Qué es ISO 27701
ISO/IEC 27701 establece los requisitos de un sistema de gestión de la privacidad de la información: cómo gestiona una organización los datos personales como responsable, como encargado o como ambos. La primera edición, de 2019, era una extensión de ISO 27001. La edición de 2025 es independiente y puede certificarse sin ISO 27001, con su propio conjunto de controles de seguridad. Tiene controles separados para responsables y encargados, y los mapea con el RGPD y otras leyes de privacidad.
Qué preguntan los clientes
Las preguntas se solapan con una evaluación de proveedores según el RGPD y se organizan según los conjuntos de controles de la norma:
- Si está certificado, con qué edición y qué cubre el alcance.
- Su papel respecto a los datos del cliente, que en un proveedor SaaS suele ser el de encargado.
- Cómo gestiona las instrucciones del cliente, cómo ayuda con las solicitudes de los interesados y cómo lleva los registros de tratamiento.
- Subencargados: quiénes son, cómo están vinculados y cómo se informa al cliente de los cambios.
- Transferencias fuera de la UE y las garantías que se aplican.
- Conservación, devolución y eliminación al finalizar el contrato.
- Cómo se detecta una brecha de datos personales y cómo se notifica al cliente.
Respuesta con un certificado
Adjunte el certificado y cite su alcance y su edición. Los revisores que conocen la norma pedirán los controles de encargado que ha elegido y cómo se han implementado, igual que un revisor de ISO 27001 pide la declaración de aplicabilidad.
Responder sin uno
Responda a cada fila como en una evaluación según el RGPD: el hecho, el responsable, la evidencia. Su acuerdo de tratamiento de datos, su lista de subencargados y su procedimiento ante brechas responden a la mayoría de las filas. Si tiene ISO 27001 y piensa añadir la 27701, dígalo con una fecha.
En Responsemate
El DPA, la lista de subencargados y cualquier certificado están en la base de conocimiento como evidencia con fechas de revisión, y las filas de privacidad de cada cuestionario se redactan a partir de las mismas respuestas aprobadas, de modo que no varían de un cliente a otro. Cuestionarios de evaluación de proveedores según el RGPD.
Preguntas que hacen las personas
¿Necesitamos ISO 27001 antes de ISO 27701?
Ya no. Con la edición de 2019, ISO 27701 era una extensión de ISO 27001 y solo podía certificarse sobre ella. La edición de 2025 es una norma de sistema de gestión independiente, aunque la mayoría de las organizaciones siguen aplicando las dos juntas.
¿La certificación ISO 27701 demuestra el cumplimiento del RGPD?
No, y un revisor no lo interpretará así. Demuestra que la privacidad se gestiona de forma estructurada, con controles que se mapean con el RGPD, lo que hace que la sección de privacidad de un cuestionario sea más fácil de responder y más fiable.