Política para la Conservación y Eliminación de Documentos

1. Objetivo

El objetivo de esta política es establecer directrices operativas para el almacenamiento seguro y la destrucción de los datos personales en poder de COOPERATIVA DE AHORRO Y CRÉDITO COOPROGRESO LIMITADA (en adelante COOPROGRESO)para cumplir con el principio de limitación del período de almacenamiento de datos.

2. Alcance

La política se aplica a todos los datos personales que se traten en COOPROGRESO, en cualquiera de sus sistemas de procesamiento de información, así como a los datos procesados por los Encargados de Tratamiento de Datos contratados por COOPROGRESO.

3. Definiciones

• Datos personales: Cualquier información relativa a una persona física identificada o identificable.
• Encargado del tratamiento: Persona física o jurídica facultada por un instrumento jurídico o expresamente autorizada por el responsable del tratamiento para el tratamiento de los datos personales.
• Responsable del tratamiento: Persona física o jurídica que decide sobre el tratamiento de los datos personales.
• Titular: Persona a la que pertenecen los datos personales.
• Tratamiento: La recopilación, uso, divulgación o almacenamiento de datos personales, por cualquier medio. El uso abarca cualquier acción para acceder, almacenar, manejar, intercambiar, reenviar, explotar, transferir o disponer de cualquier otro modo de datos personales.
• Anonimización: Medida de seguridad técnica dirigida a impedir la identificación o reidentificación de una persona natural, sin esfuerzos desproporcionados.
• Bloqueo: Medida técnica que inhabilita el acceso a los datos personales, de forma que no puedan ser objeto de tratamiento.
• Eliminación: Supresión definitiva de los datos personales de las bases de datos, de manera que aquellos ya no sean accesibles ni recuperables.
• Seudonimización: Proceso mediante el cual los datos personales se sustituyen por seudónimos, de forma tal que, luego, no puedan atribuirse a un titular sin el uso de información adicional separada y debidamente protegida.
• Suspensión: Limitación temporal que, sin conllevar la eliminación de datos personales, restringe o impide al responsable, de forma provisional, para que pueda llevar a cabo nuevas actividades de tratamiento por un lapso específico.

4. Causas que permiten la eliminación de datos

4.1. Extinción de la base de legitimidad del tratamiento

Cuando los datos personales ya no sean necesarios para la finalidad que justificaba su recogida y tratamiento, o una vez cumplida y agotada dicha finalidad, deberán ser suprimidos, siempre que no sea necesario bloquearlos para responder a las posibles responsabilidades derivadas del tratamiento de los datos personales y durante el plazo de prescripción de dichas responsabilidades previsto en la legislación aplicable a COOPROGRESO.

4.2. Ejercicio del derecho de eliminación

El titular ejercerá el derecho de eliminación de sus datos personales si concurre alguna de las siguientes circunstancias:

1. El tratamiento de los datos no cumple los principios establecidos en la Ley Orgánica de Protección de Datos Personales.
2. El tratamiento de los datos no es necesario o pertinente para el cumplimiento de cierta finalidad.
3. Los datos personales ya no se necesitan para la finalidad para la cual fueron recogidos o tratados.
4. El plazo de conservación de los datos haya vencido.
5. El tratamiento de los datos afecta derechos fundamentales o libertades individuales.
6. El titular ha retirado el consentimiento en el que se basa el tratamiento, y no se basa en ninguna otra base de legitimación.
7. Los datos personales deben ser eliminados para el cumplimiento de una obligación legal establecida en las leyes aplicables.

En estos casos, los datos personales deben ser eliminados, a menos que sea necesario bloquearlos para responder a posibles responsabilidades derivadas del tratamiento de datos personales, y durante el período de prescripción de dichas responsabilidades previsto en las leyes aplicables a COOPROGRESO.

Sin embargo, el derecho de eliminación no se aplicará y, por lo tanto, los datos podrán seguir siendo tratados por COOPROGRESO, cuando se actualice cualquiera de las excepciones al derecho de eliminación previstas en la ley de protección de datos aplicable a COOPROGRESO.

4.3. Terminación del servicio prestado por los encargados del tratamiento.

Al finalizar la relación contractual con el proveedor de servicios que tuvo acceso a los datos personales, en cualquier etapa del ciclo de vida de los datos (recopilación, almacenamiento, procesamiento, transferencia, destrucción), COOPROGRESO se asegurará de que el proveedor elimine o devuelva los datos personales, y elimine las copias existentes, a menos que se requiera el almacenamiento de los mismos.

