Matricúlate
ISO/IEC 29151:2026 vs. ISO/IEC 29151:2017: principales cambios y relación con ISO/IEC 27701
Nueva arquitectura, formulación de los controles y posición dentro del ecosistema ISO de privacidad
Artículo actualizado el 27 de julio de 2026 para precisar el significado de shall, *la función normativa del Anexo A, el proceso de selección de controles y la relación de ISO/IEC 29151 con ISO/IEC 27701:2025 y otras normas del ecosistema de privacidad.*¹
La publicación de ISO/IEC 29151:2026 representa una revisión técnica relevante de la edición de 2017. No se limita a actualizar referencias o renumerar controles: adopta la arquitectura de ISO/IEC 27002:2022, reorganiza su contenido, actualiza determinadas orientaciones y modifica la formulación de la mayoría de las declaraciones de control del Anexo A. La propia norma identifica como cambio principal la alineación de las orientaciones de seguridad y de los controles de privacidad con ISO/IEC 27002:2022.
El cambio que más atención suscita es el uso de shall en 26 de las 27 declaraciones de control del Anexo A, frente al uso generalizado de should en la edición de 2017. Esta modificación no es puramente estilística, pero tampoco convierte el anexo en una lista universalmente obligatoria ni transforma ISO/IEC 29151 en una norma de sistema de gestión.
La lectura más equilibrada es la siguiente:
ISO/IEC 29151:2026 mantiene un modelo de selección de controles basado en los requisitos de protección, los riesgos, los impactos y las circunstancias del tratamiento. La organización debe revisar el conjunto ampliado del Anexo A durante esa selección. En los controles seleccionados, la declaración formulada mediante shall define normativamente el resultado esperado, mientras que la orientación formulada mediante should orienta su implementación sin imponer necesariamente un único método.
ISO/IEC 29151 ofrece, por tanto, un catálogo especializado para traducir necesidades de protección, obligaciones y riesgos de privacidad en medidas organizativas, relativas a las personas, físicas y tecnológicas. No establece por sí sola un sistema de gestión, una declaración de aplicabilidad equivalente a la de una MSS ni un esquema autónomo de certificación.
En este artículo se utiliza el término PII —personally identifiable information— para respetar la terminología de la norma. Su correspondencia concreta con conceptos jurídicos como «datos personales» deberá determinarse conforme al ordenamiento aplicable.
1. Un cambio que comienza en el título
La edición de 2017 se publicó como:
Code of practice for personally identifiable information protection.
Su propósito era establecer objetivos de control, controles y orientaciones para responder a los requisitos identificados mediante evaluaciones de riesgos e impactos relacionados con la protección de PII. Su estructura reproducía los catorce dominios de ISO/IEC 27002:2013.
La edición de 2026 adopta el título:
Controls, requirements, and guidance for personally identifiable information protection.
La nueva denominación diferencia con mayor claridad tres componentes:
- los controles;
- las declaraciones normativas;
- la orientación para la implementación.
El alcance señala que el documento especifica controles, propósitos y orientación para responder a los requisitos identificados mediante una evaluación de riesgos e impactos. También indica que sus disposiciones se basan en ISO/IEC 27002 y deben interpretarse atendiendo al entorno de riesgos de seguridad de la organización. (ISO)
La modificación del título no convierte a ISO/IEC 29151 en una norma de requisitos de sistema. Refleja, más bien, una distinción más precisa entre el resultado definido por el control y las recomendaciones para alcanzarlo.
2. Una norma de controles, no una norma de sistema de gestión
ISO/IEC 29151:2026 contiene declaraciones de control formuladas como requisitos y orientación para su implementación, pero no establece los requisitos de un sistema de gestión.
No desarrolla de manera completa y articulada:
- el contexto y el alcance de un sistema;
- el liderazgo y la política del sistema;
- los objetivos;
- la planificación organizacional;
- la evaluación del desempeño;
- la auditoría interna del sistema;
- la revisión por la dirección;
- las no conformidades y acciones correctivas;
- la mejora continua.
Su objeto es más específico: proporcionar controles que puedan utilizarse para proteger PII dentro de un programa de privacidad o protección de datos.
La propia norma contempla su utilización para demostrar cumplimiento de leyes y regulaciones, gestionar riesgos y responder a las expectativas de titulares, reguladores o clientes. También destaca su especial utilidad para organizaciones que no han establecido o no operan un PIMS.
