Ejes estratégicos

Como apoyo para la finalidad y las funciones de las gerencias y los entes municipales, y en coordinación con las personas responsables y las encargadas de los datos, se deberán definir, poner en práctica y mantener los procesos, los estándares y las políticas municipales que serán aplicables a todos los recursos de datos de la entidad.

Los entes dependientes municipales deberán obtenerlo del CTID en coordinación con las mesas de gobernanza donde se definirán los procesos y las políticas con suficiente detalle para gestionar los recursos de datos de la forma apropiada. Como mínimo, estos procesos y políticas deberán requerir que se evalúen las inversiones y los proyectos en desarrollo para determinar la aplicabilidad de la metodología ágil, los estándares de datos y contenidos abiertos, la privacidad, y los impactos éticos y sociales. y los indicadores para medir el coste, el uso y la evaluación general en el conjunto de los recursos de datos. Se debe asegurar que:

Los entes dependientes municipales deberán desarrollar un conjunto de requerimientos y capacidades con respecto a los equipos responsables o encargados de los datos, en los cuales se incluirán aspectos sobre acceso, análisis, privacidad y seguridad, entre otros. Especialmente, es necesario asegurar que los equipos con responsabilidad sobre los datos podrán prever la innovación y adaptarse a ella, en un contexto de cambio constante. El departamento de Recursos Humanos debe asegurar que el personal ejecutivo/directivo que trata los datos tiene los conocimientos suficientes para ejecutar su tarea de una forma apropiada. Las personas responsables de las entidades deberán supervisar cómo lleva a cabo sus funciones el personal que trate con los datos, así como coordinarse con el CTID y el o la CDO para seleccionarlo.

En cumplimiento del Reglamento 2106/679 de la Unión Europea, el Ayuntamiento designará un delegado o delegada de protección de datos (DPD) corporativa con las funciones que este reglamento le asigna.

Los entes dependientes municipales deben establecer y mantener un programa de protección de datos, conforme a la política municipal de privacidad, que asegure el cumplimiento de los requerimientos de privacidad y desarrolle, evalúe y gestione los riesgos sobre la privacidad. Cuando se valoran los riesgos de privacidad, los sistemas de privacidad deben considerar los riesgos sobre las personas asociados a la creación, la recogida, el uso, el tratamiento, el almacenaje, el mantenimiento, la difusión o la destrucción de los datos personales.

De acuerdo con la política municipal y la ley, las entidades y los entes municipales solo podrán crear, recoger, usar, almacenar o difundir datos de carácter personal si tienen la autorización pertinente. Es necesario que se identifique claramente esta autoridad en sus DMS y en el documento de arquitectura (DA). Los entes deben designar un RDAD y un delegado o delegada de protección de datos con responsabilidad sobre sus datos y que deben responder del desarrollo, la puesta en práctica y el mantenimiento de los programas de privacidad para asegurar el cumplimiento de todas las regulaciones, las normas y las directivas que actúan sobre el ciclo de vida de los datos de carácter personal, mediante una política de privacidad que aplique las medidas legales sobre los riesgos de privacidad. El CTID, junto con los responsables corporativos de los datos, el o la CDO y el o la DPD, tendrá autoridad sobre la actividad de los subDPD de cada entidad y los coordinarán.

Se deben respetar los principios de protección de datos de carácter personal, los detalles de los cuales se deben establecer bajo la responsabilidad del o de la DPD. En particular, se incluirán:

Para garantizar un nivel adecuado de seguridad de los datos y para asegurar su confidencialidad y uso correcto, el CTID debe designar, para cada unidad o ente, a una persona responsable de la seguridad de los datos o DSO (data security officer) responsable del desarrollo y el mantenimiento de un programa de seguridad de los datos en la unidad, de acuerdo con la legislación pertinente y en colaboración con la Comisión Técnica de Seguridad en Protección de Datos.

Los datos estarán protegidos de acuerdo con el riesgo que se derivaría del acceso no autorizado, el uso, la divulgación, la interrupción, la modificación o la destrucción de esta información. Las unidades deben elaborar un plan de recuperación que incluya las estrategias de continuidad para asegurar que los servicios y el acceso se puedan restaurar a tiempo para satisfacer las necesidades de la misión. Además, cualquier proyecto o sistema de información deberá garantizar la posibilidad de trazar el acceso a los datos y el análisis de los algoritmos de toma de decisión (o de apoyo a la toma de decisión) y capacitar y facilitar las auditorías que se quieran realizar. Cualquiera tercero implicado en el tratamiento de datos municipales deberá ofrecer garantías suficientes sobre la implantación y el mantenimiento de las medidas de seguridad requeridas, y las otras directrices que define el Código de prácticas tecnológicas y la Comisión Técnica de Seguridad.

