ISO 27701: ampliar la ISO 27001 a la gestión de la privacidad

La ISO 27701 es la norma internacional para gestionar la privacidad como un sistema, no como un montón de documentos. Para muchas empresas el problema es muy concreto: los clientes piden pruebas de cumplimiento del RGPD, los cuestionarios de seguridad para proveedores son cada vez más largos y la ISO 27001 por sí sola ya no basta para responder a las preguntas sobre datos personales.

En octubre de 2025 la norma se revisó a fondo. La nueva ISO/IEC 27701:2025 ya no es una extensión de la ISO 27001: se ha convertido en una norma independiente, que puede certificarse por sí sola. Quien está certificado en la versión 2019 debe pasar a la nueva edición antes de una fecha límite concreta, y quien está valorando la certificación hoy tiene que decidir si le conviene empezar por la 27001, por la 27701 o por ambas.

En esta guía encontrarás qué certifica la ISO 27701, qué ha cambiado con la revisión de 2025, cómo se relaciona con el RGPD, quién la necesita de verdad, cómo se integra con un sistema ISO 27001 ya existente y qué pasos seguir, junto con los errores que debes evitar por el camino.

¿Qué es la ISO 27701 y qué certifica?

La ISO 27701 define los requisitos de un sistema de gestión de la información de privacidad, denominado PIMS (Privacy Information Management System). En la práctica, establece cómo una organización debe planificar, implantar, controlar y mejorar de forma continua la manera en que trata los datos personales, que la norma denomina PII (Personally Identifiable Information).

¿Qué es un PIMS? Un PIMS es el conjunto de funciones, reglas, procesos y controles con los que una empresa gobierna sus tratamientos de datos personales. No es un software ni un único documento: es la forma en que la organización decide quién hace qué, cómo evalúa los riesgos para las personas, cómo responde a sus solicitudes y cómo comprueba que todo funciona.

De un cumplimiento "en papel" a un sistema de gestión

Muchas empresas abordaron el RGPD con un enfoque documental: cláusulas informativas, designaciones, registro de actividades de tratamiento y algún procedimiento. El límite aparece al cabo de uno o dos años. El registro no se actualiza cuando cambia un proveedor, las solicitudes de acceso llegan a un buzón genérico y nadie sabe quién debe responder, y las evaluaciones de impacto se quedan en su primera versión.

La ISO 27701 resuelve este problema aplicando a la privacidad la lógica de los sistemas de gestión ISO. Hay objetivos medibles, una dirección que asume la responsabilidad, auditorías internas, revisiones periódicas y acciones correctivas. Lo que cambia, frente a una adecuación solo documental, es la capacidad de demostrar a lo largo del tiempo que las reglas se aplican. Es la misma diferencia que hay entre tener un procedimiento de brechas de datos y poder mostrar a un auditor el registro de incidentes del último año, con tiempos de gestión y decisiones motivadas.

Responsable y encargado del tratamiento en el lenguaje de la norma

La norma distingue dos roles que quien conoce el RGPD reconoce enseguida. El PII controller corresponde al responsable del tratamiento: decide por qué y cómo se tratan los datos. El PII processor corresponde al encargado del tratamiento: trata los datos por cuenta del responsable, siguiendo sus instrucciones.

La distinción no es teórica. Los controles que la empresa debe aplicar cambian según el rol: un responsable debe ocuparse de bases jurídicas, información a los interesados, consentimientos y derechos de los interesados; un encargado debe demostrar que respeta las instrucciones del cliente, que gestiona correctamente a los subencargados y que devuelve o elimina los datos al terminar el contrato. Muchas empresas son ambas cosas: una empresa de software es responsable de los datos de sus empleados y de sus leads comerciales, pero encargada de los datos que sus clientes cargan en su plataforma. Definir bien el rol en cada tratamiento es el primer paso del proyecto, y de ello depende el alcance de la certificación.

ISO/IEC 27701:2025: ¿qué ha cambiado respecto a la versión 2019?

La ISO/IEC 27701:2025 se publicó el 14 de octubre de 2025 como segunda edición de la norma y sustituye a la primera edición de 2019. El cambio principal es estructural: la norma ya no es una extensión de la ISO 27001 y la ISO 27002, sino una norma de sistema de gestión independiente.

