Guía ISO 27701: ¿cómo cumplir con la normativa?

¿Qué es ISO 27701?

ISO 27701 extiende el sistema de gestión de la seguridad de la información (ISO 27001) al ámbito de la privacidad. Añade requisitos y controles específicos para la protección de datos personales (PII), constituyendo un PIMS: un sistema de gestión dedicado a la protección de la privacidad.

Su lógica es la de una extensión: reutiliza la estructura de ISO 27001 y añade controles propios para los responsables del tratamiento y los encargados del tratamiento. Por tanto, no puede certificarse de forma independiente: se apoya en un SGSI ISO 27001, ya existente o construido al mismo tiempo.

Su principal valor reside en transformar una obligación reglamentaria (el RGPD) en un sistema de gestión estructurado, medible y certificable, con una correspondencia explícita hacia los artículos del RGPD.

Los roles: responsable y encargado del tratamiento

ISO 27701 organiza sus controles según el rol desempeñado en relación con los datos personales, de forma similar al RGPD.

¿Quién está afectado?

ISO 27701 está dirigida a las organizaciones que desean estructurar y demostrar su conformidad en materia de «privacidad», en particular aquellas ya comprometidas con un enfoque ISO 27001.

• Editores SaaS y proveedores de servicios que tratan datos personales de sus clientes.
• Organizaciones ya certificadas en ISO 27001 que desean poner en valor su conformidad con el RGPD.
• Subcontratistas que desean tranquilizar a sus clientes responsables del tratamiento.
• Grupos internacionales que buscan un marco de «privacidad» reconocido a nivel mundial.

ISO 27701 y el RGPD

ISO 27701 y el RGPD se refuerzan mutuamente: la norma ayuda a implementar el reglamento y a demostrarlo.

• El RGPD establece las obligaciones legales; ISO 27701 proporciona el sistema de gestión para cumplirlas.
• La norma ofrece una correspondencia con los artículos del RGPD, útil para mapear el cumplimiento.
• La certificación ISO 27701 no equivale jurídicamente al cumplimiento del RGPD, pero constituye una prueba sólida de ello.
• El DPO y el PIMS se complementan: gobernanza humana y sistema de gestión.

¿Qué sanciones se aplican en caso de incumplimiento?

ISO 27701 es una norma voluntaria: no conlleva multas propias, pero supone un importante activo comercial y un respaldo para evitar las sanciones del RGPD, que sí son muy reales.

Cómo lograr la conformidad: la hoja de ruta en 6 pasos

Paso 1 — Disponer de una base ISO 27001

Como ISO 27701 es una extensión, asegúrese de contar con un SGSI ISO 27001 implantado, o construya ambos conjuntamente. Este es el requisito previo indispensable.

El alcance del PIMS debe ser coherente con el del SGSI.

• Implante o consolide el SGSI ISO 27001.
• Alinee el alcance del PIMS con el del SGSI.
• Reutilice los controles de seguridad existentes.

Paso 2 — Determinar sus roles PII

Identifique, para cada tratamiento, si actúa como responsable (PII controller), encargado (PII processor) o ambos. Esto determina los controles aplicables.

Esta calificación se corresponde directamente con su análisis RGPD.

• Califique cada tratamiento (controller / processor).
• Vincule estos roles a su registro RGPD.
• Seleccione los controles correspondientes.

Paso 3 — Desplegar los controles de privacidad

Implemente los controles específicos del PIMS: bases legales, información, derechos de los interesados, minimización, plazos, subcontratación, transferencias, gestión de violaciones.

Estos controles materializan el RGPD en un sistema de gestión estructurado.

• Despliegue los controles controller y/o processor.
• Vincule cada control a los requisitos del RGPD.
• Documente la implementación y las evidencias.

Paso 4 — Mapear hacia el RGPD

Utilice la correspondencia ISO 27701 / RGPD para mapear su conformidad e identificar las posibles brechas. Esto refuerza la credibilidad de su enfoque ante clientes y autoridades.

Este mapeo es un entregable muy valorado en B2B.

• Establezca la correspondencia PIMS / artículos RGPD.
• Identifique y subsane las brechas.
• Ponga en valor el mapeo ante los clientes.

Paso 5 — Auditar y certificarse

Realice auditorías internas, una revisión por la dirección y, a continuación, obtenga la certificación (generalmente conjunta con ISO 27001) ante un organismo acreditado.

La certificación acredita una madurez en privacidad verificada por un tercero.

• Lleve a cabo auditorías internas y revisión por la dirección.
• Obtenga la certificación, a menudo combinada con ISO 27001.
• Manténgala mediante auditorías de seguimiento.

Paso 6 — Mantener y mejorar

Mantenga vivo el PIMS: seguimiento de las evoluciones regulatorias, revisión de los tratamientos, mejora continua. La protección de la privacidad es un proceso permanente.

Un PIMS bien mantenido sigue siendo un activo comercial duradero.

• Haga seguimiento de las evoluciones regulatorias y los tratamientos.
• Mejore el PIMS de forma continua.
• Reevalúe el alcance en caso de cambio.

Los errores frecuentes que hay que evitar

• Pretender certificar ISO 27701 sin la base ISO 27001, lo cual es imposible.
• Creer que ISO 27701 equivale jurídicamente a la conformidad con el RGPD (es una prueba de ello, no una equivalencia).
• Definir mal los propios roles (responsable / encargado del tratamiento), lo que distorsiona la selección de controles.
• Descuidar el mapeo con el RGPD, muy útil en contextos B2B.
• Tratar el PIMS como un proyecto documental sin prácticas reales.
• Olvidar mantener vivo el sistema tras la certificación.