Todos los proyectos y los sistemas deben cumplir con las leyes y los reglamentos existentes, incluidos, entre otros, el Reglamento general de protección de datos, la Ley española de protección de datos, el Decreto 3/2010, de 8 de enero, que regula el Esquema Nacional de Seguridad en el Ámbito de la Administración Electrónica, y las normas internacionales con respecto a seguridad, en particular la norma ISO/IEC 27002:2005, que establece directrices y principios generales para iniciar, poner en práctica, mantener y mejorar la gestión de la seguridad de la información en una organización.

La seguridad física o lógica de los datos estará determinada por los estándares definidos por el IMI.

La gobernanza general de los datos se describe en la Instrucción que acompaña esta medida en el anexo 10.1. Se constituye la Coordinación Transversal de Datos, el objetivo principal de la cual es coordinar proyectos transversales y, al mismo tiempo, actuar como mecanismo de difusión de proyectos.

Para una coordinación correcta entre los ámbitos de gestión municipales, se definirán personas responsables sectoriales de datos que tendrán como responsabilidad los datos de su propia gerencia y la coordinación en el conjunto de la corporación. A partir de la coordinación transversal de los datos, se podrá realizar el seguimiento y el establecimiento de directrices sobre los trabajos llevados a cabo tanto en la OMD como en los diferentes centros sectoriales de almacén, análisis y difusión de datos municipales; el establecimiento de los criterios operativos y los criterios de cuidado para garantizar todos los aspectos del ciclo de vida y añadir valor a los datos; el seguimiento de proyectos transversales y corporativos, así como la gestión de la protección de datos o la normativa de protección intelectual y autoría de los datos.

Esta coordinación debe propiciar una gestión y una revisión correctas de los recursos y los programas, y asegurar una gestión del presupuesto coordinada y unificada, en la cual también participará, para la revisión y la autorización el o la CDO con la voluntad de proporcionar una dirección corporativa efectiva, específica y visible de los recursos de TI y de los datos.

Igualmente, las gerencias de cada unidad, en consulta con los responsables municipales de datos, deberán describir los procesos a partir de los cuales se definirá el inventario de los recursos de TI para alcanzar los objetivos de gestión de una forma eficiente, ponderando las nuevas inversiones de TI y sus potencialidades y adecuación al inventario corporativo. También será necesario que se identifiquen las diferencias entre el presupuesto programado y el ejecutado, los calendarios y la evaluación de los objetivos de TI, y que se lleven a cabo las medidas correctivas necesarias.

Los entes dependientes municipales deberán incorporar los siguientes pasos en la planificación, la presupuestación y la gestión, cuando sea adecuado:

Los entes tienen la responsabilidad de proporcionar la información al público de una forma coherente con sus objetivos y misión y a partir de la legislación vigente. Deberán proporcionar datos anonimizados, de forma que se pueda promover el acceso, el análisis y la reutilización para un conjunto amplio de propósitos. Será necesario que la información sea accesible públicamente y automatizable y que esté descrita correctamente, completa y actualizada. Eso incluye también que los datos estén disponibles en formatos accesibles a personas con diversidad funcional. Es necesario considerar los costes de este servicio público para la entidad, ya que habría que evitar establecer tasas o precios públicos.

Los entes deben almacenar la información de manera que se permita la interoperabilidad entre los sistemas de información y, siempre que sea adecuado, su difusión pública mediante el uso de formatos abiertos, estándares de datos y metadatos. Las entidades también deben poner a disposición del público mecanismos para obtener una retroacción en relación con los datos.

Los sistemas de financiación municipales deben poder premiar las unidades que incluyan, en sus contratos de servicios, sistemas de preservación a largo plazo de los datos propios y de su acceso.