De extensión a norma independiente

En la versión 2019 la ISO 27701 no podía existir por sí sola. Estaba construida como un "añadido" a la ISO 27001: para certificarse había que tener (u obtener al mismo tiempo) un sistema de gestión de seguridad de la información conforme a la 27001, al que se sumaban requisitos y controles específicos de privacidad. Por eso, durante años, la ISO 27701 se ha descrito como "la extensión de privacidad de la 27001", y ese es el motivo del título de esta guía.

Con la edición de 2025 esta condición desaparece. La ISO 27701 contiene ahora sus propias cláusulas de sistema de gestión y puede certificarla también una organización que no tenga la ISO 27001. Esto no significa que la seguridad de la información desaparezca: la norma incluye controles de seguridad aplicables a los datos personales, porque proteger los datos sigue siendo un requisito de la privacidad. Significa que una empresa cuyo objetivo principal es la gobernanza de los datos personales puede construir su sistema partiendo de la privacidad, sin tener que certificar antes todo el alcance de la seguridad informática.

Estructura armonizada y riesgo de privacidad en el centro

La nueva edición adopta la estructura armonizada común a todas las normas ISO de sistemas de gestión, con las cláusulas 4 a 10: contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora. Es la misma arquitectura que la ISO 27001:2022, la ISO 9001 y la ISO 42001, lo que simplifica mucho la gestión de sistemas integrados.

Según los resúmenes publicados por las entidades de acreditación, la revisión también ha reforzado los requisitos de liderazgo, gobernanza y evaluación del desempeño, ha incorporado formalmente la gestión del riesgo de privacidad dentro del sistema de gestión y ha introducido las consideraciones sobre el cambio climático ya añadidas a las demás normas ISO de sistemas de gestión. En la práctica, la evaluación de riesgos ya no se refiere solo a la seguridad de los datos (confidencialidad, integridad, disponibilidad), sino también al riesgo para los derechos y libertades de las personas: un tratamiento perfectamente protegido frente a ciberataques puede seguir siendo arriesgado si recoge más datos de los necesarios o los conserva durante demasiado tiempo.

Controles reorganizados para responsables y encargados

Los controles específicos para responsables y encargados se han reestructurado y aclarado. En la edición de 2025 se agrupan en el Anexo A, un anexo normativo organizado en tres tablas: la A.1 con los controles para responsables, la A.2 con los controles para encargados y la A.3 con algunos controles de seguridad de la información comunes a ambos. El Anexo B ofrece la guía de implantación de los controles; entre los anexos informativos, la norma incluye una correspondencia con el RGPD (Anexo D) y una tabla de correspondencia con la edición de 2019 (Anexo F), útil para quien tenga que hacer la transición.

Para quien ya trabaja con la ISO 27001 el efecto resulta familiar: como con el Anexo A de la 27001, la empresa selecciona los controles aplicables en función de los riesgos y de su rol, y justifica las exclusiones. Una empresa que actúa solo como encargada del tratamiento, por ejemplo, podrá excluir de forma justificada los controles pensados para los responsables, y viceversa. Como recuerda Accredia, la entidad nacional de acreditación italiana, los controles del Anexo A, y en particular los de seguridad de la tabla A.3, no son exhaustivos: según la evaluación de riesgos pueden ser necesarios controles adicionales, por ejemplo sobre inventario de activos, continuidad de negocio y seguridad física.

Certificados en la versión 2019: ¿hasta cuándo hay para pasar a la 2025?

Para los certificados emitidos en Italia bajo acreditación de Accredia, el paso a la versión 2025 debe completarse antes del 31 de marzo de 2028. Así lo establece la circular técnica de Accredia DC n.º 33/2026, según la cual a partir del 1 de abril de 2028 los certificados que no hayan hecho la transición deben retirarse. A nivel internacional, el calendario acordado entre las entidades de acreditación en el grupo de trabajo del IAF y adoptado, por ejemplo, en el Reino Unido y Canadá fija en cambio el plazo en el 31 de octubre de 2028.

