Privacy by Design Assurance: EN 17529 e ISO/IEC AWI 31700-3 ante el reto de la evidencia auditable

Requisitos, evaluación, autodeclaración y auditoría en la evolución de la privacidad desde el diseño

(Artículo dirigido, revisado y validado por Leocadio Marrero Trujillo, autor y responsable editorial. Se utilizaron herramientas de IA generativa como apoyo a la edición y al diseño gráfico).

Resumen ejecutivo

La aprobación de ISO/IEC AWI 31700-3, proyecto destinado a proporcionar orientación para auditar el cumplimiento de ISO 31700-1:2023, introduce una dimensión especialmente relevante en la evolución de Privacy by Design: la necesidad de pasar de la implementación de requisitos a la capacidad de demostrar, mediante evidencia, cómo fueron realmente incorporados durante el ciclo de vida de un producto o servicio.

Esta evolución no se produce en el vacío. Europa cuenta desde 2022 con EN 17529, que incorpora requisitos de Data Protection and Privacy by Design and by Default, mecanismos de evaluación, niveles de logro y autodeclaración, dentro de un marco estrechamente relacionado con el artículo 25 del RGPD.

Este artículo sostiene que ambos movimientos, aunque diferentes y sin que pueda afirmarse una convergencia formal entre ellos, reflejan una transformación más amplia: Privacy by Design comienza a ser también una cuestión de trazabilidad, demostrabilidad, evaluación y assurance.

1. Una nueva pregunta para Privacy by Design

La privacidad desde el diseño lleva años ocupando un lugar central en la protección de datos, la ingeniería de privacidad y, progresivamente, en el gobierno de productos y servicios digitales. Sin embargo, buena parte de la conversación se ha concentrado tradicionalmente en una primera pregunta: ¿cómo incorporamos la privacidad desde las fases iniciales del diseño?

La aparición de ISO/IEC AWI 31700-3, Consumer protection — Privacy by design for consumer goods and services — Part 3: Audits of privacy by design for consumer products and services, obliga a formular una segunda cuestión, posiblemente más exigente: ¿cómo demostramos posteriormente que esa privacidad fue realmente incorporada?

El proyecto fue aprobado el 25 de junio de 2026 y, a 1 de septiembre de 2026, continúa en la etapa 20.00 —Preparatory— del proceso ISO. Se trata, por tanto, de un Approved Work Item todavía en una fase temprana. La propia ISO señala que un grupo de trabajo ha preparado ya un borrador, pero su estructura, contenido y mecanismos concretos pueden sufrir modificaciones importantes durante las posteriores fases de desarrollo.

Esa cautela es fundamental. Todavía no existe una norma internacional denominada ISO/IEC 31700-3 y, por ello, conviene utilizar sistemáticamente su referencia actual: ISO/IEC AWI 31700-3.

No obstante, el alcance oficial permite identificar una orientación suficientemente significativa. El proyecto pretende proporcionar directrices para “audit compliance with ISO 31700-1:2023”, cubrir aspectos de proceso y gestión asociados al producto y a su ciclo de vida de datos, utilizar un “questionnaire profile approach” e incorporar orientación adicional a ISO 19011 sobre programas de auditoría, realización de auditorías y competencia de los auditores.

Este artículo sostiene que ISO/IEC AWI 31700-3 debe analizarse no solo como una nueva pieza de la familia 31700, sino dentro de una evolución más amplia de Privacy by Design: desde la formulación de requisitos y su implementación hacia la necesidad creciente de evaluación, evidencia estructurada y assurance.

La comparación con EN 17529:2022 resulta especialmente reveladora porque permite observar dos mecanismos diferentes de demostración: la evaluación y autodeclaración, por una parte, y la futura orientación hacia auditorías internas y externas, por otra.

2. De establecer requisitos a poder demostrar su aplicación

ISO 31700-1:2023 establece requisitos de alto nivel de privacidad desde el diseño para proteger la privacidad durante el ciclo de vida de productos de consumo. La propia norma aclara expresamente que no prescribe metodologías específicas para diseñar e implementar controles de privacidad ni determina qué tecnologías deben utilizarse para operarlos.

