O que es ISO/IEC 27701
ISO/IEC 27701:2019 es uma extensión de ISO 27001 e ISO 27002 que especifica requisitos e orientación para establecer, implementar, mantener e melhoriar contínuamente um Sistema de Gestão de Informação de Privacidade (SGIP). Mapea os controles de privacidade a os roles de Responsables do Tratamento de Informação Personal (PICs) e Encargados do Tratamento de Informação Personal (PIPs).
Relação com ISO 27001
ISO 27701 no es um estãodar independiente: extiende ISO 27001. Las organizações devem tener la certificação ISO 27001 (o buscarla simultáneamente) antes de obtener la certificação ISO 27701. El programa integrado comparte o marco de gestão do SGSI, reduciendo significativamente o esfuerzo de implementação e o costo de auditoria em comparação com proyectos separados.
¿Quién precisa ISO 27701
- Organizações que procesan dados personales da UE bajo obligaciones do GDPR
- Fornecedores de serviços em la nube e encargados do tratamento que manejan dados personales de clientes
- Plataformas de tecnologia sanitaria e de recursos humanos
- Empresas de serviços financeiros sujetas a requisitos de múltiples jurisdicciones de privacidade
- Cualquier organização que busque demonstrar responsabilidad bajo o Artículo 5(2) do GDPR
ISO 27701 e conformidade do GDPR
Si bien la certificação ISO 27701 no constituye prueba legal de conformidade do GDPR, proporciona um marco documentado e independientemente auditado que mapea directamente a as obligaciones de responsabilidad do GDPR. Las autoridades de supervisión e os delegados de proteção de dados reconocen ampliamente ISO 27701 como uma medida de responsabilidad sólida bajo o Artículo 24 do GDPR.
Áreas de control chave
- Condiciones de privacidade para a recolha e o tratamento de informação personal
- Obligaciones hacia os individuos (interesados): transparencia, acceso, retificação, supresión
- Privacidade por design e por defecto em o design de sistemas e procesos
- Controles de transferencia de dados, incluidos mecanismos de transferencia transfronteriza
- Gestão de encargados e subencargados do tratamento bajo o Artículo 28 do GDPR
- Procedimentos de notificação de brechas de dados alineados com o requisito de 72 horas do GDPR
Cronograma típico
Para organizações que ya tienen ISO 27001: 2–3 meses para añadir la certificação ISO 27701. Para organizações que buscan ISO 27001 + ISO 27701 simultáneamente: 4–6 meses.