ISO/IEC 27701
Hasta 2019 esta norma era una extensión, y nadie certificaba privacidad sin antes construir un sistema de gestión de seguridad entero. La revisión de octubre de 2025 acabó con esa exigencia. Para quien ya trata el dato personal con seriedad y necesita demostrarlo ante un cliente o un regulador, el camino se acortó de forma significativa.
DM11 prepara a tu empresa y conduce la implementación. Quien audita y emite el certificado es un organismo de certificación acreditado, contratado por ti. La norma trata de gestión de privacidad y no sustituye la asesoría jurídica sobre la ley de protección de datos: las dos se complementan, y DM11 tiene especialistas en derecho digital en el equipo.
Quién conduce la implementación
Especialistas en protección de datos certificados por EXIN (DPO, PDPP y PDPF)
ISO/IEC 27001 Lead Auditor certificado por BSI
Asesoría jurídica en privacidad y protección de datos
17 años de gobernanza, riesgos y cumplimiento
QUÉ CAMBIÓ, Y POR QUÉ IMPORTA
La ISO/IEC 27701 define los requisitos de un sistema de gestión de privacidad de la información. Organiza cómo la empresa decide qué puede hacer con el dato personal, quién responde por cada decisión y cómo se demuestra a lo largo del tiempo. En la revisión publicada el 14 de octubre de 2025 dejó de ser un apéndice de la seguridad y pasó a existir por su cuenta.
Este es el cambio que reescribe el presupuesto. En la versión de 2019, certificar privacidad obligaba a tener o construir el sistema de gestión de seguridad entero antes. Ahora la norma es autónoma, y una empresa puede certificar privacidad sin pasar por la 27001. Si recibiste una propuesta reciente que dice lo contrario, fue escrita sobre la versión anterior.
La revisión adoptó la estructura armonizada de cláusulas 4 a 10, la misma de la ISO 27001 y de la ISO/IEC 42001, de gobernanza de IA. En la práctica, quien ya opera una de ellas reaprovecha contexto, liderazgo, planificación y revisión por la dirección en lugar de mantener tres sistemas paralelos.
El Anexo A separa los controles por rol: un conjunto para el responsable, otro para el encargado, y un bloque que vale para ambos. Definir tu rol en cada tratamiento es la primera decisión del proyecto, y la que más cambia el tamaño del trabajo. Muchas empresas son responsables en un flujo y encargadas en otro.
La norma trae anexos que ligan los controles al GDPR y a otras referencias de privacidad, incluida la versión de 2019 para quien necesita migrar. Es lo que vuelve el certificado útil como respuesta a un cliente europeo, y lo que ahorra trabajo a quien ya ordenó la casa para una ley de protección de datos.
QUIÉN SUELE NECESITARLA
La ley de protección de datos ya obliga, y nadie certifica una ley. La ISO 27701 entra cuando hay que demostrar a terceros que la obligación se cumple con método.
Un contrato con una empresa de la Unión Europea suele exigir garantías sobre el tratamiento de dato personal. Un certificado reconocido internacionalmente responde eso mejor que un dosier armado a las prisas, y responde una vez para todos los clientes en lugar de uno por uno.
Quien procesa dato por cuenta de otra empresa recibe un cuestionario de privacidad de cada cliente, cada uno en un formato distinto. El certificado cambia esa fila por un solo documento, y el conjunto de controles de encargado fue diseñado justo para ese rol.
Una fiscalización, un incidente comunicado o un sector que pasó a ser prioridad. Un sistema de gestión de privacidad en funcionamiento es la diferencia entre demostrar diligencia con documentos fechados e intentar reconstruir la historia después de que llegó la pregunta.
HISTORIAS
Cambiamos los nombres de los clientes con el mismo sigilo que protegerá a tu empresa después. Los nombres cambian, el patrón se repite. Cuando el cliente lo autoriza, damos referencias con nombre en una conversación.
Servicios de nómina y beneficios
La empresa procesaba dato personal de miles de empleados de sus clientes y lo trataba todo como si fuera propio. Los contratos no decían quién respondía por qué, y un cliente grande abrió una auditoría de privacidad que la empresa no tenía cómo responder.
Empezamos separando los roles flujo por flujo: dónde era responsable y dónde era encargada. Esa distinción cambió el diseño entero del programa y buena parte de las cláusulas contractuales. Después vinieron el inventario de tratamientos, las bases legales y los controles del bloque de encargado.
La auditoría del cliente se respondió con un documento en lugar de una reunión. Y la empresa pasó a usar el mismo material comercialmente, porque su rol de encargada quedó claro en el contrato y dejó de generar discusión en cada renovación.
Tecnología, atendiendo a Europa
La empresa había hecho un proyecto de adecuación dos años antes, con buen resultado y ningún mantenimiento. Cuando un cliente europeo pidió evidencia de tratamiento adecuado, lo que existía era un informe desactualizado y la memoria de quienes participaron.
Aprovechamos lo que el proyecto anterior había dejado, que era más de lo que la dirección imaginaba, y lo que faltaba era justamente el sistema de gestión: quién revisa, cuándo, con qué registro. Estructuramos eso y mapeamos los controles contra el GDPR usando los anexos de la propia norma.
La empresa salió con un sistema que se mantiene solo y con el mapeo listo para responder a clientes europeos. El proyecto anterior dejó de ser un costo perdido y se volvió la base del nuevo.
Salud privada
La operación manejaba información de salud, que la ley trata como dato personal sensible, y le aplicaba los mismos controles que al resto. No había intención de equivocarse: nadie había hecho la distinción en el papel, así que no existía en la práctica.