Esta flexibilidad resulta coherente con la diversidad de productos y servicios comprendidos en su ámbito. Un automóvil conectado, una aplicación financiera, una plataforma destinada a menores, un dispositivo IoT doméstico o un wearable pueden compartir principios de privacidad, pero difícilmente requerirán idénticos controles, arquitecturas o mecanismos de gestión del riesgo.

El verdadero problema aparece cuando pasamos de la implementación a la demostración.

Una organización puede declarar que aplicó Privacy by Design. Puede disponer de políticas, procedimientos, análisis de riesgos, evaluaciones de impacto o controles técnicos. Sin embargo, una auditoría formula preguntas diferentes: ¿qué requisitos fueron identificados?, ¿qué decisiones de diseño se adoptaron?, ¿cómo fueron implementadas?, ¿quién las aprobó?, ¿qué pruebas se realizaron?, ¿qué excepciones se aceptaron?, ¿cómo se gestionaron los cambios?, ¿qué dependencias externas participaron?, ¿qué ocurrió cuando el producto fue actualizado?

Y, sobre todo: ¿qué evidencia permite sostener las respuestas?

La evidencia relevante en una auditoría madura de Privacy by Design difícilmente podrá reducirse a comprobar la existencia de documentos. Debería poder reconstruirse a través de diferentes capas:

Esta distinción es relevante porque Privacy by Design no debería demostrarse mediante una única DPIA, una política corporativa o una aprobación formal. La evidencia se distribuye durante el ciclo de vida del producto y de sus datos.

ISO/IEC AWI 31700-3 parece apuntar precisamente a esa capa de verificabilidad.

Su resumen oficial anuncia un enfoque basado en perfiles de cuestionario y permite la incorporación de requisitos que complementen los requisitos de alto nivel establecidos en ISO 31700-1.

Todavía no conocemos cómo se definirán esos perfiles, cuáles serán sus reglas de aplicabilidad o qué evidencias serán consideradas suficientes. Pero su incorporación resulta conceptualmente significativa: diferentes productos, tecnologías, consumidores y niveles de riesgo pueden exigir diferentes profundidades de evaluación.

Desde una perspectiva analítica —no como arquitectura oficial de ISO— puede proponerse la siguiente secuencia: requisito → diseño → implementación → evidencia → evaluación → auditoría

Aquí utilizamos “cumplimiento” cuando reproducimos el alcance oficial del proyecto respecto de ISO 31700-1. Ese término no debe confundirse con una conclusión jurídica sobre el cumplimiento del RGPD ni con una certificación formal de conformidad.

3. La arquitectura progresiva de la familia 31700

La aparición de la futura Parte 3 adquiere mayor significado cuando se analiza conjuntamente con la evolución reciente de toda la familia.

ISO 31700-1:2023 proporciona los requisitos de alto nivel.

ISO/IEC TR 31700-2:2026, segunda edición publicada el 7 de julio de 2026, proporciona casos de uso ilustrativos y análisis asociados destinados a facilitar la comprensión de esos requisitos, especialmente por ingenieros y profesionales implicados en el desarrollo, implementación u operación de productos y servicios de consumo digitalmente habilitados. La edición de 2026 sustituyó a ISO/TR 31700-2:2023.

Ahora aparece una tercera dimensión:

ISO 31700-1:2023
Requisitos de Privacy by Design

↓

ISO/IEC TR 31700-2:2026
Interpretación mediante casos de uso

↓

ISO/IEC AWI 31700-3
Orientación para la auditoría de ISO 31700-1

Esta representación tampoco constituye una arquitectura formal declarada por ISO. Su utilidad es analítica: muestra cómo la familia comienza a cubrir necesidades diferentes pero conectadas —establecer requisitos, facilitar su interpretación y evaluar posteriormente su aplicación—.

Desde una perspectiva GRC, ese tercer movimiento resulta particularmente interesante porque introduce de manera mucho más explícita la dimensión de assurance.

4. ISO 19011:2026 como referencia, no como equivalencia

El alcance de ISO/IEC AWI 31700-3 menciona expresamente ISO 19011.

