La ISO/IEC 27701 sirve para gestionar el tratamiento de datos personales con un sistema verificable: saber qué datos se tratan, con qué finalidad y base, quién es responsable o encargado, y qué controles protegen los derechos de las personas. El certificado muestra que un tercero lo comprobó.
- 01PlanificarContexto, riesgos, objetivos y responsables.
- 02HacerOperar los procesos con criterios conocidos.
- 03VerificarMedir, auditar y revisar con la dirección.
- 04ActuarCorregir causas y mejorar el sistema.
Qué ordena la norma
La ISO/IEC 27701 define un sistema de gestión de la información de privacidad (PIMS). Nació en 2019 como extensión de la ISO/IEC 27001 y su edición 2025 la convirtió en una norma de sistema de gestión que también puede aplicarse por sí sola.
Distingue controles para quien decide sobre el tratamiento (responsable) y para quien trata datos por cuenta de otro (encargado), y se relaciona con regulaciones de protección de datos como el RGPD europeo o las leyes nacionales.
Para qué sirve en la práctica
- Mapa de datos: se sabe qué datos personales hay, dónde y para qué.
- Roles claros: responsable y encargado tienen obligaciones distintas y documentadas.
- Derechos atendidos: las solicitudes de acceso, rectificación o supresión tienen un circuito.
- Evaluación de impacto: los tratamientos de alto riesgo se analizan antes de empezar.
- Confianza comercial: clientes y socios pueden verificar cómo se tratan sus datos.
Lo que la ISO 27701 no resuelve
La norma no equivale al cumplimiento legal ni reemplaza el análisis jurídico de cada país. Ordena la evidencia, pero la obligación sigue siendo la ley aplicable.
Tampoco funciona si el registro de tratamientos se arma una vez y no se actualiza cuando cambian sistemas, proveedores o finalidades.
Cómo saber si el sistema funciona
Hay un registro de actividades de tratamiento vigente, evaluaciones de impacto con fecha, contratos con encargados, solicitudes de titulares respondidas en registro e incidentes de datos tratados y comunicados cuando corresponde.
Preguntas frecuentes
¿Es obligatorio certificar ISO 27701?
No. Es voluntaria. La obligación legal es cumplir la ley de protección de datos aplicable; la norma ayuda a demostrarlo.
¿La ISO 27701 sirve para organizaciones chicas?
Sí. Los requisitos se aplican según el tamaño, el contexto y los riesgos de cada organización; cambia el nivel de formalidad, no el principio.
¿Quién otorga el certificado ISO 27701?
Un organismo de certificación independiente, después de una auditoría de tercera parte. Quien asesora o implementa el sistema no debería certificarlo.
Para seguir leyendo
- ISO 27701 · Glosario
- Lo que no es una certificación
- Registro de actividades de tratamiento (RoPA)
- Revisión independiente ISO 27701
La misma pregunta, en otras normas