La norma ISO 27701 establece requisitos y directrices para la gestión de la privacidad de la información dentro de un sistema de gestión de seguridad de la información (SGSI) basado en ISO 27001. Las etapas para implementar ISO 27701 son similares a las de ISO 27001, con un enfoque específico en la privacidad de la información. A continuación, se describen las etapas clave para la implementación de ISO 27701:

• Compromiso de la Alta Dirección:

   – Identificar la necesidad de implementar ISO 27701.

   – Obtener el compromiso de la alta dirección para el proyecto de gestión de privacidad de la información.

• Establecer el Alcance del SGSI de Privacidad:

   – Definir qué activos de información y procesos de la organización están cubiertos por el SGSI de privacidad.

   – Determinar los límites de alcance del SGSI de privacidad.

• Inicio del Análisis de Riesgos de Privacidad:

   – Identificar y evaluar los riesgos relacionados con la privacidad de la información, incluyendo la información personal.

   – Determinar las amenazas, vulnerabilidades y el impacto potencial en la privacidad de los datos.

• Definición de la Política de Privacidad de la Información:

   – Desarrollar una política de privacidad de la información que establezca los principios generales y los objetivos del SGSI de privacidad.

• Planificación de Controles de Privacidad:

   – Definir y planificar la implementación de controles de privacidad de la información, como medidas técnicas y organizativas para proteger datos personales.

• Implementación de Controles de Privacidad:

   – Implementar los controles de privacidad definidos en la etapa anterior.

   – Asegurarse de que los procesos y sistemas estén configurados para proteger la privacidad de la información.

• Evaluación de Riesgos de Privacidad Residuales:

   – Evaluar nuevamente los riesgos después de la implementación de los controles de privacidad.

   – Asegurarse de que los riesgos residuales estén dentro de los límites aceptables.

• Auditoría Interna de Privacidad:

   – Realizar auditorías internas para evaluar la conformidad con ISO 27701 y los controles de privacidad implementados.

   – Identificar áreas de mejora.

• Revisión por la Dirección de Privacidad:

   – La alta dirección revisa el desempeño del SGSI de privacidad y las auditorías internas.

   – Se toman decisiones para mejorar el SGSI de privacidad según sea necesario.

• Certificación Externa de Privacidad:

    – Contratar a un organismo de certificación externo para realizar una auditoría y emitir una certificación si se cumple con los requisitos de ISO 27701 en materia de privacidad.

• Mantenimiento y Mejora Continua de la Privacidad:

    – Continuar monitoreando y mejorando el SGSI de privacidad a lo largo del tiempo.

    – Responder a cambios en riesgos y requisitos de privacidad.

Estas etapas aseguran que una organización pueda gestionar de manera efectiva la privacidad de la información y cumplir con los requisitos de ISO 27701 para proteger los datos personales. La norma se basa en el enfoque de mejora continua, lo que significa que el ciclo de implementación y mejora se repite a lo largo del tiempo para mantener la efectividad del SGSI de privacidad.

Más información sobre la estructura de la Norma ISO 27701.

La norma ISO 27701 tiene una estructura similar a otras normas ISO y se basa en el formato de alto nivel común (High-Level Structure – HLS) que se utiliza para facilitar la integración con otras normas de sistemas de gestión, como ISO 27001 (seguridad de la información) y ISO 9001 (gestión de calidad). La estructura de ISO 27701 consta de varias secciones, y aquí se presenta una descripción general de su estructura:

• Introducción:

   – Esta sección proporciona una visión general de la norma y su propósito. Describe el contexto y la importancia de la gestión de la privacidad de la información.

• Objetivo y campo de aplicación:

   – Define los objetivos de ISO 27701 y especifica su ámbito de aplicación. Indica que la norma se aplica a organizaciones que buscan gestionar la privacidad de la información y amplía la implementación de un SGSI basado en ISO 27001.

• Referencias normativas:

   – Esta sección enumera las normas y documentos de referencia relacionados con ISO 27701. Puede incluir otras normas ISO, leyes de privacidad y regulaciones relevantes.