La caracterización más precisa es:
ISO/IEC 29151:2026 es una norma de controles especializados para la protección de PII. Contiene declaraciones normativas y orientación, pero no establece un sistema de gestión de privacidad.
Puede emplearse como:
- catálogo para el tratamiento de riesgos;
- referencia técnica;
- criterio de evaluación de controles;
- apoyo para evaluaciones de impacto;
- referencia contractual;
- base para evaluar proveedores;
- instrumento de programas legales o regulatorios;
- fuente complementaria dentro de un PIMS.
3. Del should al shall: mayor precisión en las declaraciones de control
La diferencia más visible entre ambas ediciones se encuentra en el Anexo A.
La edición de 2017 ya calificaba el anexo como normativo y declaraba que formaba parte integrante del documento. Sin embargo, las declaraciones de sus controles estaban formuladas, con carácter general, mediante should.
En la edición de 2026:
- 26 declaraciones de control utilizan shall;
- A.7.5, relativo a la información sobre el uso de subcontratistas, mantiene should.
Conforme a las reglas de redacción ISO:
- shall expresa un requisito;
- should expresa una recomendación;
- may expresa permiso;
- can expresa posibilidad o capacidad. (ISO)
Por tanto, no resulta correcto afirmar que el uso de shall sea únicamente una cuestión cosmética. Las reglas editoriales explican precisamente la función normativa de cada forma verbal.
Ahora bien, el efecto del cambio debe interpretarse dentro del proceso de selección establecido por la propia norma.
ISO/IEC 29151 vincula la selección con los requisitos de protección de PII y con la evaluación de riesgos e impactos. La organización puede utilizar controles de la propia norma, controles de otros catálogos o medidas diseñadas específicamente para su contexto. Durante ese proceso debe considerar el conjunto ampliado del Anexo A.
El paso de should a shall no convierte el Anexo A en una lista universalmente obligatoria. Permite definir con mayor precisión el resultado esperado del control seleccionado.
Figura: El cambio de formulación mejora la precisión del resultado esperado del control seleccionado, pero no convierte el Anexo A en una lista universalmente obligatoria.
La orientación asociada continúa formulándose principalmente mediante should. Esto permite adaptar los medios de implementación, siempre que la solución adoptada responda a los requisitos y riesgos identificados y permita alcanzar el resultado definido.
4. El carácter normativo del Anexo A
La ubicación de un control en un anexo normativo no reduce su fuerza normativa.
Tanto la edición de 2017 como la de 2026 declaran que el Anexo A forma parte integrante del documento. Un anexo normativo puede contener requisitos, criterios, métodos o condiciones que deban considerarse al evaluar la conformidad con la norma.
En ISO/IEC 29151, el cuerpo y el Anexo A cumplen funciones diferentes:
- el cuerpo establece el marco de identificación de requisitos, evaluación de riesgos y selección de medidas;
- el Anexo A proporciona controles específicos vinculados con la protección de PII y los principios de privacidad;
- las cláusulas 5 a 8 incorporan los controles de ISO/IEC 27002 y añaden orientación específica cuando procede.
La obligación expresa del cuerpo consiste en considerar el conjunto ampliado del Anexo A durante la selección de controles. Esto no equivale a implantar automáticamente la totalidad del catálogo ni a aplicar una declaración de aplicabilidad propia de una norma de sistema de gestión.
La formulación más prudente es:
La organización debe revisar el conjunto del Anexo A y seleccionar las medidas adecuadas conforme a los requisitos, riesgos, impactos y circunstancias del tratamiento.
5. Control, propósito y orientación
La nueva edición utiliza la estructura de ISO/IEC 27002 para presentar cada control:
- título;
- atributos;
- declaración del control;
- propósito;
- orientación;
- otra información.
Cada elemento cumple una función diferente:
La distinción resulta esencial para la implementación y la evaluación.
Cuando un control es seleccionado, su declaración no debe tratarse como una simple sugerencia. Sin embargo, la orientación asociada no obliga necesariamente a adoptar una única solución técnica u organizativa.
La organización puede utilizar métodos distintos de los descritos en la orientación cuando pueda demostrar que:
- responden a los requisitos identificados;
- son adecuados para el riesgo;
- alcanzan el resultado esperado;
- respetan las obligaciones jurídicas aplicables;
- generan evidencia suficiente.
