Matricúlate
ISO/IEC 27701:2025 La autonomía operativa de la privacidad: como sistema de gestión en la transformación digital hiperconectada
Resumen
La transformación digital ha convertido la información personal en una infraestructura permanente de operación, decisión, automatización, personalización y control organizativo. En este contexto, la privacidad ya no puede gestionarse solo como una obligación jurídica, una política documental o una extensión de la seguridad de la información. La intensidad de los tratamientos, la expansión de los servicios cloud, la analítica masiva, la inteligencia artificial, la trazabilidad digital y la dependencia de cadenas de proveedores exigen una arquitectura capaz de integrar riesgos, responsabilidades, controles, evidencias, auditoría y mejora continua.
Este artículo analiza ISO/IEC 27701:2025 como respuesta normativa-técnica a ese escenario. Se sostiene que la principal aportación de la segunda edición no reside únicamente en la actualización de controles de privacidad, sino en la configuración de un sistema de gestión autónomo de privacidad de la información. Frente a la lectura de ISO/IEC 27701:2019 como extensión del sistema de gestión de seguridad de la información, la versión 2025 consolida el Privacy Information Management System como una estructura propia, aplicable a organizaciones que actúan como responsables, encargados o ambas figuras.
El trabajo examina el alcance conceptual de esta autonomía, su relación con la seguridad de la información, su función en la gestión de riesgos de privacidad, su utilidad probatoria, su neutralidad jurídica y su valor en contextos multijurisdiccionales. Se concluye que ISO/IEC 27701:2025 no sustituye a las normas jurídicas de protección de datos, pero puede operar como infraestructura internacional de gobernanza, trazabilidad, auditoría y madurez para proteger a las personas, sus derechos y libertades en entornos digitales complejos.
Palabras clave: ISO/IEC 27701:2025; privacidad; protección de datos; sistema de gestión; PIMS; información personal identificable; seguridad de la información; ciberseguridad; transformación digital; derechos y libertades; gestión de riesgos; accountability; auditoría de privacidad; cumplimiento multijurisdiccional.
La privacidad no puede protegerse de forma episódica en una sociedad que trata datos de forma permanente.
Índice
- Introducción: transformación digital, hiperconectividad y centralidad de la persona
- El problema que ISO/IEC 27701:2025 viene a ordenar
2.1. La expansión del dato personal
2.2. La invisibilidad del tratamiento
2.3. La fragmentación organizativa
2.4. El riesgo sobre derechos y libertades
2.5. La necesidad de evidencia
- De ISO/IEC 27701:2019 a ISO/IEC 27701:2025: de extensión a sistema autónomo
- La privacidad como sistema de gestión
- Autonomía sin separación: privacidad, seguridad de la información y ciberseguridad
- Riesgo, evidencia y rendición de cuentas
- Neutralidad jurídica y utilidad multijurisdiccional
- Alcance jurídico y límites de la certificación
- Implicaciones organizativas
- Proyección hacia inteligencia artificial y tecnologías emergentes
- Conclusiones
1. Introducción: transformación digital, hiperconectividad y centralidad de la persona
La transformación digital ha modificado la forma en que las organizaciones observan, clasifican, deciden y actúan sobre las personas. El dato personal ya no aparece solo como un recurso administrativo o como una información auxiliar necesaria para prestar un servicio. Se ha convertido en materia prima de operación, inteligencia, predicción, personalización, vigilancia, automatización y gobierno organizativo.
Esta mutación tiene una consecuencia directa: la privacidad deja de ser una cuestión periférica. En un entorno hiperconectado, la persona queda incorporada a redes de tratamiento que exceden con frecuencia su capacidad real de comprensión y control. Aplicaciones móviles, plataformas cloud, integraciones entre sistemas, proveedores tecnológicos, analítica avanzada, herramientas de inteligencia artificial, dispositivos conectados, entornos laborales digitalizados, sistemas de scoring, trazabilidad web, biometría, videovigilancia inteligente o modelos de personalización hacen que el tratamiento de datos personales sea continuo, distribuido y muchas veces invisible.
El centro de gravedad de esta transformación no es la tecnología en abstracto, sino la persona afectada por esa tecnología. Cada dato tratado, combinado, observado, inferido o reutilizado puede alterar la forma en que una organización evalúa, selecciona, clasifica, vigila, excluye, premia, sanciona o condiciona a una persona. Por eso, el riesgo de privacidad no puede reducirse a la pérdida de confidencialidad o a la brecha de seguridad. También puede manifestarse como pérdida de control, vigilancia indebida, discriminación, manipulación, opacidad, afectación reputacional, daño económico, restricción de autonomía, limitación de derechos o debilitamiento de la capacidad de defensa frente a decisiones automatizadas o poco transparentes.
En este escenario, las respuestas tradicionales resultan insuficientes. No basta con tener avisos de privacidad, contratos, cláusulas informativas o políticas internas. Tampoco basta con disponer de controles de seguridad técnicamente sólidos si la organización no gobierna adecuadamente las finalidades, las bases de legitimación, la minimización, la conservación, las transferencias, los proveedores, los derechos de las personas, los riesgos residuales y las evidencias de cumplimiento. Un tratamiento puede ser seguro desde el punto de vista técnico y, al mismo tiempo, ser excesivo, opaco, incompatible, desproporcionado o ilegítimo desde el punto de vista de la privacidad.
