ISO/IEC 27701.

Una extensión, no una norma autónoma

ISO/IEC 27701 no se sostiene por sí sola. Está concebida como una extensión de ISO/IEC 27001 e ISO/IEC 27002, lo que significa que no puede certificarse en ella sin disponer previamente de un sistema de gestión de la seguridad de la información (SGSI) en funcionamiento. La norma toma los controles de seguridad que ya opera y superpone requisitos y orientaciones específicos de privacidad, convirtiendo el SGSI en un Sistema de Gestión de Información de Privacidad (PIMS). Para una organización que ya opera ISO 27001, este es un paso eficiente: reutiliza el mismo gobierno, la misma metodología de riesgo, el mismo ciclo de auditoría, y amplía el alcance para cubrir el tratamiento de información de identificación personal (PII).

Esa elección arquitectónica es la cuestión central. En lugar de gestionar la privacidad como un programa separado con sus propios comités y sus propias evidencias, ISO 27701 le permite certificar un único sistema de gestión que cubre tanto la seguridad como la privacidad. La Declaración de Aplicabilidad se amplía, la evaluación de riesgos considera ahora el riesgo de privacidad para las personas y no solo el riesgo para la organización, y el mismo organismo de certificación audita el conjunto en un solo encargo.

Obligaciones del responsable y del encargado del tratamiento

ISO 27701 reparte sus requisitos adicionales según la misma línea que traza la legislación de protección de datos: entre la organización que actúa como responsable del tratamiento (decidiendo por qué y cómo se trata la PII) y la organización que actúa como encargado del tratamiento (tratando PII por cuenta de un tercero). Muchas organizaciones son ambas a la vez, según el conjunto de datos, por lo que la norma le ofrece dos conjuntos de orientaciones y le pide aplicar el que corresponda a cada actividad de tratamiento.

• Los temas del lado del responsable del tratamiento incluyen la base de licitud y la finalidad, el consentimiento y la elección, la transparencia hacia las personas, la gestión de las solicitudes de los interesados, los registros de tratamiento, y las obligaciones cuando comparte PII con terceros.
• Los temas del lado del encargado del tratamiento incluyen actuar únicamente conforme a instrucciones documentadas, asistir al responsable en sus obligaciones, gestionar a los subencargados, y devolver o suprimir la PII al término de un contrato.

En la práctica, esto es lo que un equipo de privacidad ya hace bajo los regímenes modernos de protección de datos, pero ISO 27701 lo organiza en controles auditables con evidencia documentada, que es precisamente lo que convierte una postura de privacidad en algo que un tercero puede verificar.

Dónde se sitúa junto al GDPR

La lectura errónea más común es que la certificación ISO 27701 le hace cumplir con el GDPR. No lo hace, y tiene cuidado de no afirmarlo. El GDPR es una ley e ISO 27701 es una norma de sistema de gestión voluntaria. Lo que 27701 le aporta es un marco estructurado y certificable cuyos controles se corresponden estrechamente con los principios de protección de datos, por lo que constituye una prueba sólida de responsabilidad proactiva (accountability) y una buena columna vertebral operativa. Pero el cumplimiento de un régimen legal específico sigue requiriendo su propio análisis jurídico, sus registros, y su gestión demostrable de los derechos individuales bajo esa ley.

La forma limpia de operarlo es anclar la privacidad en el mismo SGSI que utiliza para la seguridad, certificar el sistema combinado a ISO 27001 más ISO 27701, y mantener a su delegado de protección de datos y a su equipo jurídico como propietarios de la ley misma. La norma se encarga de la disciplina operativa; ellos se encargan de la interpretación.