6. Selección y trazabilidad de los controles
Las cláusulas 4.2 a 4.4 pueden resumirse en una secuencia operativa sencilla:
- identificar los requisitos de protección de PII;
- evaluar los riesgos e impactos del tratamiento;
- revisar el conjunto ampliado del Anexo A;
- seleccionar y adaptar los controles adecuados;
- implementar las medidas;
- comprobar su funcionamiento.
Figura: Secuencia operativa recomendada para pasar de los requisitos y riesgos a la selección, implementación y comprobación de los controles.
La selección puede partir de ISO/IEC 29151, de ISO/IEC 27002, de otros catálogos o de controles diseñados específicamente para la organización. La norma reconoce que el papel desempeñado, el contexto, las relaciones contractuales y las decisiones de tratamiento del riesgo condicionan la selección y la implementación.
ISO/IEC 29151 no prescribe expresamente:
- una declaración de aplicabilidad;
- un procedimiento formal de inclusión y exclusión;
- una clasificación cerrada entre control aplicable y no aplicable;
- un modelo de aprobación de exclusiones;
- un proceso propio de aceptación del riesgo residual.
Por ello, no conviene trasladar automáticamente la lógica de una SoA.
Sí resulta recomendable documentar:
- los requisitos y riesgos que originan la selección;
- el control considerado;
- la decisión adoptada;
- su fundamento;
- el resultado esperado;
- el responsable de implementación;
- las evidencias;
- la evaluación de su funcionamiento.
Esta documentación no debe presentarse como una exigencia literal de ISO/IEC 29151, sino como una práctica de trazabilidad, responsabilidad proactiva y consistencia evaluadora.
7. De catorce dominios a cuatro categorías
ISO/IEC 29151:2017 reproducía la estructura de ISO/IEC 27002:2013 y organizaba su contenido entre catorce dominios tradicionales.
La edición de 2026 adopta la arquitectura de ISO/IEC 27002:2022:
Figura: ISO/IEC 29151:2026 adopta la arquitectura de cuatro categorías de ISO/IEC 27002:2022, facilitando la integración, la correspondencia y la trazabilidad de los controles.
Esta reorganización facilita:
- integrar privacidad y seguridad;
- establecer correspondencias entre controles;
- reutilizar evidencias;
- asignar propietarios;
- configurar herramientas GRC;
- planificar evaluaciones coordinadas.
No obstante, ISO/IEC 29151 no incorpora un catálogo autónomo de 93 controles de privacidad. Su técnica consiste en utilizar los controles de ISO/IEC 27002 como base y añadir orientación específica de PII cuando considera necesario especializarlos.
8. La doble capa ISO/IEC 27002–ISO/IEC 29151
La aplicación de ISO/IEC 29151 requiere distinguir dos niveles:
- ISO/IEC 27002: proporciona el control base;
- ISO/IEC 29151: incorpora la especialización vinculada con la protección de PII.
Las referencias normativas de ISO/IEC 29151:2026 son ISO/IEC 27002:2022 e ISO/IEC 29100:2024. La norma depende estructural y técnicamente de la primera y conceptualmente de la segunda. (ISO)
Esta construcción puede producir dos errores.
Falsa cobertura
Consiste en asumir que implantar ISO/IEC 27002 demuestra automáticamente el cumplimiento de ISO/IEC 29151.
No es correcto porque ISO/IEC 29151 incorpora:
- declaraciones de control propias;
- orientación específica sobre PII;
- el Anexo A;
- controles relacionados con los principios de privacidad.
Sobreextensión
Consiste en atribuir a ISO/IEC 29151 contenido que se encuentra únicamente en ISO/IEC 27002.
La nueva edición incorpora por referencia controles sobre servicios en la nube, gestión de configuraciones, eliminación, enmascaramiento, prevención de fugas, filtrado web o codificación segura. Sin embargo, no todos reciben orientación adicional específica de privacidad.
La regla profesional debe ser:
ISO/IEC 29151 no sustituye ISO/IEC 27002. La utiliza como base y añade especialización de privacidad cuando resulta necesaria.
9. ISO/IEC 29151 dentro del ecosistema ISO de privacidad
ISO/IEC 29151 se comprende mejor cuando se sitúa junto a otras normas que cumplen funciones complementarias. Esta representación no establece una jerarquía ni convierte unas normas en dependencias obligatorias de las demás.
