El art. 9 de la LOPD establece en su punto 1 que "el responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural".
 
El Título VIII del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, desarrolla las medidas de seguridad en el tratamiento de datos de carácter personal. El citado Título tiene por objeto establecer las medidas de índole técnica y organizativa necesarias para garantizar la seguridad que deben reunir los ficheros, los centros de tratamiento, locales, equipos, sistemas, programas y las personas que intervengan en el tratamiento de los datos de carácter personal.
 
Entre estas medidas, se encuentra la elaboración e implementación de la normativa de seguridad mediante un documento de obligado cumplimiento para el personal con acceso a los datos de carácter personal.
 
El Documento de seguridad es un documento interno de la organización, que debe mantenerse siempre actualizado. Disponer del documento de seguridad es una obligación para todos los responsables de ficheros, y, en su caso, para los encargados del tratamiento, con independencia del nivel de seguridad que sea necesario aplicar.
 
El Documento de seguridad debe contener unos apartados mínimos. Entre ellos cabe destacar;
- ámbito de aplicación: especificación detallada de los recursos protegidos.
- medidas, normas, procedimientos, reglas y estándares de seguridad.
- funciones y obligaciones del personal.
- estructura y descripción de los ficheros y sistemas de información.
- procedimiento de notificación, gestión y respuestas ante incidencias.
- procedimiento de copias de respaldo y recuperación de datos.
- medidas adoptadas en el transporte, destrucción y/o reutilización de soportes y documentos.
- identificación del responsable de seguridad (nivel medio de seguridad).
- control periódico del cumplimiento del documento (nivel medio de seguridad).