Se enviará una solicitud por escrito al proveedor para que proceda a la supresión o devolución de los datos, según corresponda. El proveedor debe proporcionar un documento firmado que certifique que ha realizado lo anterior.

5. Plazos legales de conservación de los datos

En aquellos casos en los que exista una obligación legal de conservar los datos durante un periodo determinado y/o durante los plazos de prescripción de las acciones que pudieran derivarse de la actividad o servicio prestado, COOPROGRESO procederá al bloqueo de los datos durante dichos plazos.

Los datos bloqueados sólo estarán a disposición de las autoridades competentes a los efectos de atender las posibles responsabilidades derivadas del tratamiento, durante el plazo de prescripción de dichas responsabilidades y/o durante los plazos legales establecidos al efecto.

Una vez transcurridos los plazos, los datos bloqueados deberán borrarse de acuerdo con los términos del apartado 6, a menos que existan motivos para que los plazos se conserven por un período ampliado de tiempo, según se explica a continuación.

5.1. Conservación ampliada de datos

La conservación ampliada de datos personales está regulada en el artículo 10, literal i, de la Ley Orgánica de Protección de Datos Personales, y en el artículo 11 del Reglamento de dicha ley. Esta conservación ampliada solo se permite en casos específicos, como para:

1. Razones de interés público en los ámbitos de la salud pública y privada, seguridad, laboral y educación.
2. La formulación, el ejercicio o la defensa de reclamaciones legales.
3. Para fines de archivo en interés público, investigación científica, histórica o estadística.

Para que aplique esta conservación, es imprescindible que se establezcan y apliquen garantías de seguridad y protección de datos personales adecuadas para salvaguardar los derechos de los titulares, tal como lo exige la normativa y lo regula internamente la Documentación Técnica de Gestión Documental.

La Autoridad de Protección de Datos Personales podrá requerir información adicional cuando lo considere necesario, ajustando estos requerimientos a las normas, lineamientos sobre plazos de conservación y estándares internacionales sobre la eliminación de datos.

6. Mecanismos de eliminación de datos

El área de Seguridad de la Información de COOPROGRESO es responsable de establecer y mantener procedimientos seguros de eliminación de datos que garanticen la destrucción adecuada de la información, de acuerdo con los principios de protección de datos y las necesidades específicas de la cooperativa. Estos mecanismos deben asegurar que la información en los diferentes medios de almacenamiento sea irrecuperable, tanto por medios ordinarios como extraordinarios.

Las acciones de eliminación incluyen:

1. Sobrescritura: Aplicar un patrón de datos sobre la información almacenada, cubriendo toda la superficie de almacenamiento según estándares internacionales como NIST 800-88. Esto aplica a discos duros, medios extraíbles (pendrives, tarjetas SSD, tarjetas de memoria), dispositivos móviles, y otros medios regrabables.
2. Trituración: Destruir físicamente el soporte que contiene la información, asegurando que los datos no puedan recuperarse. Este método se aplicará a CD, DVD, disquetes, medios magnéticos y ópticos, así como documentos en papel, y debe seguir lineamientos como los establecidos en NIST 800-88.

El propietario del activo de información es responsable de ejecutar las políticas establecidas en el Manual de seguridad de la información respecto a la Clasificación de la Información y a la ejecución del Instructivo de Clasificación de la información.

7. Procedimientos para la Conservación de Documentación en Archivo Pasivo

Es indispensable que un procedimiento estandarizado para que cada área de COOPROGRESO sepa cuándo y cómo transferir los documentos físicos al archivo pasivo a cargo del proveedor externo. Es importante que cada área cumpla con los plazos y requisitos establecidos, asegurándose de que la documentación enviada esté debidamente organizada y etiquetada para facilitar el registro, digitalización y almacenamiento.

1. Digitalización y Registro: El proveedor debe llevar un control de cada caja o documento recibido, incluyendo la creación de un registro detallado de los archivos digitalizados y almacenados. COOPROGRESO cuenta con acceso a este registro para su consulta y auditoría.
2. Control y Acceso: Establecer controles de acceso a los documentos almacenados en el archivo pasivo, permitiendo únicamente al personal autorizado acceder a la información. Esto debe garantizar que la seguridad de la información se mantenga, incluso cuando esté bajo custodia del proveedor.
3. Verificación: Implementar revisiones periódicas para verificar que el proveedor esté cumpliendo con los protocolos de conservación y custodia, asegurando que se mantengan las medidas de seguridad y confidencialidad de acuerdo con lo establecido en la política y en el contrato con el proveedor.