Figura: Funciones complementarias dentro del ecosistema ISO de privacidad: principios, evaluación de impactos, gestión organizacional del riesgo, controles base, controles especializados y gobierno del PIMS.
ISO/IEC 29100: principios y marco conceptual
ISO/IEC 29100 proporciona el lenguaje conceptual de la privacidad:
- actores y roles;
- principios;
- terminología;
- consideraciones para proteger PII.
El Anexo A de ISO/IEC 29151 se organiza conforme a los principios del marco de privacidad de ISO/IEC 29100. Esta norma ayuda a comprender qué debe protegerse y bajo qué criterios; ISO/IEC 29151 ayuda a trasladar esas necesidades a controles.
ISO/IEC 29134: evaluación de impactos
ISO/IEC 29134 proporciona orientación para realizar evaluaciones de impacto sobre la privacidad. Permite describir la iniciativa, analizar los flujos de PII, identificar requisitos de salvaguarda, evaluar impactos y riesgos y definir planes de tratamiento.
La propia ISO/IEC 29151 señala que una PIA conforme a ISO/IEC 29134 puede ayudar a determinar, priorizar e implementar los controles apropiados. ISO/IEC 29134, a su vez, menciona ISO/IEC 29151 como uno de los conjuntos de controles de los que pueden derivarse las medidas necesarias para tratar los riesgos identificados.
ISO/IEC 27557: gestión organizacional del riesgo de privacidad
ISO/IEC 27557:2022 aplica las directrices de ISO 31000:2018 a la gestión organizacional del riesgo de privacidad. Su finalidad es ayudar a integrar los riesgos derivados del tratamiento de PII en el sistema general de gestión de riesgos de la organización. (ISO)
Su aportación principal consiste en distinguir:
- el impacto que el tratamiento puede causar a una persona;
- las consecuencias que ese impacto puede producir para la organización;
- los eventos de privacidad que pueden perjudicar a la organización sin causar necesariamente un impacto adverso directo sobre las personas.
Esta diferenciación evita que el riesgo de privacidad se mida únicamente mediante sanciones, pérdidas económicas o daño reputacional. El análisis debe comenzar por lo que puede ocurrirle a la persona y, a partir de ahí, examinar las consecuencias organizacionales.
ISO/IEC 27557 actúa así como puente entre la evaluación de impactos y la gestión organizacional del riesgo.
ISO/IEC 27002: controles base
ISO/IEC 27002 proporciona la arquitectura y el catálogo base de controles organizativos, relativos a las personas, físicos y tecnológicos.
ISO/IEC 29151: controles especializados
ISO/IEC 29151 ofrece controles y orientación específicamente orientados a la protección de PII. Su función principal consiste en apoyar la selección e implementación de medidas derivadas de requisitos, riesgos e impactos.
ISO/IEC 27701: gobierno del sistema
ISO/IEC 27701 establece los requisitos para establecer, implementar, mantener y mejorar continuamente un PIMS. Incorpora contexto, liderazgo, planificación, soporte, operación, evaluación del desempeño y mejora. (ISO)
La secuencia funcional puede resumirse así:
ISO/IEC 29100 proporciona los principios; ISO/IEC 29134 ayuda a evaluar los impactos; ISO/IEC 27557 integra el riesgo de privacidad en la gestión organizacional; ISO/IEC 27002 proporciona los controles base; e ISO/IEC 29151 aporta controles especializados para proteger PII. ISO/IEC 27701 gobierna estas decisiones cuando se incorporan a un PIMS.
Esta secuencia describe funciones complementarias, no una cadena normativa cerrada.
10. Riesgo para los datos, riesgo para las personas y consecuencias organizacionales
ISO/IEC 29151 relaciona la evaluación de riesgos con la protección de la confidencialidad, integridad y disponibilidad de la PII. También reconoce que una brecha puede causar daños tanto a las personas como a las organizaciones.
Sin embargo, la privacidad no puede reducirse a la seguridad de los datos.
Deben diferenciarse al menos tres planos:
- Riesgo para los datos: pérdida de confidencialidad, integridad, disponibilidad o trazabilidad.
- Impacto sobre las personas: pérdida de autonomía, discriminación, exclusión, vigilancia, exposición, manipulación o perjuicio económico, social o reputacional.
