El Real Decreto 994/99, de 11 de junio, en sus artículos 3º y 4º nos dice:

Artículo 3. - Niveles de seguridad:

Punto 1. - Las medidas de seguridad exigibles se clasifican en tres niveles: básico, medio y alto.

Punto 2. - Dichos niveles se establecen atendiendo a la naturaleza de la información tratada, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la información.

Punto 1. - Todos los ficheros que contengan datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico.

Punto 2. - Los ficheros que contengan datos relativos a la comisión de infracciones administrativas o penales, Hacienda Pública, servicios financieros, deberán reunir, además de las medidas de nivel básico, las calificadas como de nivel medio.

Punto 3. - Los ficheros que contengan datos de ideología, religión, creencias, origen racial, salud o vida sexual así como los que contengan datos recabados para fines policiales sin consentimiento de las personas afectadas deberán reunir, además de las medidas de nivel básico y medio, las calificadas como de nivel alto.