• Términos y definiciones:

   – Define los términos y definiciones clave utilizados en la norma. Esto garantiza una comprensión común de los conceptos y la terminología relacionados con la privacidad de la información.

• Contexto de la organización:

   – Al igual que en ISO 27001, esta sección requiere que la organización identifique su contexto, las partes interesadas relevantes y sus requisitos y expectativas relacionados con la privacidad de la información.

• Liderazgo y compromiso:

   – Describe los requisitos de liderazgo y compromiso de la alta dirección en relación con la privacidad de la información, incluida la definición de roles y responsabilidades.

• Planificación:

   – Esta sección se centra en la planificación de los procesos de gestión de la privacidad, incluyendo la identificación de riesgos y oportunidades de privacidad.

• Apoyo:

   – Detalla los requisitos relacionados con el apoyo de la alta dirección, la competencia del personal y los recursos necesarios para implementar y mantener el SGSI de privacidad.

• Operación:

   – Esta sección se enfoca en la implementación de controles y procesos para proteger la privacidad de la información.

• Evaluación del desempeño:

    – Describe los requisitos para evaluar y medir el desempeño del SGSI de privacidad y cómo se deben llevar a cabo las auditorías internas.

• Mejora:

    – Esta sección trata sobre la mejora continua del SGSI de privacidad, incluyendo la toma de acciones correctivas y preventivas para abordar no conformidades y riesgos identificados.

La estructura de ISO 27701, al estar alineada con la HLS, facilita la integración con otras normas de sistemas de gestión, lo que puede simplificar la gestión de la privacidad de la información y su integración con la seguridad de la información y otros aspectos de la gestión empresarial.

Más información sobre la Integración de ISO 27701 con ISO/IEC 27001.

El Ciclo PDCA (Planificar, Hacer, Verificar, Actuar) es un enfoque de mejora continua que se puede aplicar en la implementación y gestión de sistemas de gestión, incluyendo la norma ISO 27701 para la privacidad de la información. Aunque no se menciona explícitamente como un ciclo en la norma ISO 27701, los principios del PDCA se pueden aplicar en todas las etapas del proceso de gestión de la privacidad de la información. A continuación, se describe cómo se relaciona el ciclo PDCA con la ISO 27701:

• Planificar (Plan – P):

   – En esta etapa, la organización debe planificar su sistema de gestión de la privacidad de la información (SGPI) basado en ISO 27701. Esto incluye la identificación de los activos de información personal, la evaluación de riesgos de privacidad y la definición de políticas y objetivos de privacidad. Esta etapa se relaciona con la fase de «Planificación» del ciclo PDCA.

• Hacer (Do – D):

   – Una vez que se han planificado las medidas de privacidad, la organización debe implementarlas. Esto incluye la implementación de controles de privacidad, la capacitación del personal y la gestión de procesos para proteger datos personales. Esta etapa se relaciona con la fase de «Hacer» del ciclo PDCA.

• Verificar (Check – C):

   – En esta etapa, se realiza una evaluación y monitoreo continuo del SGPI para asegurarse de que está funcionando según lo planificado. Se realizan auditorías internas y se miden los indicadores clave de rendimiento relacionados con la privacidad. Esta etapa se relaciona con la fase de «Verificar» del ciclo PDCA.

• Actuar (Act – A):

   – Basándose en los resultados de las evaluaciones y auditorías internas, la organización toma medidas para corregir y mejorar el SGPI de acuerdo con los hallazgos. Esto puede incluir la implementación de acciones correctivas y preventivas para abordar deficiencias o riesgos identificados. Esta etapa se relaciona con la fase de «Actuar» del ciclo PDCA.

El enfoque PDCA se repite de forma continua a lo largo del tiempo en la gestión de la privacidad de la información. Cada vez que se completa el ciclo, se retroalimenta para hacer ajustes y mejoras adicionales en el SGPI para mantener la efectividad en la protección de la privacidad de los datos personales y cumplir con los requisitos de ISO 27701. La mejora continua es un aspecto fundamental en la gestión de la privacidad de la información para adaptarse a cambios en la tecnología, la regulación y los riesgos de privacidad.

Más información sobre el Reglamento General de Protección de Datos.