Clasificamos los tratamientos por naturaleza del dato y reforzamos donde la ley pide más: base legal específica, control de acceso más restringido, registro de quién consulta qué y plazo de retención definido por tipo de información.
La diferencia apareció en el control de acceso: decenas de personas alcanzaban historiales sin necesidad funcional, y nadie lo sabía porque no había registro. Tras el proyecto, el acceso pasó a ser justificado, registrado y revisado.
CÓMO LO CONDUCIMOS
La metodología es la misma que usamos en la ISO 27001, adaptada a lo que la privacidad tiene de propio: el rol en cada tratamiento, la base legal y el derecho del titular. Conducida por un especialista externo, con un punto focal de tu equipo, y evaluación binaria de cada requisito, sin nota subjetiva que nadie defiende en la auditoría.
Definimos el alcance y los límites del sistema de gestión (cláusula 4), comprometemos a la dirección y constituimos la gobernanza de privacidad (cláusula 5). En paralelo, mapeamos los tratamientos de dato personal y definimos, tratamiento a tratamiento, si la empresa es responsable o encargada.
Alcance y límites del sistema de gestión homologados
Inventario de tratamientos de dato personal
Rol definido por tratamiento: responsable o encargado
Gobernanza de privacidad constituida, con el delegado formalizado
Hito de entregaInventario de tratamientos aprobado y rol definido en el 100% de los flujos mapeados.
Ejecutamos el análisis de brechas frente a las cláusulas 6 y 7, registramos la base legal de cada tratamiento y evaluamos los riesgos a la privacidad de los titulares, que no son los mismos riesgos de la seguridad de la información. Donde la ley lo pide, producimos el informe de impacto.
Base legal registrada para cada tratamiento
Evaluación de riesgos a la privacidad de los titulares
Informe de impacto a la protección de datos, donde aplique
Plan de tratamiento y declaración de aplicabilidad de los controles
Hito de entregaBases legales aprobadas por el área jurídica y plan de tratamiento homologado por la dirección.
Implantamos los controles del Anexo A que corresponden al rol de la empresa, con el bloque compartido sirviendo a ambos. Es la fase en que la atención al titular deja de ser improvisación: plazo, canal, registro y respuesta estandarizada, además de retención y descarte definidos por tipo de dato.
Controles de responsable, de encargado o ambos, según el rol
Proceso de atención al titular, con plazo y registro
Política de retención y descarte por tipo de dato
Cláusulas de privacidad revisadas en los contratos con terceros
Hito de entregaPrimer ciclo de solicitudes de titular atendido dentro del plazo y con registro completo.
Ejecutamos la auditoría interna (cláusula 9) con un consultor independiente de quien implantó, conducimos la revisión por la dirección y tratamos las desviaciones (cláusula 10). Consolidamos las evidencias y acompañamos las dos fases de la auditoría externa.
Auditoría interna conducida por consultor independiente
Revisión por la dirección, con desviaciones tratadas
Repositorio de evidencias de privacidad consolidado
Acompañamiento en las fases 1 y 2 de la auditoría externa
Hito de entregaAuditoría de certificación concluida y certificado emitido por el organismo acreditado.
CUÁNTO TIEMPO LLEVA
No publicamos plazo estándar, porque un plazo publicado se vuelve promesa. En esta norma la variación es aún mayor que en la ISO 27001, y por un motivo específico: la empresa que hizo su adecuación con método llega con medio camino andado, y la que hizo un proyecto de papel llega prácticamente de cero. La primera conversación ya separa los dos casos.
Un inventario de tratamientos actualizado y bases legales registradas acortan meses. Un informe de hace dos años que nadie mantuvo suele valer menos de lo que parece, y es honesto decirlo antes de empezar.
Ser solo responsable es el camino más corto. Acumular ambos roles en flujos distintos multiplica los controles aplicables y las cláusulas contractuales a revisar.
Con ISO 27001 o ISO 42001 en operación, las cláusulas 4 a 10 son las mismas y buena parte del trabajo de gobernanza ya está hecho. Sin ninguno, esa base hay que construirla, y ahora se puede construir directamente sobre la 27701.
LOS PAPELES ESTÁN SEPARADOS
Como en toda norma certificable, quien emite el certificado es un organismo acreditado contratado por ti, nunca DM11, y la auditoría interna de la cláusula 9 la conduce quien no implantó. Hay una segunda separación aquí: la norma trata de gestión y no sustituye la asesoría jurídica sobre la ley de protección de datos. Los dos lados necesitan conversar, y el proyecto se conduce con un especialista en derecho digital al lado del especialista en gestión.
DM11 prepara, implanta y acompaña. No emite certificado
Tú contratas el organismo de certificación, y la elección es tuya
La auditoría interna de la cláusula 9 la hace quien no implantó
La norma organiza la gestión; la interpretación de la ley queda con el jurídico
PREGUNTAS FRECUENTES
Las dudas que aparecen en casi toda primera reunión, respondidas sin rodeos.
No, y esa es la novedad que cambia el cálculo. Hasta la versión de 2019 la 27701 era una extensión y no se certificaba sin la 27001 implantada. La revisión publicada el 14 de octubre de 2025 volvió la norma autónoma: ya no depende de la implementación de la 27001 ni de la 27002. Si recibiste una propuesta que afirma lo contrario, fue escrita sobre la versión anterior. Tener la 27001 sigue ayudando bastante, porque las cláusulas 4 a 10 son las mismas, pero dejó de ser prerrequisito.
En la primera conversación miramos qué existe de inventario, base legal y proceso de atención al titular, y te decimos con honestidad si el camino es corto o largo.