Las fechas que debes tener en cuenta

El calendario prevé tres hitos. El primero es la publicación de la norma, el 14 de octubre de 2025. El segundo afecta a los organismos de certificación, que deben acreditarse en la nueva edición: en Italia la transición de las acreditaciones debe completarse antes del 31 de octubre de 2027, y a partir del 1 de noviembre de 2027 se retirarán las acreditaciones que no hayan hecho la transición. El tercero es el que afecta directamente a las empresas: antes del 31 de marzo de 2028 todas las certificaciones ISO/IEC 27701:2019 emitidas bajo acreditación de Accredia deben pasar a la versión 2025. Para los certificados emitidos bajo otra acreditación, se aplica el plazo fijado por la entidad correspondiente.

Hasta entonces, un certificado 2019 sigue siendo válido en las condiciones habituales, es decir, siempre que las auditorías de seguimiento se realicen con regularidad y el sistema siga funcionando. Un detalle práctico: Accredia no exige una auditoría de transición específica. El organismo de certificación realiza un análisis de brechas para cada cliente y, si hace falta, añade jornadas de auditoría a la primera visita prevista o realiza una auditoría extraordinaria, así que conviene preguntar con antelación qué ventana propone.

Cómo planificar la transición sin estrés

La forma más eficiente de afrontar la transición es vincularla a una auditoría ya prevista, de seguimiento o de renovación, para evitar una visita adicional: es también la vía que prevé Accredia, que permite realizar las posibles jornadas de auditoría complementarias en la primera visita prevista. El trabajo previo a la auditoría se resume en unos pocos pasos operativos:

1. Análisis de brechas entre el sistema actual y los requisitos de la 2025, utilizando la tabla de correlación de la norma para trasladar los controles antiguos a los nuevos.

2. Actualización de la evaluación de riesgos, incluyendo de forma explícita el riesgo para los interesados y no solo el riesgo para la seguridad de los datos.

3. Revisión de la Declaración de Aplicabilidad, con las nuevas referencias a los controles y las justificaciones de las exclusiones.

4. Alineación de las cláusulas del sistema de gestión (contexto, objetivos, funciones de la dirección, revisión) con la estructura armonizada.

5. Formación específica de quienes gestionan el sistema y auditoría interna según la nueva edición antes de la visita del organismo.

Un ejemplo concreto

Pensemos en una empresa italiana certificada en ISO 27001 e ISO 27701:2019, con la renovación del certificado prevista para mediados de 2027. En este caso tiene sentido hacer coincidir la transición con la renovación: el sistema se actualiza en los meses anteriores y la auditoría de recertificación ya evalúa la versión 2025. Si, en cambio, el ciclo de certificación vence después de marzo de 2028, la transición tendrá que hacerse durante una auditoría de seguimiento intermedia o con una auditoría extraordinaria, porque la renovación llegaría demasiado tarde. Otro escenario frecuente: la empresa tiene la 27001 y la 27701:2019 en el mismo certificado. Con la versión 2025 puede valorar si mantener las dos normas integradas o gestionar la 27701 como certificación separada, por ejemplo con un alcance distinto.

ISO 27701 y RGPD: ¿qué demuestra la certificación y qué no?

La ISO 27701 es una herramienta para demostrar la responsabilidad proactiva que exige el RGPD, pero no equivale a una certificación de cumplimiento del RGPD. Es la distinción más importante que hay que entender antes de iniciar el proyecto, y también la que más se confunde en la comunicación comercial.

Una herramienta de responsabilidad proactiva

El RGPD exige al responsable no solo cumplir los principios del reglamento, sino ser capaz de demostrarlo (art. 5, apdo. 2, y art. 24). Sin embargo, el reglamento no dice cómo organizar esa demostración. Aquí la ISO 27701 resulta útil: ofrece una estructura reconocida internacionalmente para mantener bajo control tratamientos, riesgos, derechos de los interesados, proveedores e incidentes, con evidencias verificadas por un tercero.

La norma contiene una tabla informativa que relaciona sus requisitos y controles con los artículos del RGPD. Es una herramienta de trabajo muy valiosa para el DPO o el responsable interno de privacidad, porque permite entender qué partes del sistema responden a qué obligaciones. Pero sigue siendo informativa: la auditoría de certificación verifica la norma ISO, no el reglamento. Si quieres repasar las obligaciones del reglamento, las encontrarás en nuestra guía sobre el RGPD, sus orígenes y sus novedades.