La futura Parte 3 pretende proporcionar, además de las orientaciones contenidas en ISO 19011, directrices sobre la gestión de programas de auditoría de Privacy by Design, la realización de auditorías y la competencia de los auditores. Su alcance contempla expresamente auditorías internas y externas.

La coincidencia temporal resulta notable. La cuarta edición de ISO 19011:2026, Guidelines for auditing management systems, fue publicada el 27 de mayo de 2026, apenas un mes antes de la aprobación del nuevo AWI. ISO 19011 mantiene el marco internacional para principios de auditoría, gestión de programas, ejecución de auditorías y competencia y evaluación de auditores.

No obstante, conviene evitar describir ISO/IEC AWI 31700-3 como una mera especialización mecánica de ISO 19011.

ISO 19011 está concebida para la auditoría de sistemas de gestión. El proyecto 31700-3 dirige su atención hacia un objeto diferente: la privacidad desde el diseño de productos y servicios de consumo.

La relación debe expresarse, por tanto, en términos de complementariedad: ISO 19011 proporciona una referencia metodológica general y el proyecto 31700-3 pretende añadir orientaciones específicas para este nuevo objeto de auditoría.

Eso tiene consecuencias para la competencia profesional. Una auditoría de Privacy by Design puede exigir comprender, además de técnicas de auditoría, el ciclo de vida del producto, arquitectura tecnológica, tratamientos de PII, riesgos de privacidad, decisiones de ingeniería, requisitos funcionales, interfaces con el usuario, controles técnicos, testing, dependencias de terceros y evidencias generadas durante el desarrollo y la operación.

5. Correlación con el ecosistema ISO de privacidad

ISO/IEC AWI 31700-3 tampoco debería estudiarse aisladamente. En su entorno existe un conjunto de normas que aborda diferentes dimensiones de la privacidad.

ISO/IEC 29100:2024 proporciona el marco conceptual: terminología común, actores y roles relacionados con el tratamiento de PII, consideraciones para salvaguardar la privacidad y referencias a principios de privacidad.

ISO/IEC 29134:2023 proporciona directrices sobre el proceso de evaluación de impacto en privacidad —PIA— y sobre la estructura y contenido de su informe.

ISO/IEC 27561:2024 — Privacy operationalisation model and method for engineering (POMME) da un paso particularmente relevante hacia la ingeniería: describe un modelo y un método para operacionalizar los principios de privacidad establecidos en ISO/IEC 29100 transformándolos en conjuntos de controles y capacidades funcionales.

Finalmente, ISO/IEC 27701:2025 establece los requisitos para crear, implementar, mantener y mejorar continuamente un Privacy Information Management System —PIMS—. Su segunda edición puede utilizarse además como una norma independiente de sistema de gestión.

No constituyen una cadena normativa oficial y ninguna organización está obligada, por la simple aplicación de una de ellas, a implementar secuencialmente las demás.

Pero desde una perspectiva de integración normativa puede proponerse una correlación útil: principios → evaluación de impacto → operacionalización → diseño del producto → gestión → evidencia → auditoría

ISO/IEC 29100 proporciona principios y lenguaje común; ISO/IEC 29134 apoya la evaluación del impacto; ISO/IEC 27561 aproxima los principios a la ingeniería; ISO 31700-1 introduce requisitos de Privacy by Design para productos de consumo; ISO/IEC 27701 aporta gobierno organizacional mediante un sistema de gestión; e ISO/IEC AWI 31700-3 apunta hacia una capa específica de auditoría.

El interés de esta correlación no consiste en construir artificialmente una “supernorma” de privacidad, sino en observar cómo la normalización internacional está cubriendo progresivamente principios, riesgo, ingeniería, gestión y assurance.

6. Europa: del artículo 25 RGPD a EN 17529

La comparación europea introduce una segunda dimensión de especial importancia.

