este ámbito, atendiendo a las recomendaciones que se emitan por RPSI y CPSI.

Al objeto de que el RPSI de la ACAEx pueda desarrollar sus competencias en esta materia, Organismo Pagador facilitará, al personal designado por este o dependiente del mismo, el acceso a los recursos de información, documentales y de cualquier otra índole que resulten necesarios para el Gobierno de la Privacidad y Seguridad de la Información en la ACAEx.

A su vez, Organismo Pagador presentará al RPSI, sin dilación, los resultados de las evaluaciones en privacidad y seguridad de la información -internas y externas- que se lleven a cabo y con periodicidad anual, dentro del primer trimestre de cada año, un informe de su estado de la Seguridad de la Información.

13. RELACIÓN CON TERCERAS PARTES.

Cuando un tercero lleve a cabo un suministro, preste un servicio, utilice o se le cedan activos de información de la ACAEx, deberá cumplir con esta PPSI, así como con el desarrollo de la misma en lo que respecta al ámbito de la colaboración.

Los contratos, encargos o convenios que se suscriban con terceros deben incluir la obligación de cumplir esta Política, el sistema de verificación de su cumplimiento y la designación de una persona o punto de contacto para la seguridad de la información tratada o el servicio prestado que canalice y supervise el cumplimiento de los requisitos de aplicación y la gestión de incidentes de privacidad y seguridad de la información para el ámbito de la colaboración que realice.

Las obligaciones en materia de privacidad y seguridad de la información de los terceros que colaboren con la ACAEx se extenderán a aquellos otros -subcontratistas, proveedores y/o colaboradores- que participen en la cadena de provisión necesaria para la prestación del servicio o suministro.

Las personas de la ACAEx responsables de los contratos, encargos o convenios, suscritos con terceras partes serán responsables de la verificación, a lo largo de la vida de dichos instrumentos, de los requisitos de privacidad y seguridad establecidos en estos.