La pregunta relevante ya no es únicamente si una organización cumple formalmente con una norma de protección de datos. La pregunta es si cuenta con una arquitectura capaz de gobernar el ciclo de vida completo del tratamiento: quién decide, con qué finalidad, sobre qué datos, bajo qué base, con qué tecnología, con qué proveedores, con qué riesgos, con qué controles, con qué evidencias, con qué supervisión y con qué capacidad de corrección.
En este punto adquiere relevancia ISO/IEC 27701:2025. Su aportación no debe entenderse solo como la actualización de una norma técnica, sino como la consolidación de una forma específica de ordenar la privacidad dentro de la organización. La norma especifica requisitos para establecer, implementar, mantener y mejorar continuamente un sistema de gestión de privacidad de la información y proporciona orientación para organizaciones que actúan como responsables, encargados o ambas figuras.
La segunda edición resulta especialmente significativa porque sustituye técnicamente a ISO/IEC 27701:2019 y se presenta como una norma independiente de sistema de gestión. Este cambio no es menor. Supone pasar de una lectura de la privacidad como extensión del sistema de gestión de seguridad de la información a una concepción más madura: la privacidad como sistema de gestión propio, aunque funcionalmente conectado con la seguridad, la ciberseguridad, la gestión de riesgos y el cumplimiento normativo.
Desde esta perspectiva, ISO/IEC 27701:2025 no convierte la privacidad en una materia aislada. Al contrario, la integra en una arquitectura organizativa capaz de relacionar contexto, liderazgo, planificación, soporte, operación, evaluación del desempeño y mejora. La privacidad deja así de depender de documentos dispersos o controles fragmentados y pasa a configurarse como una capacidad institucional permanente: gobernada, medida, auditada y mejorable.
Figura 1. La privacidad no puede protegerse de forma puntual cuando los datos personales circulan de forma permanente entre tecnologías, procesos, proveedores y jurisdicciones.
2. El problema que ISO/IEC 27701:2025 viene a ordenar
ISO/IEC 27701:2025 aparece en un momento en el que las organizaciones tratan volúmenes crecientes y variados de información personal identificable, en múltiples jurisdicciones y bajo expectativas sociales y regulatorias cada vez más intensas. La nota técnica de Management Solutions sobre la norma vincula la actualización de ISO/IEC 27701:2025 con el aumento de los tratamientos de PII, la expansión de los marcos regulatorios y la necesidad de reforzar la rendición de cuentas mediante un enfoque consistente y verificable de protección de la información personal.
Ese contexto puede ordenarse en cinco tensiones principales.
2.1. La expansión del dato personal
La primera tensión es la expansión del dato personal. Durante mucho tiempo, muchas organizaciones han entendido el dato personal como la información que una persona entrega directamente: nombre, documento de identidad, dirección, teléfono, correo electrónico, datos bancarios o datos contractuales. Esa visión ya no resulta suficiente.
La economía digital trabaja también con datos observados, derivados, inferidos, correlacionados, enriquecidos y reutilizados. Un patrón de navegación, una geolocalización, un identificador de dispositivo, una métrica de rendimiento laboral, una secuencia de interacción con una aplicación, un historial de compras, una grabación, un log técnico o una puntuación generada por un modelo pueden adquirir relevancia personal cuando permiten singularizar, perfilar, evaluar o influir sobre una persona.
Esto obliga a desplazar la mirada desde la base de datos hacia el ciclo de vida del tratamiento. Lo relevante no es solo qué dato se recoge, sino cómo se transforma, con qué finalidad se combina, qué inferencias permite, qué decisiones alimenta, durante cuánto tiempo se conserva y con quién se comparte.
2.2. La invisibilidad del tratamiento
La segunda tensión es la invisibilidad del tratamiento. Buena parte de las operaciones relevantes no se produce en una relación directa y visible entre persona y organización, sino en capas técnicas y organizativas que permanecen ocultas para el afectado: analítica, trazabilidad, integraciones, SDK, APIs, herramientas de marketing, sistemas antifraude, proveedores cloud, soporte remoto, subencargados, motores de recomendación, scoring, modelos de IA o registros de actividad.
La privacidad, por tanto, no puede descansar únicamente en la transparencia externa. La información a la persona es necesaria, pero insuficiente si no existe una estructura interna capaz de conocer, controlar y revisar lo que realmente ocurre dentro de los sistemas y procesos.
2.3. La fragmentación organizativa
La tercera tensión es la fragmentación. En una misma actividad de tratamiento suelen intervenir áreas jurídicas, seguridad de la información, tecnología, negocio, marketing, recursos humanos, compras, auditoría, proveedores y dirección. Cada una opera con lenguajes, prioridades y métricas distintas: cumplimiento, continuidad, eficiencia, experiencia de usuario, conversión comercial, reducción de costes, innovación o control del riesgo.
Sin una arquitectura común, la privacidad queda repartida entre departamentos y pierde consistencia. ISO/IEC 27701:2025 aporta una gramática organizativa compartida: contexto, alcance, roles, política, objetivos, riesgos, controles, información documentada, operación, seguimiento, auditoría, revisión directiva y mejora. La guía de implementación aportada refleja esta misma lógica al presentar el PIMS como un marco estructurado para gestionar la privacidad de forma consistente, controlada y auditable.
2.4. El riesgo sobre derechos y libertades
La cuarta tensión es la insuficiencia de una lectura puramente técnica del riesgo. La privacidad protege información, pero no solo información. Protege a las personas frente a formas de exposición, control, manipulación, exclusión, discriminación, vigilancia o pérdida de autonomía que pueden producirse a través del tratamiento de datos.