El artículo 25.1 del RGPD establece que el responsable debe aplicar medidas técnicas y organizativas apropiadas tanto al determinar los medios del tratamiento como durante el propio tratamiento. Pero la norma no impone un catálogo uniforme de medidas: obliga a determinar su adecuación teniendo en cuenta el estado de la técnica, el coste de aplicación, la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas. Las medidas deben permitir aplicar efectivamente los principios de protección de datos e integrar las garantías necesarias para proteger a los interesados.

El artículo 25.2 añade la dimensión de protección de datos por defecto: únicamente deben tratarse los datos personales necesarios para cada finalidad específica. La obligación alcanza expresamente a la cantidad de datos recopilados, la extensión del tratamiento, el período de conservación y su accesibilidad.

Esta precisión es importante. Privacy by Design no constituye jurídicamente una obligación de aplicar idénticos controles en cualquier escenario. Exige decisiones contextualizadas y proporcionadas al riesgo.

El considerando 78 extiende además el debate hacia quienes desarrollan productos, servicios y aplicaciones. El RGPD anima a sus productores a considerar el derecho a la protección de datos durante el desarrollo y diseño para facilitar que responsables y encargados puedan cumplir sus obligaciones.

El Comité Europeo de Protección de Datos desarrolló posteriormente esta materia mediante sus Directrices 4/2019 sobre el artículo 25, Data Protection by Design and by Default, cuya versión definitiva fue adoptada el 20 de octubre de 2020.

Europa, sin embargo, no se limitó a la interpretación jurídica.

En 2022 se publicó EN 17529:2022, Data protection and privacy by design and by default, preparada por CEN-CLC/JTC 13. CEN-CENELEC explica expresamente que la norma fue desarrollada en respuesta a una solicitud de normalización de la Comisión Europea y que proporciona requisitos destinados a fabricantes y prestadores de servicios para incorporar estas consideraciones desde etapas tempranas del desarrollo.

La norma fue adoptada en España como UNE-EN 17529:2022, ratificada en julio de 2022.

Aquí aparece un elemento fundamental para nuestro análisis.

EN 17529 no contiene únicamente requisitos de diseño. Su estructura incorpora un mecanismo de self-declaration y Levels of Achievement —véanse especialmente las cláusulas 4.3, 7.1.3 y 7.2 de EN 17529:2022—. El modelo permite vincular la evaluación de los requisitos de diseño con un nivel de logro y con una declaración realizada por el propio proveedor.

Esto significa que Europa ya había comenzado a abordar no solamente la incorporación temprana de Privacy by Design, sino también su evaluación y demostración estructurada.

7. Autodeclaración y auditoría: dos caminos diferentes hacia la demostrabilidad

La comparación con ISO/IEC AWI 31700-3 resulta aquí especialmente productiva.

No porque ambos instrumentos sean equivalentes, ni porque exista información suficiente para afirmar que uno vaya a sustituir al otro, sino porque muestran dos formas diferentes de abordar la demostrabilidad.

Simplificándolo todavía más:

EN 17529:2022

requisitos
↓
evaluación
↓
nivel de logro
↓
autodeclaración

Mientras que el modelo que actualmente anuncia ISO puede representarse así:

ISO 31700-1 + ISO/IEC AWI 31700-3

requisitos
↓
perfil de cuestionario
↓
evidencia
↓
auditoría interna o externa

Estas construcciones son deliberadamente simplificadas y no deben confundirse con diagramas normativos oficiales.

Pero permiten plantear una cuestión que merece seguimiento:

¿estamos evolucionando desde modelos centrados en autoevaluar y declarar Privacy by Design hacia mecanismos cada vez más estructurados de evaluación independiente y assurance?

No disponemos todavía de evidencia para responder afirmativamente de forma general.

Sí existen, sin embargo, señales de que la cuestión de la demostrabilidad está ganando protagonismo.

8. Europa sigue moviéndose

El Rolling Plan for ICT Standardisation 2026 de la Comisión Europea continúa situando la protección de datos y privacidad dentro de la agenda de normalización europea y recuerda el papel de los trabajos relacionados con Privacy by Design. El Rolling Plan constituye un puente entre las políticas europeas y las actividades de normalización, aunque la propia Comisión advierte de que se trata de un documento de trabajo complementario al Annual Union Work Programme.