- Consecuencias para la organización: sanciones, litigios, interrupciones, pérdidas financieras, deterioro reputacional o pérdida de confianza.
Figura: seguridad de los datos, impactos del tratamiento sobre las personas y consecuencias para la organización. ISO/IEC 27557 ayuda a integrar estas dimensiones en la gestión organizacional del riesgo..
Un tratamiento puede operar sin brechas de seguridad y, aun así, producir impactos negativos por:
- falta de legitimidad;
- finalidad inadecuada;
- recogida excesiva;
- perfilado opaco;
- inferencias indebidas;
- decisiones discriminatorias;
- falta de transparencia;
- dificultad para ejercer derechos.
La seguridad es necesaria, pero no suficiente.
11. Evaluación de riesgos y evaluación de impacto
ISO/IEC 29134 define la PIA como un proceso de identificación, análisis, evaluación, consulta, comunicación y planificación del tratamiento de los posibles impactos de privacidad, integrado en el marco general de gestión de riesgos de la organización.
Esta proximidad entre riesgo e impacto no debe trasladarse automáticamente al plano jurídico.
Una evaluación ordinaria de riesgos:
- forma parte de la gestión habitual;
- puede aplicarse a todos los tratamientos;
- identifica amenazas, impactos y medidas;
- no necesariamente responde a una obligación procedimental específica.
Una EIPD o DPIA:
- se activa cuando concurren los presupuestos establecidos por la legislación;
- puede requerir un contenido mínimo;
- exige analizar necesidad y proporcionalidad;
- puede requerir participación del DPO/DPD;
- puede conducir a una consulta previa.
Una evaluación interna de riesgos puede alimentar una EIPD, pero no sustituye el procedimiento jurídico cuando este resulte obligatorio.
12. El Anexo A como núcleo específico de privacidad
Las cláusulas 5 a 8 proporcionan controles de seguridad aplicables a la protección de PII. El Anexo A incorpora el conjunto específico vinculado con los principios de privacidad.
Sus bloques comprenden:
- política general;
- consentimiento y elección;
- legitimidad y especificación de la finalidad;
- limitación de la recogida;
- minimización;
- limitación del uso, conservación y comunicación;
- exactitud y calidad;
- apertura, transparencia e información;
- participación y acceso;
- responsabilidad;
- seguridad de la información;
- cumplimiento de privacidad.
Esta estructura confirma que una organización puede proteger técnicamente los datos y, sin embargo, tratar PII de forma inadecuada.
Puede existir cifrado, autenticación, monitorización y respaldo y, al mismo tiempo:
- ausencia de base jurídica;
- reutilización incompatible;
- recogida excesiva;
- conservación desproporcionada;
- información insuficiente;
- obstáculos al ejercicio de derechos.
13. Consentimiento, finalidad y legitimidad
La edición de 2026 se refiere al consentimiento «cuando resulte necesario». Esta precisión evita presentarlo como fundamento universal del tratamiento.
No obstante, la orientación continúa contemplando figuras como:
- consentimiento implícito;
- mecanismos de opt-out;
- inferencias derivadas de conductas;
- situaciones en las que la inacción puede adquirir relevancia.
Estas formulaciones no pueden trasladarse automáticamente a cualquier jurisdicción.
ISO/IEC 29151:
- no crea bases jurídicas;
- no determina por sí sola cuándo el consentimiento es válido;
- no sustituye el análisis de necesidad, idoneidad y proporcionalidad;
- no desplaza la legislación aplicable.
Su función es operativa. Una vez identificada correctamente la base jurídica, puede ayudar a convertirla en:
- procedimientos;
- registros;
- mecanismos de elección;
- controles;
- evidencias.
La misma cautela se aplica a la legitimidad y a la finalidad. Documentar que una actividad cumple la legislación no sustituye la identificación concreta de la finalidad, la base jurídica, las restricciones y las obligaciones asociadas.
14. Minimización, desidentificación e inteligencia artificial
La nueva edición amplía la atención sobre:
- minimización;
- anonimización y desidentificación;
- datos sintéticos;
- protección de datos de prueba;
- limitación de la información recogida;
- utilización de PII en desarrollo y análisis.
Estas materias resultan particularmente relevantes para:
- analítica avanzada;
- pruebas de software;
- entornos de desarrollo;
- entrenamiento y validación de modelos;
- servicios externalizados;
- investigación.