La relación con los proveedores: el artículo 28

Para los encargados del tratamiento, la ISO 27701 tiene un valor muy concreto. El art. 28 del RGPD obliga al responsable a recurrir únicamente a encargados que ofrezcan garantías suficientes sobre las medidas técnicas y organizativas. En la práctica, cada cliente debe verificar a sus proveedores, y lo hace mediante cuestionarios, solicitudes de documentación y, a veces, auditorías.

Un certificado ISO 27701 no sustituye legalmente esta verificación, pero la simplifica mucho: el cliente encuentra en un único documento la prueba de que el proveedor tiene un sistema de gestión de la privacidad controlado por terceros, con controles específicos para encargados como el respeto de las instrucciones, la gestión de los subencargados, la devolución o eliminación de los datos y la notificación de incidentes. Para una empresa SaaS que recibe decenas de cuestionarios al año, esto se traduce en ciclos de venta más cortos y en menos horas dedicadas a responder siempre a las mismas preguntas.

Por qué no es una "certificación RGPD" según el artículo 42

El RGPD prevé sus propios mecanismos de certificación (arts. 42 y 43), basados en criterios aprobados por las autoridades de control nacionales o, para el sello europeo, por el Comité Europeo de Protección de Datos (CEPD/EDPB). La ISO 27701 no es uno de estos mecanismos: es una norma técnica voluntaria, y la propia Accredia precisa que la certificación ISO 27701 no debe considerarse un mecanismo de certificación en el sentido del art. 42. Por eso es correcto decir que la certificación ISO 27701 "apoya" o "facilita" el cumplimiento del RGPD, mientras que es incorrecto presentarla como "certificación RGPD". La diferencia también importa en caso de inspección: ante la autoridad de protección de datos (en Italia, el Garante Privacy) el certificado es un elemento útil para demostrar la organización, pero no exime de la responsabilidad sobre cada tratamiento. De hecho, ni siquiera las certificaciones previstas por el RGPD reducen la responsabilidad del responsable o del encargado (art. 42, apdo. 4).

¿Quién necesita la certificación ISO 27701?

La ISO 27701 no es obligatoria por ley para ninguna empresa. Sin embargo, resulta muy útil, y a veces necesaria en la práctica, para quien trata datos personales por cuenta de otros o para quien gestiona tratamientos delicados a gran escala.

Encargados del tratamiento, SaaS y proveedores de TI

Es el público para el que la ISO 27701 ofrece el retorno más inmediato. Empresas de software, plataformas SaaS, proveedores de servicios en la nube, centros de datos, empresas de desarrollo, call centers y empresas de externalización de servicios de RR. HH. o administrativos tratan datos personales de sus clientes y deben demostrar que saben hacerlo. Cuando el cliente es una gran empresa, un banco o una administración pública, el procedimiento de homologación de proveedores pide cada vez más a menudo evidencias específicas sobre privacidad, además de la ISO 27001.

Un ejemplo típico: una empresa de software que gestiona un programa de gestión para consultas médicas trata datos de salud, que forman parte de las categorías especiales del art. 9 del RGPD. Sus clientes están obligados a verificar que el proveedor ofrece garantías adecuadas. Con la ISO 27701, la empresa de software puede responder con un certificado y una Declaración de Aplicabilidad que muestra qué controles aplica como encargada, en lugar de rellenar cada vez cuestionarios de cincuenta preguntas.

Responsables del tratamiento con datos delicados o grandes volúmenes

También los responsables pueden sacar mucho partido de la norma, sobre todo en determinados contextos. Son los casos en los que la gestión de la privacidad forma parte del valor que se ofrece al cliente o del riesgo empresarial:

• centros sanitarios privados, laboratorios, centros de diagnóstico y organizaciones que tratan datos de salud o genéticos;

• e-commerce, retail y empresas con programas de fidelización que gestionan grandes bases de clientes y actividades de elaboración de perfiles;

• empresas de selección y gestión de personal, que tratan datos de candidatos y trabajadores;

• empresas que operan en varios países y deben gestionar transferencias de datos fuera de la UE;

• grupos empresariales con varios responsables y corresponsables, que necesitan reglas comunes.

