Los requisitos de la ISO/IEC 27701 cubren el sistema de gestión de privacidad y controles específicos para responsables y encargados del tratamiento. En una auditoría se revisa evidencia: el registro de actividades de tratamiento, las bases legales y finalidades, las evaluaciones de impacto, los contratos con encargados, la atención de derechos, la gestión de incidentes y la revisión por la dirección.
- 01Contexto y alcancerol de responsable, encargado o ambos y leyes aplicables.
- 02Liderazgopolítica de privacidad y responsable de protección de datos asignado.
- 03Planificaciónevaluación de riesgos para las personas, no solo para la organización.
- 04Controles del responsablefinalidad, base legal, consentimiento, derechos e impacto.
- 05Controles del encargadoinstrucciones del cliente, subencargados y devolución o borrado de datos.
- 06Evaluación y mejoraauditoría interna, revisión y acciones correctivas.
Cómo leer los requisitos
Cada requisito se traduce en una pregunta verificable: ¿qué registro muestra para qué se trata este dato, con qué base y quién lo puede ver?
Requisito por requisito
- Contexto y alcance: rol de responsable, encargado o ambos y leyes aplicables.
- Liderazgo: política de privacidad y responsable de protección de datos asignado.
- Planificación: evaluación de riesgos para las personas, no solo para la organización.
- Controles del responsable: finalidad, base legal, consentimiento, derechos e impacto.
- Controles del encargado: instrucciones del cliente, subencargados y devolución o borrado de datos.
- Evaluación y mejora: auditoría interna, revisión y acciones correctivas.
La evidencia que más se pide
- Registro de actividades de tratamiento actualizado.
- Evaluaciones de impacto de tratamientos de alto riesgo.
- Contratos y cláusulas con encargados y subencargados.
- Registro de solicitudes de titulares y su respuesta.
- Registro de incidentes de datos personales.
- Criterios de conservación y eliminación.
Dónde suele estar la brecha
La brecha más común es el registro de tratamientos desactualizado: nuevos sistemas o proveedores que tratan datos personales y nunca se incorporaron.
Preguntas frecuentes
¿Cuántos documentos exige la ISO 27701?
La norma pide información documentada concreta, pero no fija una cantidad. Lo que se audita es si los registros muestran que el sistema opera.
¿Sirve una plantilla comprada?
Puede ordenar el trabajo, pero un auditor busca evidencia de la operación real. Un sistema copiado que no describe cómo trabaja la organización suele caer en la etapa 2.
¿Qué es evidencia objetiva?
Información verificable que respalda que algo se cumple: registros, entrevistas, observaciones y datos que un tercero puede comprobar.
Para seguir leyendo
La misma pregunta, en otras normas