ISO/IEC 29151 aporta controles útiles para proteger PII en estas actividades, pero no constituye un marco completo de privacidad para inteligencia artificial.
No aborda de forma sistemática:
- memorización de PII por los modelos;
- extracción o inversión de modelos;
- inferencias;
- reidentificación;
- sesgos;
- decisiones automatizadas;
- explicabilidad;
- supervisión integral del ciclo de vida.
Figura: En los sistemas de IA, la protección de PII, el gobierno del sistema y el cumplimiento jurídico son dimensiones diferentes que deben coordinarse. ISO/IEC 29151 aporta controles especializados para la primera capa, pero no sustituye el sistema de gestión de IA ni las obligaciones legales aplicables.
En sistemas de IA deben diferenciarse tres capas:
- protección de PII;
- gobierno y gestión del sistema de IA;
- cumplimiento jurídico.
ISO/IEC 29151 contribuye principalmente a la primera.
15. Conservación, eliminación y ciclo de vida
La protección de PII debe cubrir todo su ciclo de vida.
Una política de conservación madura no puede limitarse a la aplicación principal. Debe alcanzar:
- sistemas operacionales;
- réplicas;
- registros;
- copias de seguridad;
- espacios colaborativos;
- entornos analíticos;
- datos de prueba;
- servicios en la nube;
- encargados y subencargados;
- soportes retirados.
Eliminar la información del sistema principal no demuestra que haya desaparecido de todos los lugares en los que fue almacenada, copiada o transformada.
La organización debe poder relacionar:
- finalidad;
- plazo de conservación;
- desencadenante de la eliminación;
- método de eliminación;
- excepciones;
- sistemas afectados;
- evidencia de ejecución.
16. Transparencia, derechos y evidencia operativa
Los controles relativos a apertura, transparencia, participación y acceso deben traducirse en procesos operativos verificables.
La evidencia no puede limitarse a disponer de un aviso de privacidad, un formulario o una dirección de correo.
La organización debería poder demostrar:
- recepción de la solicitud;
- registro;
- verificación proporcionada de identidad;
- asignación;
- búsqueda;
- decisión;
- respuesta;
- ejecución;
- comunicación a terceros cuando proceda;
- cierre;
- conservación de evidencia.
La mera existencia documental de un procedimiento no demuestra que el control funcione. La evaluación debe comprobar su aplicación real, los plazos, las excepciones y los resultados.
17. Gobierno de privacidad: CPO y DPO/DPD
ISO/IEC 29151 contempla la atribución de responsabilidades de coordinación de las actividades y procesos de protección de PII a una persona sénior, denominada en ocasiones CPO.
Figura: El CPO dirige o coordina el programa de privacidad y la gestión de sus riesgos. El DPO/DPD informa, asesora y supervisa con independencia, sin asumir las decisiones ni las responsabilidades que corresponden a la organización.
La posición descrita es principalmente ejecutiva y organizativa. El CPO puede participar en:
- dirección del programa;
- definición de prioridades;
- coordinación entre áreas;
- impulso de políticas y controles;
- gestión de riesgos;
- escalado de incidentes;
- información a la dirección.
Esta función no debe confundirse con el DPO/DPD previsto por la legislación.
La diferencia es funcional:
- el CPO dirige o coordina el programa;
- el DPO/DPD informa, asesora y supervisa desde la posición de independencia que establezca la legislación.
El DPO/DPD no aprueba ni reprueba los tratamientos. Asesora y supervisa, mientras que las decisiones corresponden a la organización y a los responsables competentes.
18. Proveedores, transferencias e incidentes
ISO/IEC 29151 reorganiza controles relacionados con:
- proveedores;
- acuerdos;
- cadena de suministro;
- servicios en la nube;
- subcontratación;
- incidentes;
- recopilación de evidencias;
- continuidad;
- transferencias internacionales.
La gestión de terceros no debe reducirse a la firma de un contrato.
Debe abarcar:
- selección;
- diligencia debida;
- instrucciones;
- subencargados;
- localización;
- accesos;
- cambios;
- incidentes;
- devolución;
- eliminación;
- supervisión;
- salida del servicio.
En transferencias internacionales, los controles pueden apoyar la aplicación operativa de restricciones, autorizaciones, cláusulas contractuales, reglas corporativas y medidas adicionales.