Por eso, un sistema de gestión de privacidad no puede limitarse a prevenir accesos no autorizados. Debe permitir analizar cómo una actividad de tratamiento puede afectar derechos y libertades. Esto exige conectar el dato con el contexto, el contexto con el riesgo, el riesgo con el evento y el evento con el daño.
ISO/IEC 27701:2025 abre esta puerta al incorporar un proceso de evaluación y tratamiento del riesgo de privacidad, orientado a identificar riesgos, analizar consecuencias y probabilidades, determinar niveles de riesgo, priorizar tratamientos y documentar los resultados.
2.5. La necesidad de evidencia
La quinta tensión es la evidencia. En privacidad, la declaración de cumplimiento ha dejado de ser suficiente. Las organizaciones deben poder demostrar cómo gobiernan sus tratamientos, cómo asignan responsabilidades, cómo evalúan riesgos, cómo seleccionan controles, cómo supervisan proveedores, cómo atienden derechos, cómo responden ante incidentes, cómo auditan y cómo corrigen desviaciones.
La nota técnica de Management Solutions destaca la ampliación de la orientación sobre implementación de controles, medición de desempeño y documentación de evidencias de cumplimiento, con el fin de facilitar relaciones con socios de negocio y demostrar buenas prácticas en el tratamiento de información personal.
La evidencia no es burocracia cuando permite reconstruir racionalmente una decisión de tratamiento. Es trazabilidad de gobierno. Permite conocer qué se decidió, por qué se decidió, con qué información, con qué evaluación de riesgo, con qué controles, con qué responsables y con qué seguimiento posterior.
ISO/IEC 27701:2025 aparece precisamente en ese espacio: entre la promesa jurídica de la privacidad y la necesidad organizativa de hacerla gobernable, verificable y mejorable.
3. De ISO/IEC 27701:2019 a ISO/IEC 27701:2025: de extensión a sistema autónomo
La evolución de ISO/IEC 27701 debe leerse dentro de una transformación más amplia de la privacidad organizativa. La edición de 2019 tuvo un valor relevante al conectar la privacidad con los sistemas de gestión de seguridad de la información. Su aportación consistió en incorporar requisitos y orientaciones de privacidad dentro de una arquitectura ya conocida por las organizaciones: ISO/IEC 27001 e ISO/IEC 27002. Esa aproximación permitió aprovechar estructuras existentes de gobierno de seguridad, gestión de riesgos, control documental, auditoría y mejora.
Sin embargo, esa misma fortaleza podía generar una lectura limitada: entender la privacidad como una extensión de la seguridad. Bajo esa lectura, la privacidad aparecía como una capa adicional sobre controles de confidencialidad, integridad, disponibilidad, gestión de accesos, incidentes o proveedores. Esa lectura es insuficiente, porque la privacidad tiene una finalidad propia. No se limita a proteger información frente a accesos no autorizados. Exige gobernar la legitimidad, la finalidad, la proporcionalidad, la minimización, la transparencia, la conservación, la comunicación de datos, el ejercicio de derechos, las decisiones automatizadas, la relación con terceros y el impacto del tratamiento sobre las personas.
Figura 2: ISO/IEC 27701:2025 no rompe con la seguridad; ordena la privacidad desde una lógica propia de gobierno, riesgo, evidencia y mejora continua.
La edición 2025 reordena este punto. La norma se presenta como una segunda edición técnicamente revisada que reemplaza a la edición anterior y cuyo cambio principal consiste en haber sido redactada como norma independiente de sistema de gestión.
Este desplazamiento no significa que ISO/IEC 27701:2025 se separe de la seguridad de la información. Tampoco implica que la privacidad pueda gestionarse sin controles técnicos, sin gestión de accesos, sin criptografía, sin registros, sin desarrollo seguro o sin respuesta ante incidentes. La autonomía del PIMS no debe entenderse como aislamiento, sino como madurez. La privacidad deja de estar subordinada conceptualmente a la seguridad y pasa a gobernarse desde una lógica propia, aunque necesite de la seguridad para ser efectiva.
La diferencia es relevante. Cuando la privacidad se concibe solo como extensión de seguridad, el foco tiende a situarse en la protección de activos de información. Cuando se concibe como sistema de gestión autónomo, el foco se amplía hacia la protección de la persona afectada por el tratamiento. La información sigue siendo el objeto gestionado, pero la finalidad última es más amplia: preservar la privacidad y contribuir a la protección de derechos y libertades.
La nota técnica de Management Solutions sintetiza este cambio al presentar ISO/IEC 27701:2025 como un marco estructurado destinado a reforzar la protección de la privacidad mediante un PIMS, con énfasis en responsabilidad, verificación, controles, desempeño y mejora.
La guía de implementación también ayuda a comprender este tránsito. Presenta el PIMS como un marco que permite identificar datos personales, definir funciones y responsabilidades, establecer prácticas lícitas y leales de tratamiento, incorporar privacidad por diseño y por defecto, controlar relaciones con terceros, atender derechos, gestionar brechas y mejorar continuamente los controles.
La evolución de 2019 a 2025 puede resumirse así: la privacidad deja de ser una capa añadida al sistema de seguridad y pasa a constituirse como una disciplina de gestión institucional. La seguridad sigue siendo condición necesaria, pero ya no absorbe el significado completo de la privacidad.