Existe además un movimiento reciente que debe observarse con especial prudencia.

AFNOR registra desde el 1 de mayo de 2026 el proyecto PR NF EN 17529 rev — Protection des données et de la vie privée dès la conception et par défaut. La misma base francesa muestra, además, ISO/IEC AWI 31700-3 como proyecto internacional registrado el 25 de junio de 2026.

El dato es relevante, pero no permite afirmar todavía que CEN-CENELEC e ISO estén desarrollando una estrategia coordinada ni que exista una futura convergencia entre EN 17529 e ISO/IEC AWI 31700-3.

La formulación científicamente adecuada es más prudente: en 2026 aparecen simultáneamente actividad de revisión alrededor de EN 17529 en organismos nacionales europeos y un nuevo proyecto internacional específicamente dedicado a la auditoría de Privacy by Design.

La coincidencia merece seguimiento, sin duda.

No justifica todavía atribuir causalidad o convergencia.

9. Correlación no significa equivalencia

Esta cautela resulta fundamental. El artículo 25 RGPD, EN 17529, ISO 31700-1 e ISO/IEC AWI 31700-3 operan en planos diferentes.

El artículo 25 RGPD impone una obligación jurídica, cuyo principal destinatario es el responsable del tratamiento.

EN 17529:2022 pertenece a la normalización técnica europea y proporciona requisitos para Data Protection and Privacy by Design and by Default, junto con un modelo de evaluación y autodeclaración.

ISO 31700-1:2023 establece requisitos internacionales de alto nivel de Privacy by Design orientados al ciclo de vida de productos de consumo.

ISO/IEC AWI 31700-3 pretende proporcionar orientación para auditar el cumplimiento de los requisitos de ISO 31700-1.

Por tanto, una futura auditoría realizada conforme a ISO/IEC 31700-3 no debería interpretarse automáticamente como prueba concluyente de cumplimiento del artículo 25 RGPD.

El criterio de auditoría ISO y el criterio jurídico no son idénticos. Pero tampoco debería minimizarse la utilidad potencial de esa auditoría.

Una metodología capaz de reconstruir decisiones de diseño, verificar controles, analizar configuraciones por defecto, revisar evaluaciones de riesgo, identificar excepciones, evaluar dependencias, analizar cambios y comprobar evidencias puede constituir una contribución muy importante a la accountability de una organización.

La norma no sustituye a la ley. Puede ayudar a responder una de las preguntas más importantes que plantea la responsabilidad proactiva: ¿cómo demostramos que aquello que afirmamos haber incorporado realmente se incorporó?

10. Hacia una capa de Privacy by Design Assurance

Esta evolución permite proponer, como construcción analítica y no como terminología oficial de ISO o CEN-CENELEC, el concepto de Privacy by Design Assurance.

Privacy by Design se ocupa de incorporar la privacidad a la concepción, diseño, desarrollo, despliegue, operación y evolución de un producto o servicio.

Privacy by Design Assurance introduce una capa adicional: obtener, preservar y evaluar evidencia suficiente para generar confianza sobre cómo esa privacidad fue realmente incorporada.

Figura 1 (IA): Privacy by Design Assurance: de diseñar privacidad a poder demostrarla.

Desde una perspectiva GRC, la distinción resulta especialmente útil.

La función que diseña y opera el producto debe incorporar requisitos, implementar controles y producir evidencia.

Las funciones de privacidad, riesgo y compliance pueden establecer marcos metodológicos, asesorar, supervisar, cuestionar y monitorizar.

Una función de assurance debe poder evaluar, con suficiente competencia e independencia, si aquello que la organización afirma haber diseñado e implementado puede sostenerse mediante evidencia objetiva.

Si la orientación actualmente publicada se mantiene durante el desarrollo del proyecto, ISO/IEC AWI 31700-3 podría reforzar precisamente esta tercera capa.

Y ahí aparece una consecuencia profesional importante.

La auditoría de Privacy by Design no debería interesar únicamente al DPO, al responsable de privacidad o al ingeniero de privacidad. Puede requerir la participación y coordinación de auditoría interna, seguridad, arquitectura, desarrollo, producto, riesgo, compliance, compras, gestión de terceros y gobierno corporativo.

