Medidas para salvaguardar y controlar la trazabilidad, acceso y entrega de los documentos que contienen información privilegiada

La ley del Mercado de Valores establece que cualquier persona que posea información privilegiada, tienen la obligación de salvaguardarla y de adoptar las medidas adecuadas para evitar que tal información pueda ser objeto de utilización abusiva o desleal.

Para ayudar a salvaguardar la confidencialidad de la información privilegiada y evitar posibles filtraciones la Comisión Nacional del Mercado de Valores (CNMV) ha elaborado la “Guía de actuación para la transmisión de información privilegiada a terceros” en la que se proponen una serie de medidas organizativas, formativas y operativas cuya aplicación contribuirá a asegurar la confidencialidad de la información privilegiada.

Entre las medidas propuestas por la guía se recogen las siguientes recomendaciones para salvaguardar y controlar la trazabilidad, acceso y entrega de los documentos que contienen información privilegiada:

Identificar las comunicaciones y su contenido, el proyecto, la Operación o la información privilegiada en su conjunto, adoptando medidas como:

• Asignar un nombre clave a la Operación a la que se refiere la información privilegiada. Utilizar este nombre en todas las comunicaciones de tal forma que no se pueda identificar a las partes involucradas ni las características de la Operación.
• Marcar de forma perfectamente visible todos los soportes materiales (documentos, escritos, informes, software, ficheros, etc.) que contengan información privilegiada con CONFIDENCIAL o términos similares.
• Utilizar una leyenda como CONFIDENCIAL en los correos electrónicos, sobres y faxes enviados.

Restringir el acceso exclusivamente a las personas previamente autorizadas, para lo que se recomienda:

• Encriptar los documentos en soporte informático con contraseñas
  
• Establecer áreas de acceso restringido en la red informática.
• No compartir con nadie las contraseñas de los ordenadores.
• No utilizar ningún ordenador que no tenga instalado un sistema de seguridad adecuado.
• Comprobar y optimizar periódicamente la robustez de las medidas de seguridad informática.
• Disponer de una sala cerrada como lugar de trabajo. Todos los miembros del equipo se encargarán de garantizar que todos los documentos relativos al trabajo estén guardados en la sala bajo llave o en un archivador cerrado con llave cuando no estén siendo usados, además de asegurarse de no dejar ninguna anotación en pizarras o soportes similares. Cuando no sea posible disponer de tal sala, se conservarán los soportes materiales que contengan información privilegiada en un lugar diferenciado con medidas de protección.
• Evitar dejar a la vista de personas no autorizadas material sobre el que se está trabajando.

Asegurar la correcta y exclusiva entrega de información a sus receptores, para lo que se propone:

• Marcar los documentos escritos con un número de referencia, un código de barras o una marca específicos para cada uno de los receptores de la información privilegiada.
• Autorizar previamente cualquier copia de los documentos confidenciales.
• No realizar segundas copias de documentos confidenciales recibidos.
• Abstenerse de hablar sobre la información privilegiada o manejar material que contenga información privilegiada en lugares públicos donde puedan ser escuchados o vistos por terceras personas.
• Extremar las medidas de seguridad a la hora de realizar comunicaciones a través de medios que pudieran resultar inseguros, como, por ejemplo, el teléfono móvil, el fax o el correo electrónico.
• Establecer mecanismos, cuando resulte proporcionado y factible, que posibiliten la detección de filtraciones o envíos no autorizados de información privilegiada
• Desarrollar un procedimiento específico para la destrucción de documentación confidencial que garantice que nadie no autorizado tendrá acceso a la misma.
• Archivar los documentos, copias o cualquier otro escrito que haga referencia a la información privilegiada, en un lugar al que no pueden acceder personas no autorizadas, una vez concluida, suspendida o cancelada la Operación o finalizados los servicios profesionales contratados por el transmisor de la información.