4. La privacidad como sistema de gestión
El valor principal de ISO/IEC 27701:2025 reside en convertir la privacidad en sistema. Esta afirmación no es retórica. Un sistema de gestión no es una colección de documentos ni una suma de controles aislados. Es una estructura organizada que permite definir contexto, alcance, responsabilidades, objetivos, riesgos, recursos, procesos, controles, evidencias, medición, auditoría, revisión y mejora.
La estructura de ISO/IEC 27701:2025 responde precisamente a esa lógica. La norma articula el PIMS a través de los componentes clásicos de un sistema de gestión: contexto de la organización, liderazgo, planificación, soporte, operación, evaluación del desempeño y mejora.
Esta arquitectura produce varios efectos.
El primero es que obliga a partir del contexto. La privacidad no se gestiona en abstracto. Cada organización debe entender sus actividades, su papel como responsable, encargado o ambas figuras, sus procesos, sus tecnologías, sus proveedores, sus partes interesadas y sus requisitos aplicables. El contexto permite evitar una privacidad genérica, despegada de la realidad del tratamiento.
El segundo efecto es la delimitación del alcance. Un PIMS necesita definir qué actividades, procesos, unidades, servicios, sistemas, ubicaciones, datos y relaciones quedan incluidos. La guía de implementación subraya que el alcance determina dónde aplica el PIMS, qué datos cubre, qué procesos quedan incluidos y cómo se gestionan exclusiones.
El tercer efecto es el liderazgo. La privacidad no puede depender solo del área jurídica o del delegado de protección de datos. Requiere compromiso de la alta dirección, política, objetivos, asignación de responsabilidades e integración en procesos de negocio. Sin liderazgo, la privacidad se convierte en una función consultiva con poca capacidad real de transformación.
El cuarto efecto es la planificación basada en riesgos y oportunidades. La privacidad no puede gestionarse mediante respuestas reactivas. Requiere identificar riesgos, definir criterios, analizar consecuencias, priorizar tratamientos, seleccionar controles y mantener evidencias. Este punto conecta la norma con la lógica de accountability: no basta cumplir, hay que poder demostrar cómo se gobierna el cumplimiento.
El quinto efecto es la operación. Un sistema de gestión debe aterrizar en procesos concretos. En privacidad, esto significa identificar finalidades, gestionar bases de legitimación, documentar tratamientos, atender derechos, controlar conservación y eliminación, gestionar transferencias, evaluar proveedores, responder ante incidentes, aplicar seguridad y revisar cambios.
El sexto efecto es la evaluación del desempeño. La privacidad no puede medirse solo por la existencia de documentos. Necesita indicadores, seguimiento, auditoría interna, revisión por la dirección y análisis de no conformidades. La norma introduce así una lógica de mejora continua que resulta esencial en un entorno tecnológico cambiante.
El séptimo efecto es la mejora. La privacidad madura no consiste en diseñar una vez un programa de cumplimiento, sino en sostener una capacidad permanente de aprendizaje. Nuevas tecnologías, nuevos proveedores, nuevos usos de datos, nuevas decisiones automatizadas, nuevos riesgos y nuevos criterios regulatorios obligan a revisar el sistema.
Desde esta perspectiva, ISO/IEC 27701:2025 convierte la privacidad en una capacidad institucional. No se limita a preguntar si existen cláusulas, políticas o contratos. Pregunta si la organización tiene un sistema capaz de gobernar el tratamiento de información personal de forma coherente, trazable y revisable.
5. Autonomía sin separación: privacidad, seguridad de la información y ciberseguridad
La autonomía del PIMS no debe interpretarse como separación entre privacidad y seguridad. La privacidad necesita seguridad. Un sistema que trata información personal sin controles adecuados de confidencialidad, integridad, disponibilidad, autenticación, trazabilidad, resiliencia, gestión de vulnerabilidades, cifrado o respuesta ante incidentes no puede ofrecer una protección real.
Sin embargo, la privacidad no se agota en la seguridad. Esta distinción resulta esencial.
La seguridad de la información se orienta a proteger información y sistemas frente a riesgos que comprometen propiedades como confidencialidad, integridad o disponibilidad. La privacidad incorpora esa dimensión, pero añade otras exigencias. Pregunta si el tratamiento tiene finalidad legítima, si los datos son necesarios, si la persona ha sido informada, si existe base adecuada, si se respetan los derechos, si el tratamiento es proporcional, si la conservación está limitada, si los proveedores están gobernados, si las transferencias son lícitas, si las decisiones automatizadas son controlables y si el impacto sobre la persona ha sido considerado.
Un tratamiento puede estar bien protegido técnicamente y, aun así, ser problemático desde la privacidad. Puede recopilar datos excesivos, conservarlos más tiempo del necesario, reutilizarlos para finalidades incompatibles, comunicarlos a terceros sin base suficiente, entrenar modelos sin gobernanza adecuada, producir inferencias invasivas o dificultar el ejercicio de derechos. En esos casos, la seguridad protege bien un tratamiento que quizá no debería producirse, o que debería producirse de otra forma.
También ocurre lo contrario. Una organización puede tener una política de privacidad correcta, un registro de actividades formalmente completo y cláusulas contractuales bien redactadas, pero carecer de controles de acceso, registros de actividad, cifrado, gestión de incidentes, seguridad en desarrollo, control de proveedores o capacidad de restauración. En ese escenario, la privacidad es declarativa.