Para estos perfiles, la ISO 27701 ayuda a pasar de una adecuación hecha "una vez" a un control continuo, con auditorías internas y revisiones que sacan a la luz los problemas antes de que se conviertan en reclamaciones o brechas.

Cuándo la ISO 27701 no es la primera prioridad

Hay casos en los que la certificación puede esperar. Una pequeña empresa que solo trata datos de empleados y de clientes B2B, sin categorías especiales ni tratamientos a gran escala, y que no recibe peticiones de sus clientes, sacará más partido de una buena adecuación al RGPD y, si procede, del apoyo de un DPO. Del mismo modo, si los clientes piden sobre todo garantías de seguridad informática, por ejemplo por obligaciones derivadas de la NIS2, la prioridad suele ser la ISO 27001, a la que se puede añadir la 27701 más adelante. Decidir el orden correcto evita invertir tiempo en una certificación que el mercado todavía no pide.

¿Cómo se integra la ISO 27701 con la ISO 27001?

Si ya tienes un sistema ISO 27001, la ISO 27701 se integra de forma natural: las dos normas comparten la estructura y buena parte de las herramientas. Aunque la versión 2025 es independiente, para quien ya tiene la 27001 el camino más eficiente sigue siendo casi siempre un sistema integrado de seguridad y privacidad.

Qué puedes reutilizar de tu sistema ISO 27001

Gracias a la estructura armonizada, muchos componentes del sistema de gestión de seguridad de la información pueden ampliarse en lugar de duplicarse. El análisis del contexto y de las partes interesadas, la gestión documental, la auditoría interna, la revisión por la dirección, la gestión de no conformidades y acciones correctivas, la formación y la gestión de incidentes pueden seguir siendo únicos, con incorporaciones específicas de privacidad.

También los controles de seguridad del Anexo A de la 27001, como control de accesos, criptografía, copias de seguridad, seguridad de proveedores y gestión de incidentes, constituyen la base sobre la que se apoyan los controles de seguridad comunes de la 27701. Si el sistema 27001 está bien construido, una parte importante del trabajo ya está hecha. Para repasar cláusulas, Anexo A y Declaración de Aplicabilidad, puedes empezar por nuestra guía completa de la ISO 27001.

Qué debes añadir para la privacidad

Lo que la 27001 no cubre es la perspectiva del interesado. Para la ISO 27701 hay que añadir, o llevar a un nivel verificable, algunos elementos específicos: la identificación del rol (responsable, encargado o ambos) en cada tratamiento, el registro de actividades de tratamiento vinculado al inventario de activos, la evaluación de riesgos de privacidad y las evaluaciones de impacto, la gestión de bases jurídicas y consentimientos, los procesos para atender los derechos de los interesados, las reglas de conservación y eliminación, la gestión de las transferencias fuera de la UE y los contratos con los subencargados.

Un ejemplo concreto: en el sistema 27001, el proceso de gestión de incidentes evalúa el impacto para la empresa. En el sistema integrado, ese mismo proceso también debe evaluar si el incidente es una brecha de datos personales, si debe notificarse a la autoridad de protección de datos en un plazo de 72 horas y si debe comunicarse a los interesados, documentando la decisión incluso cuando la notificación no sea necesaria.

Auditoría integrada o separada

Con la versión 2025 la empresa puede elegir. Puede certificar la 27001 y la 27701 en una misma auditoría integrada, con un único calendario de seguimiento y un alcance coherente, o mantener dos certificaciones distintas, quizá con alcances diferentes: por ejemplo, la 27001 para toda la empresa y la 27701 solo para la plataforma que trata los datos de los clientes. La elección depende de lo que pide el mercado y de cómo está organizada la empresa. Si todavía no tienes la 27001, merece la pena valorar la certificación ISO 27001 junto con la 27701, porque construir los dos sistemas en paralelo requiere menos trabajo que hacerlo en dos momentos distintos.

