Rol mal definido
No queda claro si la organización actúa como responsable o como encargada en cada tratamiento, y los controles no se adaptan a ese rol.
Pre-auditoría · ISO/IEC 27701
Pre-auditoría ISO/IEC 27701: demostrá cómo tratás los datos personales.
Reviso si tus registros de tratamiento, tus controles de privacidad y tu evidencia sostienen lo que declara el sistema. Recibís por escrito qué se sostiene, qué es débil y qué conviene corregir primero.
Este WhatsApp lo recibe el equipo de G-CERTI. Pedí coordinar una reunión con Fernando Arrieta; enviar el mensaje no confirma una cita ni solicita certificación.
- Primera reunión para definir alcance
- Sin enviar documentos al inicio
- Conclusiones por escrito
Lo que está en juego
Dónde suele quedar expuesta la privacidad.
Inventario incompleto
Tratamientos, sistemas o proveedores con datos personales que no figuran en el registro.
Derechos sin circuito
Solicitudes de acceso, rectificación o supresión atendidas sin procedimiento ni registro.
06 / La decisión
¿Podés demostrar qué hacés con cada dato personal?
En privacidad no alcanza con una política publicada. Se examina si cada tratamiento tiene finalidad, base, responsable y controles que dejan registro.
Proveedores de servicios
Empresas que tratan datos por cuenta de clientes corporativos y deben demostrarlo.
Ampliar un SGSI
Organizaciones con ISO/IEC 27001 que suman la gestión de la privacidad.
Exigencias regulatorias
Equipos que necesitan ordenar evidencia frente a leyes de protección de datos.
Qué reviso
Lo declarado, frente a lo demostrable.
Alcance y roles
Qué tratamientos abarca el sistema y en cuáles la organización es responsable o encargada.
Tratamientos y riesgos
Coherencia entre inventario, evaluación de riesgos de privacidad y controles seleccionados.
Evidencia de controles
Si los registros demuestran que los controles de privacidad funcionan en la operación.
ISO/IEC 27701 y, cuando corresponda, ISO/IEC 27001, según el alcance que acordemos.
Datos de la norma
Lo que conviene saber de la norma.
Objeto
ISO/IEC 27701 especifica requisitos para un sistema de gestión de la información de privacidad, aplicable a responsables y encargados del tratamiento de datos personales.
Relación con ISO/IEC 27001
La norma se apoya en la gestión de la seguridad de la información; conviene revisar en la edición vigente cómo se vincula con un SGSI existente.
Marco legal
La norma no reemplaza las leyes de protección de datos de cada país; ayuda a organizar y demostrar su cumplimiento.
Qué recibís
Conclusiones que podés examinar. Por escrito.
Qué se sostiene, qué es débil y qué corregir primero. Los límites y la evidencia disponible quedan explícitos.
- 01 / Caso
Exponés la decisión
Revisamos si el encargo corresponde. Acordamos alcance y confidencialidad antes de recibir documentos.
- 02 / Evidencia
Leo lo que respalda el caso
Contrasto registros y afirmaciones con los criterios acordados. Lo que no se puede comprobar se declara.
- 03 / Dictamen
Recibís una lectura firmada
Una conclusión técnica con hallazgos, fundamentos y límites para decidir prioridades dentro del alcance acordado.
Trabajo en auditoría de sistemas de gestión, seguridad de la información, inteligencia artificial y calidad. Podés conocer mi trayectoria profesional, mis ámbitos de trabajo y los análisis que publico antes de consultar un encargo.
Ver trayectoria →Antes de escribir
¿Tiene sentido un dictamen ahora?
Respondé cuatro preguntas y recibí una orientación preliminar: qué miraría primero un tercero y cuál sería un primer paso. Es automática, tarda unos segundos y no se guarda.
Independencia y límites
El alcance no se presume.
La pre-auditoría es una evaluación técnica previa. No reemplaza la auditoría del organismo de certificación, no garantiza su resultado ni emite certificados.
La aceptación de cada encargo queda sujeta a revisar relaciones institucionales, participación previa, sistema y alcance. En la primera conversación se debe declarar cualquier auditoría, consultoría, implementación o formación previa relevante. Un conflicto incompatible con el alcance impide aceptar el encargo en esos términos; la lectura de evidencia no se presenta como certificación ni como implementación del sistema.
El dictamen aporta una evaluación técnica. Cuando el requisito exige una certificación, su emisión corresponde al organismo certificador dentro del proceso aplicable.
Antes de avanzar
Preguntas de alcance.
¿Qué revisa una pre-auditoría ISO 27701?
El alcance, los roles de responsable y encargado, el inventario de tratamientos, los riesgos de privacidad y la evidencia de los controles, según el alcance acordado.
¿Reemplaza un asesoramiento legal?
No. Es una lectura técnica del sistema de gestión; las cuestiones legales corresponden a un profesional del derecho.
¿Tengo que enviar documentación sensible?
No al inicio. Primero conversamos el alcance; qué documentación se revisa y cómo se resguarda se acuerda después.
¿Qué envío en la primera consulta?
Solo una descripción general de la decisión, el plazo y cómo contactarte. No envíes credenciales, datos sensibles ni documentación interna. Si corresponde, acordamos confidencialidad antes de compartir evidencia.
Criterio y fuentes
Leé el fundamento.
Otras decisiones de alta exigencia
Otros escenarios del Dictamen técnico.
Próximo paso
Revisemos tu gestión de la privacidad antes de la visita.
Escribí por WhatsApp qué tratamientos querés revisar y cuándo es tu auditoría. El equipo de G-CERTI recibe el pedido para coordinar una reunión con Fernando Arrieta.
Este WhatsApp lo recibe el equipo de G-CERTI. Pedí coordinar una reunión con Fernando Arrieta; enviar el mensaje no confirma una cita ni solicita certificación.
Pedí tu reunión de alcance
Describí la situación, la decisión que tienen que tomar y para cuándo. Primero reviso si el encargo corresponde; después acordamos alcance y confidencialidad antes de recibir documentación.
- 1Leo tu mensaje personalmente.
- 2Te digo con franqueza si un dictamen corresponde o si conviene otra vía.
- 3Si corresponde, acordamos alcance y confidencialidad antes de recibir documentos.
Reserva profesional y acuerdo de confidencialidad
Toda consulta se trata bajo secreto profesional. Si tu organización requiere un acuerdo de confidencialidad, indicalo en el mensaje: se firma antes de compartir cualquier documentación interna.
¿Preferís no usar el formulario? Escribí directo a contact@fernandoarrieta.org.