ISO/IEC 27701:2025 permite ordenar esta relación. Conserva la conexión con la seguridad de la información, pero sitúa la privacidad en una arquitectura propia. Sus controles comunes para responsables y encargados incorporan dimensiones de seguridad como clasificación de información, etiquetado, transferencia, gestión de identidades, derechos de acceso, logging, criptografía, ciclo de vida de desarrollo seguro, requisitos de aplicaciones, arquitectura segura, desarrollo externalizado e información de prueba.
La idea de fondo es clara: sin privacidad no puede haber seguridad efectiva. La seguridad de la información protege activos, sistemas y datos, pero solo alcanza pleno sentido cuando se orienta también a preservar la privacidad, la autonomía y los derechos de las personas. Si una infraestructura técnicamente robusta permite tratar datos de forma excesiva, opaca, desproporcionada o ilegítima, no puede considerarse verdaderamente segura desde una perspectiva de gobernanza digital.
Esta relación madura entre privacidad y seguridad resulta especialmente relevante en la economía digital. Las organizaciones necesitan proteger sistemas y datos, pero también necesitan justificar finalidades, minimizar tratamientos, gestionar expectativas, respetar derechos, revisar riesgos y demostrar accountability. La seguridad es condición de posibilidad. La privacidad es finalidad de legitimidad.
6. Riesgo, evidencia y rendición de cuentas
ISO/IEC 27701:2025 introduce una lógica de gestión de riesgos que resulta central para comprender su utilidad. La privacidad no puede gestionarse solo mediante cumplimiento formal, porque los riesgos dependen del contexto, del tipo de dato, de la escala del tratamiento, de la tecnología utilizada, de la vulnerabilidad de las personas afectadas, de las decisiones que se adoptan y de los efectos que pueden producirse.
La norma exige establecer y mantener un proceso de evaluación del riesgo de privacidad, definir criterios, identificar riesgos, analizar consecuencias y probabilidad, determinar niveles de riesgo, comparar resultados con criterios previamente establecidos y priorizar tratamientos. También contempla el tratamiento del riesgo mediante selección de controles, declaración de aplicabilidad, aprobación de planes de tratamiento y aceptación de riesgos residuales.
Este enfoque permite superar una práctica todavía frecuente: confundir riesgo de privacidad con riesgo de brecha. La brecha es un evento relevante, pero no agota el universo de riesgos. La privacidad también puede verse afectada por usos secundarios no esperados, tratamientos excesivos, inferencias erróneas, decisiones automatizadas no explicables, vigilancia laboral desproporcionada, perfiles discriminatorios, exclusión de servicios, opacidad en entornos digitales, comunicaciones indebidas, conservación excesiva, falta de control sobre subencargados o transferencia internacional mal gobernada.
La evaluación del riesgo de privacidad debe ser capaz de responder a preguntas distintas de las habituales en seguridad. No solo qué puede fallar en el sistema, sino qué puede ocurrirle a la persona. No solo qué activo se compromete, sino qué derecho o libertad puede verse afectado. No solo qué vulnerabilidad técnica existe, sino qué asimetría, dependencia, opacidad o imposibilidad de defensa se genera.
En este punto, ISO/IEC 27701:2025 aporta el sistema, pero la organización debe aportar la inteligencia del daño. La norma ofrece una arquitectura para evaluar, tratar, documentar y revisar riesgos. La calidad del resultado dependerá de la capacidad de la organización para comprender el dato, el tratamiento, el contexto, el evento y el daño.
La rendición de cuentas se apoya en esa trazabilidad. Una organización no demuestra privacidad por acumular documentos, sino por poder reconstruir racionalmente sus decisiones de tratamiento. Debe poder explicar qué finalidad perseguía, qué datos eran necesarios, qué base aplicaba, qué riesgos se identificaron, qué controles se seleccionaron, qué responsables intervinieron, qué proveedores participaron, qué evidencias se conservaron y qué revisión posterior se realizó.
La guía de implementación aportada refuerza esta idea al vincular PIMS con gestión estructurada de datos personales, asignación de roles, prácticas de tratamiento, privacidad por diseño, control de terceros, atención de derechos, gestión de brechas y mejora continua.
La evidencia, entendida así, no es una carga administrativa secundaria. Es la memoria del sistema. Permite diferenciar entre cumplimiento aparente y cumplimiento gobernado. También permite a la dirección, auditoría, DPO/DPD, seguridad, cumplimiento y reguladores comprender cómo se tomaron las decisiones y si el sistema fue razonable, proporcional y diligente.
7. Neutralidad jurídica y utilidad multijurisdiccional
Una de las aportaciones más relevantes de ISO/IEC 27701:2025 es su neutralidad jurídica. La norma no está diseñada como una ley de protección de datos ni como una reproducción técnica de una jurisdicción concreta. No sustituye al RGPD, ni a las leyes latinoamericanas, ni a las normas nacionales o sectoriales que puedan resultar aplicables. Su función es distinta: proporcionar una arquitectura internacional de gestión que permite ordenar la privacidad mediante requisitos, procesos, controles, responsabilidades, evidencias, auditoría y mejora continua.
Esta neutralidad no reduce su valor. Lo amplía.
Precisamente porque no queda capturada por un único ordenamiento, ISO/IEC 27701:2025 puede ser utilizada por organizaciones que operan en distintos países y están sometidas a varios marcos regulatorios. Una organización con presencia en la Unión Europea, América Latina, Reino Unido, Estados Unidos, India o Asia-Pacífico puede utilizar el PIMS como estructura común para ordenar finalidades, roles, registros, derechos, proveedores, transferencias, incidentes, conservación, seguridad y auditoría. Después deberá ajustar cada elemento a las exigencias materiales de cada jurisdicción.