Cómo obtener la certificación ISO 27701: las fases operativas

El camino hacia la certificación ISO 27701 sigue las fases típicas de cualquier sistema de gestión ISO, con algunas actividades específicas de privacidad. La secuencia es la misma tanto si se parte de cero como si se amplía un sistema 27001 existente; lo que cambia es la cantidad de trabajo en cada fase.

Fase 1: alcance, roles y análisis de brechas

El primer paso es decidir qué certificar. Se define el alcance (toda la empresa, una unidad de negocio, un producto), los tratamientos incluidos y el rol que desempeña la empresa en cada uno. Después se compara la situación actual con los requisitos de la norma: qué documentos del RGPD existen ya y están actualizados, qué procesos funcionan de verdad y dónde faltan evidencias.

Un error que hay que evitar en esta fase es definir un alcance demasiado amplio "para quedar bien". Un alcance más reducido pero bien gobernado se certifica antes y se sostiene mejor con los años; siempre se puede ampliar más adelante.

Fase 2: construcción del sistema

En esta fase se redactan o actualizan políticas y procedimientos, se completa el registro de actividades de tratamiento, se realiza la evaluación de riesgos de privacidad y se prepara la Declaración de Aplicabilidad con la selección de controles. Se revisan los contratos con clientes y proveedores, en particular los acuerdos de encargo del tratamiento, y se definen los procesos para los derechos de los interesados, la conservación de los datos y la gestión de las brechas.

Es también la fase en la que se forma al personal. No hace falta un curso genérico sobre el RGPD: hacen falta instrucciones claras para quien responde a las solicitudes de los interesados, para quien gestiona a los proveedores y para quien desarrolla el producto y debe aplicar la privacidad desde el diseño.

Fase 3: puesta en marcha y auditoría interna

Un sistema de gestión debe funcionar durante un periodo antes de la auditoría de certificación, para generar evidencias reales: solicitudes de interesados gestionadas, proveedores evaluados, incidentes registrados y objetivos supervisados. Durante este periodo se realiza la auditoría interna, que verifica el sistema frente a la norma, y la revisión por la dirección, en la que la alta dirección evalúa resultados y prioridades. Si haces el recorrido con Complaion, la auditoría interna la realiza tu Lead Auditor de Complaion. Las no conformidades detectadas deben tratarse con acciones correctivas documentadas.

Fase 4: auditoría de certificación y mantenimiento

La auditoría de certificación la realiza un organismo de certificación acreditado y verifica tanto la documentación y la preparación de la empresa como la aplicación efectiva del sistema. Superada la auditoría, el certificado se mantiene con auditorías de seguimiento periódicas y se renueva con una auditoría de recertificación al final del ciclo, según las reglas de la ISO/IEC 17021-1 complementadas por la ISO/IEC 27706. El mantenimiento es la parte que muchas empresas subestiman: registros, evaluaciones y contratos deben mantenerse actualizados cada mes, no solo en las semanas previas a la visita.

Plazos y esfuerzo: ¿qué factores influyen en el proceso?

No existe una duración estándar para obtener la ISO 27701: los plazos y el esfuerzo dependen del punto de partida de la empresa y de la complejidad de sus tratamientos. Por eso, una estimación fiable solo puede hacerse tras un primer análisis, con un presupuesto elaborado para el caso concreto.

El punto de partida

El factor que más influye es lo que ya existe. Una empresa con un sistema ISO 27001 maduro y una adecuación al RGPD actualizada tiene que, sobre todo, integrar y formalizar. Una empresa sin 27001 y con documentación de privacidad desfasada debe, en cambio, construir el sistema casi desde cero. También cuentan la presencia de un DPO o de un responsable interno de privacidad con tiempo dedicado y la calidad del registro de actividades de tratamiento: si está completo, el análisis de brechas es rápido; si hay que reconstruirlo, hacen falta entrevistas con cada área de la empresa.

Complejidad de los tratamientos y del alcance

A igualdad de tamaño, los plazos cambian mucho según lo que se trate. Influyen el número y la variedad de los tratamientos, la presencia de categorías especiales de datos, la elaboración de perfiles, las transferencias fuera de la UE, el número de subencargados y de sedes, y la decisión de certificarse como responsable, como encargado o en ambos roles. Un SaaS con un solo producto y pocos proveedores cloud tiene un alcance más sencillo que un grupo con varias sociedades, varias sedes y decenas de proveedores.