11. Auditoría, assurance y certificación no son sinónimos

Existe finalmente un límite conceptual que conviene dejar establecido desde este momento.

ISO/IEC AWI 31700-3 no supone, con la información actualmente disponible, la creación de una certificación ISO 31700 para productos y servicios.

El alcance publicado habla de auditorías internas y externas y de gestión de programas de auditoría. Por su parte, ISO 19011 proporciona directrices para auditoría, pero no constituye por sí misma un esquema de certificación.

Por tanto, resulta necesario distinguir:

auditoría → obtención y evaluación sistemática de evidencia

assurance → nivel de confianza obtenido a partir de actividades de evaluación

certificación → declaración de conformidad dentro de un esquema formal de evaluación de la conformidad

En el estado actual del proyecto, no existe base suficiente para trasladar automáticamente la aparición de ISO/IEC AWI 31700-3 al terreno de la certificación acreditada.

12. Conclusión: aprender a demostrar los principios que ya tenemos

ISO/IEC AWI 31700-3 se encuentra todavía en una fase demasiado temprana para anticipar con seguridad el contenido de la futura norma.

Pero la dirección del proyecto merece atención.

La familia 31700 está evolucionando desde unos requisitos de alto nivel hacia casos de uso y, ahora, hacia un proyecto específicamente relacionado con auditoría.

Europa, por su parte, cuenta con un marco jurídico sólido alrededor del artículo 25 RGPD, las Directrices 4/2019 del CEPD y una norma, EN 17529:2022, que ya incorpora requisitos, evaluación, niveles de logro y autodeclaración. Además, durante 2026 aparecen señales de nueva actividad de normalización alrededor de esta última.

No podemos afirmar que ambos movimientos estén convergiendo.

Tampoco necesitamos hacerlo para identificar la tendencia que los hace interesantes.

La privacidad desde el diseño está dejando de ser exclusivamente una conversación sobre principios, requisitos y buenas intenciones. Cada vez adquieren mayor importancia la trazabilidad de las decisiones, la evidencia producida durante el ciclo de vida, la capacidad de evaluar los controles y la confianza que puede obtenerse mediante mecanismos estructurados de demostración.

EN 17529 introdujo una lógica de evaluación, niveles de logro y autodeclaración.

ISO/IEC AWI 31700-3 apunta ahora hacia otra dimensión: la auditoría.

Quizá el siguiente salto de madurez de Privacy by Design no consista, por tanto, en encontrar nuevos principios.

Consista en aprender a demostrar los que ya tenemos.

Porque la pregunta relevante dejará de ser únicamente: ¿hemos tenido en cuenta la privacidad desde el diseño?

Y pasará a ser otra mucho más exigente: ¿qué evidencia tenemos para demostrarlo?

Referencias normativas y bibliográficas

International Organization for Standardization (ISO). (2023). ISO 31700-1:2023. Consumer protection — Privacy by design for consumer goods and services — Part 1: High-level requirements. Geneva: ISO.
Ficha oficial ISO 31700-1:2023

International Organization for Standardization / International Electrotechnical Commission (ISO/IEC). (2026). ISO/IEC TR 31700-2:2026. Consumer protection — Privacy by design for consumer goods and services — Part 2: Use cases. Geneva: ISO.
Ficha oficial ISO/IEC TR 31700-2:2026

International Organization for Standardization / International Electrotechnical Commission (ISO/IEC). (2026). ISO/IEC AWI 31700-3. Consumer protection — Privacy by design for consumer goods and services — Part 3: Audits of privacy by design for consumer products and services. Approved Work Item. ISO/IEC JTC 1/SC 44.