La norma permite separar dos planos que a menudo se confunden. El primer plano es el sistema de gestión: cómo la organización gobierna la privacidad, asigna responsabilidades, evalúa riesgos, documenta decisiones, controla procesos, mide desempeño y mejora. El segundo plano es el contenido jurídico aplicable: qué exige cada ordenamiento sobre licitud, consentimiento, derechos, transferencias, brechas, decisiones automatizadas, categorías especiales de datos, autoridades de control o responsabilidades. ISO/IEC 27701:2025 no reemplaza ese segundo plano, pero ofrece una estructura estable para gestionarlo de forma coherente.
Esta función resulta especialmente valiosa en escenarios multijurisdiccionales. Cuando una organización opera en varios países, el riesgo no suele estar solo en desconocer una norma local. También está en gestionar la privacidad mediante respuestas fragmentadas, duplicadas o contradictorias. Cada jurisdicción puede imponer matices distintos, pero la organización necesita una base común: inventario, alcance, responsabilidades, evaluación del riesgo, controles, evidencias, auditoría y mejora.
Desde esta perspectiva, ISO/IEC 27701:2025 funciona como una herramienta de interoperabilidad organizativa. No elimina la complejidad legal, pero la hace más gobernable. Permite que el área jurídica, seguridad de la información, tecnología, cumplimiento, auditoría, compras, negocio y dirección trabajen sobre un mismo marco de referencia, incluso cuando las obligaciones materiales proceden de normas diferentes.
La propia estructura de la norma refuerza esta lectura. ISO/IEC 27701:2025 exige determinar cuestiones internas y externas relevantes para el PIMS, identificar partes interesadas y requisitos, definir el alcance, integrar requisitos en procesos, evaluar riesgos y mantener información documentada. Además, incorpora anexos de correspondencia con ISO/IEC 29100, el RGPD, ISO/IEC 27018, ISO/IEC 29151 y la edición anterior de ISO/IEC 27701, lo que confirma su vocación de conexión con distintos marcos sin convertirse en sustituto de ninguno.
La consecuencia práctica es clara. ISO/IEC 27701:2025 puede operar como una capa internacional de gobierno de privacidad. Sobre esa capa se proyectan después las exigencias específicas de cada país, sector o relación contractual. En lugar de construir programas de privacidad aislados por jurisdicción, la organización puede diseñar un sistema común y modular: un núcleo global de gestión de privacidad y anexos locales de cumplimiento.
Figura 3: ISO/IEC 27701:2025 no elimina la diversidad jurídica; ofrece una arquitectura común para gobernarla.
Esta capacidad resulta decisiva en la economía digital contemporánea. Los tratamientos rara vez permanecen encerrados dentro de una frontera nacional. Los datos circulan por infraestructuras cloud, proveedores globales, plataformas tecnológicas, servicios de soporte, sistemas de analítica, herramientas de IA y cadenas de subcontratación. En ese escenario, una norma internacional jurídicamente neutra permite ordenar la privacidad desde una perspectiva más realista: no como suma de obligaciones nacionales desconectadas, sino como sistema de gestión capaz de absorber y demostrar cumplimiento en varios entornos regulatorios.
ISO/IEC 27701:2025 no elimina la diversidad jurídica. Ofrece una arquitectura común para gobernarla.
8. Alcance jurídico y límites de la certificación
La utilidad de ISO/IEC 27701:2025 no debe confundirse con una equivalencia automática entre certificación y cumplimiento legal. Esta distinción es esencial.
La norma puede ayudar a estructurar un programa de privacidad, ordenar responsabilidades, documentar decisiones, seleccionar controles, evaluar riesgos, generar evidencias y facilitar auditorías. Puede ser una herramienta muy valiosa para demostrar diligencia, madurez y consistencia organizativa. Pero no reemplaza el análisis jurídico de cada actividad de tratamiento ni elimina la necesidad de interpretar la ley aplicable.
La propia existencia de anexos de correspondencia confirma esta idea. Las correspondencias con ISO/IEC 29100, RGPD, ISO/IEC 27018 o ISO/IEC 29151 tienen valor orientativo y metodológico. Ayudan a identificar relaciones entre requisitos, principios y controles, pero no transforman una norma técnica en una regla legal directamente equivalente.
Una organización puede disponer de un PIMS formalmente desarrollado y, sin embargo, incurrir en incumplimientos si interpreta mal una base jurídica, no respeta un requisito local de consentimiento, comunica datos sin fundamento, realiza transferencias internacionales sin garantías suficientes, utiliza datos para finalidades incompatibles o no atiende correctamente derechos de las personas. También puede existir una certificación sin verdadera madurez si el sistema se implementa de forma documental, sin integración real en procesos y decisiones.
Por eso, el valor de ISO/IEC 27701:2025 no está en sustituir la ley, sino en hacer que la ley pueda ser gestionada. La norma proporciona estructura, lenguaje y disciplina. Permite identificar requisitos, asignar responsabilidades, documentar decisiones, evaluar riesgos, establecer controles y verificar desempeño. Pero el juicio jurídico sigue siendo necesario.