Disponibilidad interna

Por último, importa cuánto tiempo puede dedicar la empresa al proyecto. Las figuras clave, es decir, el responsable interno de privacidad, el responsable de TI, el departamento jurídico o de compras y la dirección, deben estar disponibles para entrevistas, decisiones y revisión de documentos. Un proyecto en el que las decisiones llegan en pocos días avanza mucho más rápido que uno en el que cada aprobación tarda semanas. Para una estimación a medida, el paso adecuado es solicitar un presupuesto personalizado tras un primer análisis de tu situación.

¿Cuáles son los errores más comunes con la ISO 27701?

Los errores más frecuentes no tienen que ver con documentos que faltan, sino con el planteamiento del proyecto. Reconocerlos con antelación ahorra meses.

Confundir el rol de responsable y el de encargado

Es el error más extendido. Muchas empresas SaaS se declaran solo encargadas del tratamiento y olvidan los tratamientos de los que son responsables: marketing, análisis del uso del producto, datos de empleados, registros (logs) utilizados para mejorar el servicio. Otras se declaran responsables de datos que en realidad solo tratan por cuenta de sus clientes. El resultado es una Declaración de Aplicabilidad incoherente, con controles excluidos sin una justificación válida, algo que el auditor detecta enseguida. La solución es mapear el rol tratamiento por tratamiento, no a nivel de empresa.

Tratar la privacidad como un apéndice de la seguridad

Quien amplía un sistema 27001 tiende a reutilizar la evaluación de riesgos existente añadiendo algunos puntos. Pero el riesgo de privacidad mira a las personas, no solo a los activos: recoger datos innecesarios, conservarlos más allá del plazo declarado o usarlos para fines nuevos son riesgos incluso sin ningún ciberataque. Una evaluación de riesgos que no tenga en cuenta estos aspectos no supera una auditoría de la 27701, sobre todo en la versión 2025, que ha hecho más explícita la gestión del riesgo de privacidad.

Documentos del RGPD desconectados de la realidad

Cláusulas informativas, registro y evaluaciones de impacto existen, pero describen la empresa de hace tres años. El auditor compara el registro con los sistemas reales y con la lista de proveedores: si aparecen herramientas nuevas no registradas, o proveedores sin acuerdo de encargo del tratamiento, surge una no conformidad. El registro debe vincularse a los procesos de compras y de desarrollo, para que cada nueva herramienta pase por la evaluación de privacidad.

Aplazar la transición a la 2025

Para quien está certificado en la versión 2019, esperar a 2028 es arriesgado. En Italia, si la transición no se completa antes del 31 de marzo de 2028 el certificado se retira, y volver a empezar desde cero exige mucho más esfuerzo que actualizar el sistema durante una auditoría de seguimiento. Conviene planificarla ya, de acuerdo con tu organismo de certificación.

Cómo te acompaña Complaion hacia la ISO 27701

La ISO 27701 permite transformar la privacidad de un conjunto de documentos en un sistema verificable, y con la versión 2025 se ha convertido en una certificación que puedes obtener por sí sola o integrar con la ISO 27001. Complaion trabaja en ambos frentes: un Lead Auditor dedicado acompaña a tu empresa desde el análisis de brechas hasta la auditoría, mientras que la plataforma Complaion recoge las evidencias, gestiona los documentos, lleva el calendario de auditorías de seguimiento y renovaciones y prepara la auditoría. Antes de la visita del organismo, tu Lead Auditor realiza la auditoría interna y, si ya tienes la ISO 27001, cubre seguridad y privacidad en una única verificación. Si además necesitas una supervisión continua de la privacidad, puedes contar con nuestro servicio de DPO externalizado. Ya trabajamos con más de 1.000 clientes.

Descubre el camino hacia la certificación ISO 27701 o solicita una consulta gratuita para saber por dónde empezar.

Preguntas frecuentes sobre la ISO 27701

¿La ISO 27701 es obligatoria?