International Organization for Standardization (ISO). (2026). ISO 19011:2026. Guidelines for auditing management systems. 4th ed. Geneva: ISO.
Ficha oficial ISO 19011:2026

International Organization for Standardization / International Electrotechnical Commission (ISO/IEC). (2024). ISO/IEC 29100:2024. Information technology — Security techniques — Privacy framework. 2nd ed. Geneva: ISO.
Ficha oficial ISO/IEC 29100:2024

International Organization for Standardization / International Electrotechnical Commission (ISO/IEC). (2023). ISO/IEC 29134:2023. Information technology — Security techniques — Guidelines for privacy impact assessment. 2nd ed. Geneva: ISO.
Ficha oficial ISO/IEC 29134:2023

International Organization for Standardization / International Electrotechnical Commission (ISO/IEC). (2024). ISO/IEC 27561:2024. Information security, cybersecurity and privacy protection — Privacy operationalisation model and method for engineering (POMME). Geneva: ISO.
Ficha oficial ISO/IEC 27561:2024

International Organization for Standardization / International Electrotechnical Commission (ISO/IEC). (2025). ISO/IEC 27701:2025. Information security, cybersecurity and privacy protection — Privacy information management systems — Requirements and guidance. 2nd ed. Geneva: ISO.
Ficha oficial ISO/IEC 27701:2025

Unión Europea. (2016). Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (Reglamento General de Protección de Datos). Véanse especialmente considerando 78 y artículo 25. Diario Oficial de la Unión Europea, L 119, 4 de mayo de 2016.
Texto oficial del RGPD en EUR-Lex

European Data Protection Board (EDPB). (2020). Guidelines 4/2019 on Article 25 Data Protection by Design and by Default. Version 2.0, final version adopted on 20 October 2020.
Directrices 4/2019 — versión oficial del EDPB

CEN-CENELEC. (2022). EN 17529:2022. Data protection and privacy by design and by default. CEN-CLC/JTC 13, Cybersecurity and Data Protection.

Asociación Española de Normalización (UNE). (2022). UNE-EN 17529:2022. Protección de datos y de la privacidad por diseño y por defecto. Ratificada en julio de 2022; idéntica a EN 17529:2022.
Ficha oficial de UNE-EN 17529:2022

European Commission. (2026). Rolling Plan for ICT Standardisation 2026 — ePrivacy. Interoperable Europe Portal.
Rolling Plan 2026 — ePrivacy

European Commission. (2026). Rolling Plan for ICT Standardisation 2026. Interoperable Europe Portal.
Rolling Plan for ICT Standardisation 2026

AFNOR. (2026). PR NF EN 17529 rev — Protection des données et de la vie privée dès la conception et par défaut. Proyecto registrado el 1 de mayo de 2026 en Norm’Info.
Registro oficial de AFNOR del proyecto de revisión

Nota metodológica sobre las fuentes

Las referencias utilizadas priorizan fuentes normativas e institucionales primarias: ISO, EUR-Lex, EDPB, CEN-CENELEC, Comisión Europea, UNE y AFNOR.

Cuando se describe la estructura interna de EN 17529:2022 —en particular sus mecanismos de autodeclaración y niveles de logro— la referencia es la propia norma, especialmente sus cláusulas 4.3, 7.1.3 y 7.2.

Las afirmaciones sobre ISO/IEC AWI 31700-3 deben interpretarse conforme al estado del proyecto a 1 de septiembre de 2026. Su condición de AWI implica que el contenido puede cambiar durante las siguientes etapas de desarrollo.

La existencia de actividad de revisión de EN 17529 registrada en organismos nacionales europeos se utiliza como indicio de evolución normativa, no como evidencia de una convergencia formal ya acordada entre EN 17529 e ISO/IEC AWI 31700-3.

Fecha de consulta de las fuentes electrónicas: 1 de septiembre de 2026.

Autor y responsable editorial: Leocadio Marrero Trujillo.
El enfoque, la arquitectura, los criterios de análisis y las conclusiones de este artículo han sido definidos y validados por el autor. Durante su elaboración se han utilizado herramientas de inteligencia artificial generativa como apoyo para la estructuración, reformulación, edición y creación de determinados elementos gráficos.

El contenido ha sido sometido a revisión humana sustantiva, comprobación de fuentes y validación jurídica y técnica. El autor ha aprobado la versión definitiva y asume íntegramente la responsabilidad editorial sobre su contenido