No obstante, ISO/IEC 29151 no determina por sí sola:
- qué mecanismo jurídico resulta válido;
- si el país de destino ofrece garantías adecuadas;
- cómo valorar el acceso de autoridades públicas;
- qué medidas complementarias resultan necesarias.
La norma aporta controles; el análisis jurídico continúa siendo imprescindible.
19. Relación con ISO/IEC 27701:2025
ISO/IEC 27701 e ISO/IEC 29151 cumplen funciones distintas y pueden utilizarse de manera independiente.
ISO/IEC 27701 gobierna un sistema de gestión de privacidad. ISO/IEC 29151 ofrece un catálogo especializado de controles de PII que puede utilizarse de forma autónoma o complementaria.
Figura: ISO/IEC 29151 no es la «parte de controles» de ISO/IEC 27701: ambas normas tienen funciones distintas y pueden utilizarse de manera independiente.
ISO/IEC 27701:2025 establece una arquitectura completa de PIMS basada en:
- contexto;
- liderazgo;
- planificación;
- soporte;
- operación;
- evaluación del desempeño;
- mejora.
También incorpora evaluación y tratamiento del riesgo, declaración de aplicabilidad, auditoría interna, revisión por la dirección y acciones correctivas.
ISO/IEC 29151 se concentra en controles para responder a requisitos, riesgos e impactos relacionados con la protección de PII.
No debe presentarse como:
- la «parte de controles» de ISO/IEC 27701;
- una extensión obligatoria del PIMS;
- un anexo funcional de ISO/IEC 27701;
- una norma subordinada a esta.
Dentro de un PIMS, ISO/IEC 29151 puede:
- aportar controles adicionales;
- ampliar el detalle técnico de determinadas medidas;
- orientar pruebas específicas;
- mejorar la trazabilidad del tratamiento del riesgo;
- reforzar la evidencia.
Pero no sustituye la lógica de gobierno de ISO/IEC 27701 ni constituye una condición necesaria para establecer el sistema.
La relación es complementaria, no jerárquica ni estructuralmente simétrica.
20. Evaluación de controles y límites de la certificación
Las declaraciones formuladas mediante shall proporcionan criterios para evaluar el resultado alcanzado por los controles seleccionados.
La organización puede comprobar:
- su diseño;
- su implementación;
- su funcionamiento;
- la evidencia generada;
- su adecuación al riesgo;
- su eficacia.
Estas comprobaciones pueden formar parte de:
- evaluaciones internas;
- auditorías de clientes;
- revisiones contractuales;
- evaluaciones independientes;
- programas de aseguramiento.
Sin embargo:
La posibilidad de evaluar controles no convierte ISO/IEC 29151 en una norma autónoma de certificación de sistema.
ISO/IEC 29151 no establece:
- un sistema de gestión;
- una SoA propia;
- un ciclo completo de auditoría, revisión y mejora;
- un esquema autónomo de certificación.
La frontera debe quedar nítida:
Evaluación de controles, sí; certificación autónoma de un sistema conforme a ISO/IEC 29151, no.
ISO desarrolla normas, pero no certifica por sí misma a las organizaciones; la certificación requiere esquemas y organismos de evaluación de la conformidad competentes. (ISO)
21. Errores editoriales y criterios interpretativos
La edición publicada presenta algunas inconsistencias editoriales, entre ellas:
- diferencias entre el índice y determinadas correspondencias;
- numeraciones o encabezados incompletos;
- remisiones internas discutibles;
- discordancias entre tablas y cuerpo;
- errores tipográficos;
- una referencia incorrecta a la edición de 2017 como segunda edición.
Estos defectos no invalidan la norma, pero pueden provocar:
- correspondencias incorrectas;
- pruebas asociadas al control equivocado;
- divergencias entre evaluadores;
- errores en herramientas GRC;
- hallazgos discutibles.
Resulta recomendable mantener un registro interno de erratas y criterios interpretativos que incluya:
- referencia afectada;
- inconsistencia detectada;
- interpretación adoptada;
- fundamento;
- impacto;
- aprobación;
- control de cambios.
Este registro no debe utilizarse para reescribir unilateralmente la norma, sino para mantener consistencia y trazabilidad hasta que existan correcciones oficiales.