8. Procedimientos para la Identificación y Destrucción de Documentos Obsoletos o con Errores

1. Mapeo y Revisión de Archivos: Desarrollar un proceso de mapeo de documentos obsoletos, como tarjetas con errores o no retiradas, para identificar qué documentos requieren eliminación. Este proceso debe ser recurrente y debe involucrar a las áreas de operaciones y auditoría interna como observador. Es parte de un activo de información, el propietario del activo debe ejecutar el instructivo de clasificación de la información en referencia a la destrucción. Anexo 4 Formulario de Destrucción Información.
2. Acta de Destrucción: Documentar el proceso de eliminación a través de un acta que detalle los documentos destruidos, el método de destrucción, y el personal involucrado. Cada acta debe ser firmada por los responsables del área de operaciones y auditoría interna como observador. Es parte de un activo de información, el propietario del activo debe ejecutar el instructivo de clasificación de la información en referencia a la destrucción. Anexo 4 Formulario de Destrucción Información.
3. Método de Destrucción Seguro: Garantizar que los documentos sean destruidos mediante métodos seguros que hagan los datos irrecuperables, cumpliendo con los estándares especificados en la política (por ejemplo, trituración de documentos físicos o sobrescritura de archivos digitales). Es parte de un activo de información, el propietario del activo debe ejecutar el instructivo de clasificación de la información en referencia a la destrucción. Anexo 4 Formulario de Destrucción Información.

9. Medidas de Conservación:

Como parte de nuestro compromiso con la protección de los datos personales y en cumplimiento de la normativa vigente, aplicamos los siguientes mecanismos para conservar y eliminar información de manera segura y responsable:

1. Seudonimización: Utilizamos técnicas que permiten ocultar la identidad de los titulares de los datos, manteniendo la posibilidad de identificarlos solo en casos necesarios y bajo estrictas medidas de seguridad. Antes de aplicar este mecanismo, realizamos un análisis de riesgos para garantizar que el tratamiento de los datos siga siendo seguro y adecuado.
2. Anonimización: En algunos casos, transformamos los datos de forma que no sea posible identificar a las personas, ni siquiera cruzándolos con otra información. Esta medida se toma cuidadosamente para asegurar que no afecte la calidad o continuidad de nuestros servicios, especialmente en áreas sensibles como la salud.
3. Bloqueo: Cuando los datos ya no se usan activamente pero deben conservarse por razones legales o contractuales, los protegemos mediante un "bloqueo". Esto significa que se almacenan de forma segura, con acceso limitado, durante el tiempo necesario según la normativa del sector.

10. Responsabilidades y Comunicación Interna

1. Responsabilidades de cada Área: El jefe de cada área asignará la persona responsable de verificar el cumplimiento de los plazos de conservación, la transferencia de archivos a pasivo, y la identificación de documentos para eliminación. Todas las áreas deben recibir capacitación y comunicados periódicos que refuercen estas responsabilidades. Referencia Manual de Seguridad de la Información políticas de la Confidencialidad y Clasificación de la Información donde se establece un responsable. La Gerencia establece el principal y backup responsable de los mantener la matriz de activos de información.
2. Comunicación de Cambios en la Política: Se notificará a través de Intranet a todas las áreas cualquier cambio en la política de conservación y eliminación, asegurando que todo el personal esté al tanto de las actualizaciones y lineamientos vigentes. Las actualizaciones de manuales y políticas se realizan por intermedio de Experiencia al Cliente quien envía la notificación por correo electrónico y publica los cambios una vez son aprobadas por el Consejo.
3. Capacitación: El área de Talento Humano, en conjunto con el Delegado de Protección de Datos se encargarán de coordinar un programa de capacitación anual para que el personal esté al tanto de los procedimientos de conservación y eliminación de datos personales, y de sus obligaciones en cuanto a la seguridad y manejo adecuado de la información. Seguridad de la información apoyará al DPO para las capacitaciones que decida incluir de forma anual.

11. Seguimiento

1. Evaluación de Proveedores: Se establecerá una revisión anual de los proveedores que manejen datos personales para asegurar que continúen cumpliendo con los requisitos de seguridad y confidencialidad. La revisión será liderada por el DPO, que trabajará en conjunto con el área Administrativa y de Seguridad de la Información
2. Reporte de Incidencias: El área de Seguridad de la Información reportará incidencias en caso de que se detecten fallos o irregularidades en el proceso de conservación y eliminación, de modo que se puedan aplicar medidas correctivas oportunas.