Qué es la ISO 27701 y qué protege

La empresa de centros de contacto tenía certificada la ISO 27001 desde hacía tres años. Al renovar el contrato, el área de cumplimiento del banco pidió evidencia de cómo se tratan los datos personales de sus clientes: para qué finalidad se usan, cuánto tiempo se conservan, cómo se eliminan al terminar el servicio y qué se hace si un titular pide acceso a sus datos. El certificado demostraba que la información estaba protegida contra accesos indebidos. No demostraba que el tratamiento de los datos personales estuviera bajo control.

Qué es la ISO 27701

La ISO/IEC 27701 es la norma internacional para el sistema de gestión de información de privacidad. Nació en 2019 como una extensión de la ISO 27001 y la ISO 27002, que agregaba requisitos y controles de privacidad a un sistema de seguridad de la información existente. La edición de 2025 la convirtió en una norma de sistema de gestión independiente, que puede implementarse y certificarse por sí sola, aunque sigue la misma estructura común de las normas ISO y se integra con facilidad a la ISO 27001.

Responsable y encargado

La norma distingue dos papeles, porque las obligaciones cambian según quién decide sobre los datos:

• —Responsable: la organización que decide para qué y cómo se tratan los datos personales, como el banco con los datos de sus clientes.
• —Encargado: la organización que trata los datos por cuenta del responsable y siguiendo sus instrucciones, como el centro de contacto, el proveedor de nómina o el servicio en la nube.

Una misma empresa puede ser responsable de los datos de sus empleados y encargada de los datos de los clientes de sus clientes, y la norma tiene controles específicos para cada papel.

Qué controles agrega

• —Identificar la finalidad y la base legal de cada tratamiento, y registrar cuándo se requiere consentimiento.
• —Avisos de privacidad claros y mecanismos para atender los derechos de los titulares, como acceso, rectificación, cancelación y oposición.
• —Minimización: recabar y conservar solo los datos necesarios para la finalidad.
• —Plazos de conservación definidos y eliminación o anonimización al terminar la finalidad.
• —Control de transferencias y de subencargados, con contratos que fijen las obligaciones de cada parte.
• —Evaluaciones de impacto en la privacidad y notificación de vulneraciones al responsable o a los titulares cuando corresponda.

Cómo se relaciona con la ley

La ISO 27701 no sustituye a la ley, pero ayuda a demostrar que se cumple. En México, la ley federal de protección de datos personales en posesión de los particulares obliga a contar con aviso de privacidad, atender los derechos ARCO, adoptar medidas de seguridad y responder por los encargados. En Europa, el Reglamento General de Protección de Datos exige algo similar. La norma incluye correspondencias con distintas regulaciones para que una organización pueda usar un solo sistema frente a varias leyes y varios clientes.

Errores frecuentes

• —Suponer que la ISO 27001 ya cubre la privacidad porque protege la confidencialidad.
• —No tener un inventario de qué datos personales se tratan, para qué finalidad y dónde se guardan.
• —Conservar datos de clientes de contratos terminados sin plazo ni criterio de eliminación.
• —Subcontratar servicios que tratan datos personales sin cláusulas de privacidad ni seguimiento.

Dónde se rompe en la operación

En la Ciudad de México, donde bancos, aseguradoras, empresas de tecnología financiera, hospitales y centros de contacto concentran millones de registros de datos personales, las exigencias de privacidad llegan cada vez más por contrato, antes que por la autoridad. Lo que falla no es la seguridad técnica, sino el control del tratamiento: finalidades, plazos, proveedores y respuesta a los titulares. Integrar la privacidad al análisis de riesgos, a la gestión de proveedores y a la auditoría interna es parte de lo que se estructura en la Consultoría ISO 9001 en Ciudad de México, donde la estructura común de las normas ISO permite sumar nuevos sistemas de gestión sin empezar de cero.

En resumen

La ISO/IEC 27701 es la norma del sistema de gestión de información de privacidad. Desde 2025 puede certificarse de forma independiente. Distingue entre responsable y encargado y agrega controles sobre finalidad, consentimiento, derechos de los titulares, minimización, conservación, transferencias, subencargados, evaluaciones de impacto y notificación de vulneraciones.