El riesgo contrario es el denominado cumplimiento aparente. Ocurre cuando la organización confunde disponer de políticas, mapas, cláusulas, matrices o certificados con haber construido una cultura real de privacidad. La certificación puede aportar confianza, pero también puede generar falsa tranquilidad si se convierte en un fin en sí mismo.
La lectura correcta debe ser más prudente. ISO/IEC 27701:2025 es una herramienta de gobierno. Su función es aumentar la capacidad de la organización para cumplir, demostrar, corregir y mejorar. No elimina la responsabilidad de cumplir la ley. La hace más trazable.
9. Implicaciones organizativas
La lectura de ISO/IEC 27701:2025 como sistema de gestión autónomo tiene consecuencias directas para la organización. La privacidad deja de ser una función concentrada en un área y pasa a operar como una responsabilidad distribuida, coordinada y verificable.
Para la alta dirección, el PIMS implica asumir que la privacidad es una cuestión de gobierno. No puede quedar reducida a un documento de cumplimiento o a una respuesta puntual frente a reclamaciones. La dirección debe definir orientación, aprobar políticas, asignar recursos, revisar desempeño, asumir riesgos residuales y promover mejora continua.
Para el DPO o DPD, ISO/IEC 27701:2025 ofrece una infraestructura de supervisión. El delegado no necesita sustituir a los responsables operativos ni convertirse en gestor único del sistema. Su función puede apoyarse en el PIMS para verificar evidencias, revisar riesgos, recomendar mejoras, supervisar controles, participar en evaluaciones de impacto y elevar cuestiones relevantes a la dirección.
Para el CISO y las áreas de seguridad, la norma permite integrar seguridad y privacidad sin confundirlas. Los controles técnicos deben alinearse con finalidades, riesgos de privacidad, datos tratados, derechos de las personas y obligaciones legales. La seguridad deja de ser solo protección del activo y se convierte también en condición de protección de la persona.
Para compliance y asesoría jurídica, el PIMS ofrece un mecanismo para traducir obligaciones en procesos y controles. La ley deja de estar solo en informes, cláusulas o dictámenes y se incorpora a flujos de aprobación, matrices de riesgo, registros, procedimientos, evidencias y auditorías.
Para auditoría interna, ISO/IEC 27701:2025 permite revisar no solo si existen documentos, sino si el sistema funciona. La auditoría puede analizar diseño, implementación, eficacia, seguimiento de acciones correctivas, revisión por la dirección y consistencia entre riesgos, controles y evidencias.
Para tecnología y producto, el PIMS exige incorporar privacidad en el ciclo de vida. Nuevos sistemas, cambios funcionales, integraciones, desarrollos, pruebas, migraciones, uso de datos sintéticos o reales, logging, analítica y modelos de IA deben evaluarse antes de quedar normalizados en operación.
Para compras y gestión de proveedores, la norma refuerza la necesidad de gobernar la cadena de tratamiento. La privacidad no se agota en firmar contratos con encargados. Exige conocer subencargados, transferencias, medidas de seguridad, instrucciones, incidentes, derechos, retorno o eliminación de datos, auditoría y continuidad de controles durante toda la relación.
La guía de implementación aportada refleja esta orientación práctica al incluir bloques sobre terceros, transferencias internacionales, privacidad por diseño, derechos, incidentes, auditoría, revisión de la dirección, certificación y plantillas de soporte.
La consecuencia general es que ISO/IEC 27701:2025 obliga a superar la privacidad de departamento. La privacidad se convierte en privacidad de sistema.
10. Proyección hacia inteligencia artificial y tecnologías emergentes
Aunque ISO/IEC 27701:2025 no es una norma específica de inteligencia artificial, su utilidad aumenta en entornos donde se desarrollan, adquieren o utilizan sistemas de IA. La razón es sencilla: muchos sistemas de IA dependen de datos personales, generan inferencias sobre personas, automatizan decisiones, recomiendan acciones, priorizan perfiles, detectan anomalías, clasifican comportamientos o alimentan procesos de vigilancia, selección, acceso, prevención o control.
En estos escenarios, la privacidad no puede añadirse al final. Debe estar presente en la definición de finalidades, la selección de datos, la calidad de los conjuntos utilizados, la gobernanza de proveedores, la evaluación de impacto, la transparencia, el control humano, la conservación, la trazabilidad, la seguridad, el logging y la respuesta frente a incidentes.
La integración futura entre PIMS y AIMS resulta especialmente relevante. ISO/IEC 42001 puede aportar la arquitectura del sistema de gestión de IA. ISO/IEC 23894 puede orientar la gestión del riesgo de IA. ISO/IEC 38507 puede reforzar la gobernanza directiva de la IA. ISO/IEC 42005 puede ordenar evaluaciones de impacto de sistemas de IA. ISO/IEC 27701:2025 aporta la capa de privacidad necesaria cuando esos sistemas tratan o afectan información personal.
La idea central es que no hay gobernanza responsable de la IA sin una gobernanza previa y madura de los datos personales que la alimentan, la entrenan, la ajustan o la hacen operar.
11. Conclusiones
ISO/IEC 27701:2025 llega en un momento en que la transformación digital necesita recuperar su centro de gravedad: la persona. La innovación, la automatización, la analítica, la inteligencia artificial y la hiperconectividad no pueden sostenerse solo sobre eficiencia, escalabilidad o seguridad técnica. Necesitan legitimidad.
