ISO 27701: conecte la gestión de la privacidad con la seguridad

La gestión de la privacidad funciona mejor cuando las decisiones sobre el tratamiento, las salvaguardas, la atención de derechos y las responsabilidades de los proveedores encajan entre sí. ISO/IEC 27701 ofrece un enfoque de sistema de gestión para ese trabajo: un sistema de gestión de la información de privacidad, o SGIP (PIMS, por sus siglas en inglés).

Para un CTO, el reto consiste en vincular las obligaciones documentadas con el comportamiento de los sistemas. Una política de conservación debe convertirse en un proceso de borrado; un compromiso como encargado del tratamiento debe limitar el acceso y la reutilización; una revisión de privacidad debe influir en las versiones que se publican. Los controles de seguridad respaldan estos resultados, pero no pueden determinar si un tratamiento está justificado.

Elija la edición correcta y su relación con su SGSI

ISO/IEC 27701:2025 es la segunda edición y establece los requisitos del SGIP como norma independiente. La edición anterior de 2019 era una extensión de ISO 27001 e ISO 27002. No construya una nueva implantación sobre el supuesto de que la certificación ISO 27001 es siempre un requisito previo. Confirme con su organismo de certificación la edición aplicable y las disposiciones de transición.

Un SGSI ISO 27001 existente sigue siendo útil. La gobernanza, los procesos de riesgos, el control de documentos, las auditorías internas y la revisión por la dirección pueden servir a ambos sistemas. ISO 27002 ofrece orientación sobre controles de seguridad de la información.

Mantenga separados los objetivos. La seguridad examina la confidencialidad, la integridad y la disponibilidad. La privacidad examina además las finalidades, la proporcionalidad, la transparencia y las consecuencias para las personas. Una base de datos cifrada puede seguir conteniendo información recopilada innecesariamente. Reutilizar las evidencias de seguridad es sensato; tratarlas como prueba del cumplimiento en materia de privacidad no lo es.

Defina el alcance a partir del tratamiento, no solo de la infraestructura

Empiece por los servicios y las actividades que abarca el SGIP. Incluya los sistemas de apoyo, los equipos, los proveedores y las interfaces. Un límite como «entorno de producción en la nube» es insuficiente si el servicio de atención al cliente exporta datos personales a un sistema de tickets independiente.

Para cada actividad, documente:

• La finalidad, las categorías de datos personales y los grupos de personas afectados.
• El rol de responsable o encargado del tratamiento, incluidas las actividades en las que los roles difieren.
• Las fuentes de recogida, los destinatarios, las ubicaciones de almacenamiento y las vías de transferencia.
• Las reglas de conservación, el comportamiento del borrado, los responsables y las obligaciones aplicables.

Los roles dependen de la actividad de tratamiento, no simplemente de la identidad de la empresa. Un proveedor de software puede tratar los datos que suben sus clientes siguiendo las instrucciones de estos y actuar a la vez como responsable del tratamiento de sus propios registros de facturación. Estas actividades necesitan vías de decisión distintas.

Asigne de forma explícita las responsabilidades de ingeniería, producto, privacidad, compras y operaciones. Cuando sea obligatorio designar un delegado de protección de datos (DPD) o se haya designado uno, preserve su función independiente de asesoramiento y supervisión en lugar de hacerle responsable de elegir las finalidades del tratamiento. El RGPD establece las obligaciones pertinentes del responsable, del encargado y del DPD.

Evalúe los riesgos para la privacidad junto a los riesgos de seguridad

Utilice el inventario de tratamientos para identificar los daños a las personas además de la exposición de la organización. El acceso no autorizado importa, pero también la recogida excesiva, la reutilización inesperada, los registros inexactos, los procedimientos de ejercicio de derechos inaccesibles y la conservación más allá de una necesidad establecida.

Una evaluación práctica debe vincular cada riesgo con una actividad, una consecuencia, una salvaguarda existente, un tratamiento, un responsable y un desencadenante de revisión. Registre por qué se acepta el riesgo restante o por qué se requiere más trabajo.

Pensemos en una función de informes que exporta datos de rendimiento de los empleados. La autenticación y el registro de accesos abordan las cuestiones de seguridad. El análisis de privacidad debe considerar además si la exportación incluye campos innecesarios, expone inferencias sensibles o permite usos incompatibles con la finalidad declarada.

Una evaluación del SGIP puede respaldar el trabajo de evaluación jurídica, pero no satisface automáticamente los requisitos de todas las jurisdicciones. Conforme al artículo 35 del RGPD, el tratamiento que pueda entrañar un alto riesgo requiere una evaluación de impacto relativa a la protección de datos. Evalúe ese umbral por separado y conserve la decisión y cualquier evaluación exigida.

Traduzca las obligaciones en controles comprobables

Evite una política de privacidad que ingeniería no pueda implantar. Para cada obligación, especifique el comportamiento esperado del sistema y las evidencias que lo demuestran. Los siguientes son ejemplos prácticos de implantación, no un conjunto universal de controles obligatorios.