22. Migración desde ISO/IEC 29151:2017
La transición a la edición de 2026 no debe limitarse a cambiar numeraciones mediante una tabla de correspondencias.
Debe incluir:
- revisión de los requisitos de protección;
- reevaluación de riesgos e impactos;
- análisis de las nuevas formulaciones;
- revisión del conjunto ampliado del Anexo A;
- actualización de la selección de controles;
- revisión de responsables;
- comprobación de evidencias;
- evaluación del funcionamiento.
Remapear controles no equivale a migrar la norma.
Una migración puramente documental puede producir una falsa continuidad:
- controles aparentemente equivalentes;
- riesgos no reevaluados;
- nuevas declaraciones no analizadas;
- responsabilidades obsoletas;
- evidencias insuficientes.
La transición debe confirmar que las medidas continúan siendo adecuadas para los tratamientos, tecnologías, actores y riesgos actuales.
Figura: La edición de 2026 refuerza la precisión de los resultados esperados, la trazabilidad de las decisiones y la evidencia sobre cómo se protege la PII.
Conclusión
ISO/IEC 29151:2026 representa una evolución estructural y técnica relevante respecto de la edición de 2017.
La nueva edición:
- adopta la arquitectura de ISO/IEC 27002:2022;
- reorganiza su contenido;
- actualiza determinadas orientaciones;
- mantiene un catálogo específico de controles de privacidad;
- formula mediante shall la mayoría de las declaraciones del Anexo A;
- conserva orientación para la implementación mediante should.
El paso de should a shall no es una modificación cosmética, pero tampoco convierte el Anexo A en una lista de implantación universal.
La organización debe identificar sus requisitos de protección, evaluar los riesgos e impactos, revisar el conjunto ampliado del Anexo A y seleccionar las medidas adecuadas. En los controles seleccionados, la declaración formulada mediante shall define normativamente el resultado esperado; la orientación asociada facilita su implementación sin imponer necesariamente una única solución.
ISO/IEC 29151 no establece un sistema de gestión, no prescribe una declaración de aplicabilidad equivalente a la de una MSS y no crea un mecanismo autónomo de certificación.
Evaluación de controles, sí; certificación autónoma de sistema, no.
Su valor reside en ofrecer un catálogo especializado para convertir principios, obligaciones, riesgos e impactos en medidas concretas y evaluables de protección de PII.
Puede utilizarse:
- dentro de programas legales y regulatorios;
- en evaluaciones de impacto;
- en la gestión organizacional del riesgo;
- para evaluar proveedores;
- en revisiones y auditorías de controles;
- por organizaciones que no disponen de un PIMS;
- como referencia complementaria dentro de ISO/IEC 27701.
Su relación con ISO/IEC 27701 debe expresarse sin dependencias ni simetrías artificiales:
ISO/IEC 27701 gobierna un sistema de gestión de privacidad. ISO/IEC 29151 ofrece un catálogo especializado de controles de PII que puede utilizarse de forma autónoma o complementaria.
La principal aportación de la edición de 2026 consiste en mejorar la precisión y la evaluabilidad de las declaraciones de control, manteniendo una selección basada en los requisitos, los riesgos, los impactos y las circunstancias del tratamiento.
¹ Nota de actualización editorial — 27 de julio de 2026
Tras la publicación inicial, este artículo ha sido revisado para precisar la interpretación del uso de shall en el Anexo A de ISO/IEC 29151:2026. La versión actual distingue entre la obligación de revisar el conjunto ampliado de controles durante el proceso de selección, la selección basada en requisitos, riesgos e impactos y la función normativa de las declaraciones de control.
El paso de should a shall se interpreta como una mejora de la precisión y evaluabilidad del resultado esperado del control seleccionado, no como la conversión del Anexo A en un catálogo universalmente obligatorio.
La actualización también aclara que ISO/IEC 29151:
- no establece una declaración de aplicabilidad equivalente a la de una norma de sistema de gestión;
- no crea un esquema autónomo de certificación;
- puede utilizarse dentro o fuera de un PIMS;
- mantiene con ISO/IEC 27701:2025 una relación funcional y complementaria, no jerárquica ni necesaria.
Asimismo, se incorpora ISO/IEC 27557:2022 al análisis del ecosistema ISO de privacidad para diferenciar el impacto sobre las personas, sus consecuencias para la organización y la integración del riesgo de privacidad en la gestión organizacional.