La principal aportación de la norma es ordenar esa legitimidad desde una arquitectura de gestión. La privacidad deja de ser un conjunto de documentos dispersos, una revisión jurídica tardía o una extensión de la seguridad de la información. Pasa a configurarse como un sistema de gestión autónomo, con contexto, alcance, liderazgo, planificación, soporte, operación, evaluación, auditoría, revisión y mejora.
Esa autonomía no implica separación. La privacidad necesita seguridad para ser efectiva. Pero la seguridad, por sí sola, no basta para proteger privacidad. Puede existir un tratamiento técnicamente seguro y, al mismo tiempo, excesivo, opaco, incompatible o ilegítimo. ISO/IEC 27701:2025 permite integrar ambas dimensiones sin confundirlas.
La norma también aporta una base relevante para la rendición de cuentas. La privacidad no se demuestra mediante declaraciones genéricas, sino mediante decisiones trazables, riesgos evaluados, controles seleccionados, responsabilidades asignadas, evidencias conservadas, auditorías realizadas y mejoras implementadas. La evidencia no es burocracia cuando permite reconstruir racionalmente el gobierno del tratamiento.
Otro valor fundamental es su neutralidad jurídica. ISO/IEC 27701:2025 no sustituye a las leyes de protección de datos, pero ofrece una arquitectura internacional común para gestionarlas. Esa característica resulta especialmente útil para organizaciones que operan en varios países o bajo distintos marcos regulatorios. La norma no elimina la diversidad jurídica; ofrece una estructura para hacerla gobernable.
Su límite principal es el riesgo de confundir certificación con cumplimiento. Un PIMS puede aportar madurez, confianza y trazabilidad, pero no sustituye el análisis jurídico, ni garantiza por sí solo que todos los tratamientos sean lícitos, proporcionales o adecuados. Su valor depende de cómo se implemente: como sistema vivo o como expediente formal.
La lectura más sólida de ISO/IEC 27701:2025 es, por tanto, institucional y operativa. La norma permite que la privacidad se convierta en una capacidad permanente de la organización. Una capacidad para decidir mejor, controlar mejor, demostrar mejor y corregir mejor.
La privacidad no puede protegerse de forma episódica en una sociedad que trata datos de forma permanente. Esa es, quizá, la razón principal por la que ISO/IEC 27701:2025 importa.
ISO/IEC 27701:2025 permite expresar en clave de sistema de gestión una idea esencial: la seguridad sin privacidad no basta, porque proteger técnicamente los datos no equivale a gobernar legítimamente el tratamiento.
Bibliografía utilizada
- ISO/IEC. ISO/IEC 27701:2025. Information security, cybersecurity and privacy protection — Privacy information management systems — Requirements and guidance. Segunda edición. International Organization for Standardization / International Electrotechnical Commission, 2025. Fuente principal de análisis del artículo.
- ISO 27701 Implementation Guide. Guía práctica de implementación de ISO/IEC 27701, con desarrollo de alcance, contexto, liderazgo, planificación, soporte, operación, evaluación del desempeño, mejora, controles de responsables y encargados, derechos, incidentes, hoja de ruta de implantación y plantillas de apoyo. Documento aportado por el usuario.
- ALKHUDARI, Mohammad. AI Checklist: Implementing AI Systems in Compliance with ISO 42001, Mapped to ISO 27001 & ISO 27701 for Data Privacy. Green Circle for Cybersecurity. Documento aportado por el usuario, utilizado para la proyección hacia IA.
- MANAGEMENT SOLUTIONS. Technical note on ISO/IEC 27701:2025. Information security, cybersecurity and privacy protection. Research & Development, noviembre de 2025. Documento aportado por el usuario, utilizado para contexto, alcance y estructura de la norma.
- ISO/IEC. ISO/IEC 27001. Information security, cybersecurity and privacy protection — Information security management systems — Requirements. International Organization for Standardization / International Electrotechnical Commission.
- ISO/IEC. ISO/IEC 27002. Information security, cybersecurity and privacy protection — Information security controls. International Organization for Standardization / International Electrotechnical Commission.
- ISO/IEC. ISO/IEC 29100. Information technology — Security techniques — Privacy framework. International Organization for Standardization / International Electrotechnical Commission.
- ISO/IEC. ISO/IEC 27018. Information technology — Security techniques — Code of practice for protection of personally identifiable information in public clouds acting as PII processors. International Organization for Standardization / International Electrotechnical Commission.
- ISO/IEC. ISO/IEC 29151. Information technology — Security techniques — Code of practice for personally identifiable information protection. International Organization for Standardization / International Electrotechnical Commission.
- ISO/IEC. ISO/IEC 42001. Information technology — Artificial intelligence — Management system. International Organization for Standardization / International Electrotechnical Commission.
- ISO/IEC. ISO/IEC 23894. Information technology — Artificial intelligence — Guidance on risk management. International Organization for Standardization / International Electrotechnical Commission.
- ISO/IEC. ISO/IEC 38507. Information technology — Governance of IT — Governance implications of the use of artificial intelligence by organizations. International Organization for Standardization / International Electrotechnical Commission.
- ISO/IEC. ISO/IEC 42005. Information technology — Artificial intelligence — AI system impact assessment. International Organization for Standardization / International Electrotechnical Commission.
- UNIÓN EUROPEA. Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, Reglamento General de Protección de Datos.
- Agencia Española de Protección de Datos. “Sin privacidad no hay ciberseguridad”. Blog de la AEPD, 22 de febrero de 2022. Disponible en: https://www.aepd.es/prensa-y-comunicacion/blog/sin-privacidad-no-hay-ciberseguridad