El cifrado, el mínimo privilegio, el registro de eventos y la recuperación siguen siendo salvaguardas compartidas importantes. Seleccione las medidas en función del riesgo: el artículo 32 del RGPD no impone un cifrado generalizado en todas las situaciones. Documente las limitaciones de acceso a las claves, de recuperación y de borrado cuando afecten a los resultados en materia de privacidad. Consulte cifrado y gestión de claves para las consideraciones de implantación.

Construya procedimientos operativos que resistan los casos reales

La atención de derechos necesita una vía de entrada, un responsable, una verificación de identidad proporcionada, búsquedas en los sistemas, una revisión de la información de terceros y una entrega segura. Conforme al RGPD, las respuestas deben darse normalmente en el plazo de un mes; las prórrogas permitidas exigen informar de ellas dentro de ese primer mes. Mantenga registros de los casos que expliquen las decisiones, no solo recuentos de tickets cerrados. Un flujo de solicitudes de acceso de los interesados también debe cubrir los sistemas manuales y la asistencia de los proveedores.

La gestión de incidentes debe distinguir la contención técnica de las decisiones de notificación en materia de privacidad. Conforme al RGPD, los encargados notifican a los responsables sin dilación indebida. Los responsables evalúan la notificación a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de haber tenido constancia de la violación, salvo que sea improbable que constituya un riesgo para los derechos y libertades de las personas. Registre el razonamiento de la decisión de no notificar y evalúe si un alto riesgo exige la comunicación a los interesados.

Los procedimientos relativos a los proveedores deben examinar las instrucciones, los subencargados, la asistencia en solicitudes e incidentes, la devolución o el borrado y el acceso a las evidencias. Cuando se aplique el RGPD, los contratos del artículo 28 deben incluir elementos concretos obligatorios. El certificado de un proveedor es un aseguramiento de apoyo, no un sustituto de esas cláusulas.

Las transferencias internacionales requieren una evaluación jurídica independiente. La certificación ISO 27701 no las autoriza ni neutraliza los riesgos de vigilancia. Documente el mecanismo aplicable, evalúe sus condiciones e implante medidas complementarias cuando sea necesario. La ubicación de los datos por sí sola no acredita el cumplimiento.

Ejemplo práctico: un servicio de atención al cliente

Supongamos, a título ilustrativo, que un proveedor SaaS trata los mensajes de atención al cliente siguiendo las instrucciones de sus clientes y es responsable del tratamiento de sus propios registros de contactos de cuentas. Ambas actividades utilizan la misma plataforma de atención al cliente.

El equipo traza el contenido de los mensajes, los archivos adjuntos, los identificadores de cuenta, el acceso de los proveedores y los destinos de exportación. Descubre que una exportación de depuración copia los mensajes completos en un espacio de trabajo de ingeniería con una conservación más larga.

El tratamiento es concreto: sustituir las exportaciones de mensajes completos por campos de diagnóstico minimizados, restringir el acceso excepcional, aplicar un periodo de conservación aprobado y registrar quién autoriza las excepciones. Compruebe que las exportaciones rutinarias omiten el cuerpo de los mensajes y que los registros de diagnóstico caducados se eliminan.

El paquete de evidencias contiene el registro de la actividad de tratamiento, la evaluación de roles, las cláusulas con el proveedor, la decisión sobre el riesgo, la configuración, los resultados de las pruebas y el historial de aprobaciones. La revisión compartida del control de accesos respalda tanto la seguridad como la privacidad, mientras que la decisión sobre la finalidad de la exportación sigue siendo específica de la privacidad.

Prepárese para la certificación con evidencias operativas

La certificación la realiza un organismo de certificación independiente, no ISO. Antes de programar la evaluación, confirme el alcance, la edición, el enfoque de auditoría y las expectativas sobre las evidencias. Un proceso típico de certificación inicial incluye una revisión de la preparación y de la documentación seguida de una evaluación de la implantación; confirme las condiciones con el organismo elegido.

Realice una auditoría interna frente a los requisitos aplicables y a sus propios procedimientos. Tome muestras de actividades de tratamiento, casos de ejercicio de derechos, decisiones sobre proveedores, ejecución de la conservación y cambios de producto. Separe un documento que falta de un control que existe pero falla en la práctica.

La revisión por la dirección debe considerar los hallazgos, los riesgos sin resolver, los cambios, el desempeño y los recursos. Las acciones correctivas necesitan responsables, evidencias de finalización y comprobaciones de eficacia. La certificación puede proporcionar aseguramiento sobre el sistema de gestión en su alcance, pero no acredita el cumplimiento del RGPD, no crea una base jurídica ni cubre actividades fuera de ese alcance.

Empiece con una actividad de tratamiento trazable

Elija una actividad, siga sus datos a través de los sistemas y proveedores conectados y vincule cada obligación significativa con un responsable, una salvaguarda y un historial de decisiones. Revísela tras los cambios pertinentes en lugar de esperar a la próxima auditoría.

Secani respalda este flujo de evidencias vinculando requisitos, controles, sistemas, evidencias y decisiones de revisión. Los equipos pueden conservar las evidencias compartidas del SGSI junto a las decisiones específicas de privacidad, convertir las carencias en tareas asignadas y preservar la aprobación humana de las sugerencias asistidas por IA. El primer entregable útil es una cadena revisada que va desde la finalidad del tratamiento hasta la salvaguarda implantada y las evidencias que la respaldan.