No, la ISO 27701 es una norma voluntaria y ninguna ley italiana ni europea obliga a adoptarla. Sin embargo, puede convertirse en un requisito contractual: clientes, licitaciones públicas y procedimientos de homologación de proveedores pueden exigirla o valorarla. Para los proveedores que tratan datos por cuenta de otros, suele ser la forma más sencilla de demostrar las garantías que exige el art. 28 del RGPD. La decisión de certificarse depende, por tanto, del mercado en el que opera la empresa.

¿Puedo obtener la ISO 27701 sin la ISO 27001?

Sí, con la versión ISO/IEC 27701:2025 es posible. La nueva edición es una norma independiente y, a diferencia de la versión 2019, ya no requiere un sistema ISO 27001 como base. La norma incluye de todos modos controles de seguridad para proteger los datos personales, así que sigue siendo necesario un nivel adecuado de seguridad de la información. Para quien ya tiene la 27001, integrar los dos sistemas sigue siendo el camino más eficiente.

¿Qué pasa con mi certificado ISO 27701:2019?

El certificado sigue siendo válido hasta el final del periodo de transición, siempre que las auditorías de seguimiento se realicen con regularidad. Para los certificados emitidos bajo acreditación de Accredia, el paso a la versión 2025 debe completarse antes del 31 de marzo de 2028: a partir del 1 de abril de 2028 se retirarán los certificados que no hayan hecho la transición. Si tu certificado se emitió bajo otra acreditación, se aplica el plazo fijado por esa entidad, que en varios países es el 31 de octubre de 2028. Lo más eficiente es hacer coincidir la transición con una auditoría de seguimiento o de renovación ya prevista.

¿La certificación ISO 27701 equivale a una certificación RGPD?

No. El RGPD prevé sus propios mecanismos de certificación en los arts. 42 y 43, con criterios aprobados por las autoridades de control o por el CEPD (EDPB), y la ISO 27701 no es uno de ellos, como precisa también Accredia. La ISO 27701 es una norma técnica que ayuda a organizar y demostrar la responsabilidad proactiva que exige el reglamento. Es correcto decir que apoya el cumplimiento del RGPD, no que lo certifica.

¿Cuál es la diferencia entre la ISO 27001 y la ISO 27701?

La ISO 27001 se refiere a la seguridad de toda la información de la empresa: datos personales, pero también secretos industriales, datos financieros y código fuente. La ISO 27701 se centra específicamente en los datos personales y en la protección de las personas a las que se refieren, incluidos temas que la 27001 no aborda, como bases jurídicas, consentimientos, derechos de los interesados y relaciones entre responsables y encargados. Las dos normas comparten la estructura y se integran bien en un único sistema de gestión.

¿Cuánto dura el certificado ISO 27701?

La duración del certificado y la frecuencia de las auditorías siguen las reglas de las certificaciones acreditadas de sistemas de gestión, es decir, la ISO/IEC 17021-1, complementada para la privacidad por la ISO/IEC 27706. En la práctica, el certificado cubre un ciclo de certificación durante el cual se realizan auditorías de seguimiento periódicas, que comprueban que el sistema sigue funcionando. Al final del ciclo se realiza una auditoría de renovación. Entre una auditoría y otra, la empresa debe mantener actualizados registros, evaluaciones de riesgos y contratos.

¿Hace falta un DPO para obtener la ISO 27701?

La norma no obliga a designar un DPO: la obligación deriva del RGPD (art. 37) y solo en algunos casos, por ejemplo para autoridades públicas o para quien realiza una observación habitual y sistemática a gran escala. Sin embargo, la ISO 27701 exige asignar responsabilidades claras en materia de privacidad. En la práctica, contar con un DPO o un responsable interno de privacidad competente simplifica mucho el proyecto y su mantenimiento. Muchas pymes eligen un DPO externo para disponer de competencias especializadas sin crear una nueva función interna.

¿Una empresa SaaS debe certificarse como responsable o como encargada?

En la mayoría de los casos, como ambas. Una plataforma SaaS es encargada del tratamiento de los datos que sus clientes cargan en el servicio, pero responsable de los datos de sus propios empleados, de sus leads comerciales y, a menudo, de algunos datos de uso del producto. El alcance de la certificación puede incluir uno o ambos roles. La elección debe hacerse tratamiento por tratamiento y justificarse en la Declaración de Aplicabilidad.