La ISO 27001 gestiona la seguridad de toda la información de una organización. La ISO 27701 agrega la gestión de la privacidad de los datos personales: roles de responsable y encargado, bases para el tratamiento, derechos de las personas y evaluaciones de impacto. Se pensó para trabajar junto a un sistema de seguridad de la información.
- 01RecolecciónCon qué aviso y con qué base.
- 02ResguardoControles de seguridad y accesos.
- 03UsoPara qué finalidad y quién decide.
- 04BorradoCuándo y cómo se elimina.
Qué cubre cada una
- ISO 27001: confidencialidad, integridad y disponibilidad de toda la información, con evaluación de riesgos y controles.
- ISO 27701: el tratamiento de datos personales: para qué se usan, con qué base, quién decide y cómo se atienden los derechos de las personas.
- En común: la estructura de gestión, el liderazgo, la auditoría interna y la mejora.
Por qué una no reemplaza a la otra
Un sistema puede proteger muy bien una base de datos que no debería existir. La seguridad responde cómo se cuidan los datos; la privacidad responde si correspondía recolectarlos, por cuánto tiempo y para qué. Una DPIA es el punto donde las dos preguntas se cruzan.
Cómo se auditan juntas
El auditor sigue un dato personal real: dónde se recolecta, con qué aviso, dónde se guarda, quién accede, cuándo se borra. En ese recorrido aparecen a la vez controles de seguridad y decisiones de privacidad. Si cada norma tiene su propio equipo y sus propios registros sin conexión, se nota.
El error frecuente
Agregar la privacidad como un anexo de políticas sobre un sistema de seguridad que ya existía, sin revisar los registros de tratamiento ni los contratos con proveedores que procesan datos personales.
Preguntas frecuentes
¿Se puede certificar ISO 27701 sin ISO 27001?
La norma se diseñó como extensión de un sistema de seguridad de la información. Conviene confirmar con el organismo de certificación cómo aplica en cada caso.
¿ISO 27701 cumple con las leyes de protección de datos?
Ayuda a ordenar el cumplimiento, pero no lo garantiza: cada ley tiene requisitos propios que hay que revisar.
¿Quién audita ISO 27701?
Un organismo de certificación independiente, en una auditoría de tercera parte.