El Ayuntamiento y todas las unidades del grupo municipal deberán observar un conjunto de procedimientos orientados a mejorar la adquisición de los datos y que posibiliten una gestión de los datos efectiva, económica, segura, ética, abierta y que garantice la privacidad. La planificación se debe centrar en los datos que soportan la misión de cada unidad, y se deben implantar procesos de gestión que se integren en la programación y la ejecución presupuestaria.

La planificación presupuestaria es uno de los puntos esenciales de la elaboración y el mantenimiento de una estrategia de gestión de los datos, y debe permitir asegurar una colaboración efectiva entre las gerencias y las direcciones en este ámbito de gestión.

Planificación estratégica: los planes de gestión de datos (PGD). Como apoyo a las necesidades de gestión y a la misión del Ayuntamiento de Barcelona, y como aparte de la estrategia general y de la planificación de mejora de procesos del grupo municipal, cada unidad debe elaborar y mantener su propio plan de gestión de los datos (PGD) que describe los objetivos de los recursos de TI, incluidos, entre otros, los procesos descritos en esta estrategia. El PGD deberá mostrar cómo se relaciona el mapa de los objetivos de los recursos de TI con la misión y las prioridades de la unidad. Es necesario que los objetivos sean específicos, mensurables y verificables, de manera que se pueda monitorizar su progreso.

Un ejemplo de proyecto emblemático en el área de presupuesto es Presupuesto Abierto, una herramienta para facilitar el análisis y la comprensión de los presupuestos del Ayuntamiento de Barcelona para la ciudadanía. El proyecto permite descargar datos en formatos abiertos, navegar desde los datos presupuestarios más agregados hasta el máximo nivel de detalle, tanto para el ejercicio actual como para los últimos ejercicios.

Las unidades deberán mantener un inventario ^[1] de los sistemas de información principales, de sus contenedores y de las herramientas de divulgación con el nivel de detalle que se determine para supervisarlos y gestionarlos. En este inventario habrá que identificar los conjuntos de datos con información de carácter personal y se determinarán unos procedimientos para permitir revisar regularmente que estos datos tienen la calidad necesaria, que se puede dar respuesta a los derechos de las personas interesadas y que son los mínimos imprescindibles para desarrollar las competencias y las funciones de la unidad. Por otra parte, cada unidad deberá mantener un registro que recoja todas las acciones realizadas sobre las bases de datos tanto de gestión como analíticas. La Oficina Municipal de Datos debe determinar la metainformación de estos sistemas.

Las unidades y los entes dependientes deberán poder facilitar, de una forma continuada, la adopción de las nuevas tecnologías y evaluar todo el ciclo de vida de cada sistema de información, con un inventario de las herramientas del software y del hardware asociados al sistema; la gestión y la sostenibilidad de los recursos y las infraestructuras que soportan el sistema; deberá determinar activamente las actualizaciones, las revisiones, las sustituciones o las disposiciones que se requieran para llevar a cabo correctamente las funciones de la unidad y proteger sus activos, y deberán asegurar los términos y las condiciones de los contratos y otros acuerdos de servicio que comporten la recogida, el procesamiento, el almacenamiento, el acceso, el intercambio y la disposición de información municipal, que estén confirmados y alineados con la política de protección de datos y que cubran los requisitos legales y éticos de las unidades.

Las unidades deberán valorar las medidas de seguridad de la información y los datos, la gestión de registros, la transparencia, la evaluación de impacto y las cadenas de suministro, y hacerlo durante todo el ciclo de datos, de forma que los riesgos estén evaluados y gestionados. Además, deberán elaborar un plan en coordinación con el o la DPD, el o la CDO y el CTID para que los sistemas de información estén debidamente protegidos y asegurados y, al mismo tiempo, las acciones de actualización, revisión, sustitución o retirada tengan el máximo nivel de prioridad.^[2] También es necesario que periódicamente se revisen y se reporten los riesgos sobre procesos, personas y tecnologías.

Las unidades y los entes dependientes municipales deberán elaborar un plan de resiliencia que tenga en cuenta la gestión de sus datos. El plan de resiliencia es esencial para que los servicios puedan seguir ejerciendo sus tareas en situaciones de disrupción. Por lo tanto, es necesario que las entidades desarrollen estrategias de continuidad para asegurar que los servicios se puedan restablecer a tiempo para alcanzar sus objetivos. Los “atajos manuales” deben formar parte de ello, para que las operaciones críticas puedan tener continuidad mientras no se restablecen los servicios normales.