Software para ISO 27701

ISO 27701 sin carpetas ni sorpresas

Tratamientos, evaluaciones de impacto, derechos de los interesados, brechas y encargados en un sistema de privacidad auditable y vinculado al RGPD.

Qué es y en qué edición está

ISO/IEC 27701 es la norma internacional del sistema de gestión de la información de privacidad (PIMS) para responsables y encargados del tratamiento de datos personales. Su segunda edición, de octubre de 2025, anula la de 2019 y la convierte en una norma de sistema de gestión independiente: ya no es una extensión de ISO/IEC 27001 y puede implantarse y certificarse sin ella, aunque está pensada para integrarse con el sistema de seguridad de la información e incluye una tabla de correspondencia con el RGPD.

Contenido revisado el 17 de octubre de 2026

Edición vigente: ISO/IEC 27701:2025 Segunda edición, publicada en octubre de 2025; anula y sustituye a la de 2019
Cambio principal: Norma de sistema de gestión independiente La edición de 2019 se redactó como extensión de ISO/IEC 27001 e ISO/IEC 27002
A quién se dirige: Responsables y encargados del tratamiento De cualquier tamaño, públicos, privados o sin ánimo de lucro
Estructura: Capítulos 4 a 10 y Anexos A a F Anexos A (controles) y B (guía) normativos; C a F, correspondencias con ISO/IEC 29100, RGPD, ISO/IEC 27018 y 29151, y la edición de 2019
Relación con el RGPD: Anexo D informativo Correspondencia con el Reglamento (UE) 2016/679; el certificado no sustituye al cumplimiento legal
Comité: ISO/IEC JTC 1/SC 27 Seguridad de la información, ciberseguridad y protección de la privacidad

Control documental

Versiones, aprobaciones y difusión con acuse de lectura.

Conectado a tu nube documental

Publica y versiona documentos conectando con OneDrive, Google Drive o SharePoint, sin duplicar carpetas.

Auditorías

Programa anual, checklists por norma y hallazgos vinculados a acciones.

No conformidades

Causa raíz, acción, responsable, plazo y verificación de eficacia.

Indicadores

Objetivos por proceso alimentados con datos reales de operación.

Requisitos legales

Registro de requisitos legales y de otro tipo, con vigencia y evaluación de cumplimiento por norma.

Acciones correctivas

Causa raíz, acción, responsable, plazo y verificación de eficacia enlazados a la no conformidad.

Acciones de mejora

Oportunidades de mejora con responsable y seguimiento, más allá de corregir lo que ya ha fallado.

Revisión por la dirección

Informe pregenerado con indicadores, auditorías y no conformidades listo para la reunión.

Tratamientos y base jurídica

Cada actividad de tratamiento con su finalidad, sus categorías de datos, sus destinatarios y su plazo de supresión.

Derechos de los interesados

Solicitudes de acceso, supresión u oposición con su plazo de un mes vigilado y la respuesta registrada.

Brechas de datos

Registro de cada brecha con la decisión de notificar y el reloj de las 72 horas a la vista.

Encargados del tratamiento

Contratos, subencargados autorizados y revisión periódica de cada proveedor que trata datos por cuenta de la empresa.

Requisitos cubiertos

Qué te resuelve para ISO 27701

Registro de actividades de tratamiento con su base jurídica
Evaluación de riesgos y de impacto en la privacidad
Solicitudes de derechos atendidas dentro de plazo
Registro y notificación de brechas de datos personales
Contratos y control de encargados y subencargados
Declaración de aplicabilidad de los controles de privacidad

Normas cubiertas

Elige tu norma y mira qué te resuelve

APPCC Análisis de peligros y puntos críticos Alimentaria IATF 16949 Automoción Automoción UNE 19602 Compliance tributario Compliance · fiscal ENS Esquema Nacional de Seguridad Seguridad · sector público SQAS2022 Evaluación química y logística Calidad · química y logística ISO 22716 Fabricación cosmética Calidad · cosmética UNE 73401 Garantía de calidad nuclear Calidad · nuclear ISO 14064 Gases de efecto invernadero Medio ambiente · huella de carbono ISO 14001 Gestión ambiental Medio ambiente ISO 9001 Gestión de la calidad Calidad · todos los sectores ISO 27701 Gestión de la privacidad Ciberseguridad Sostenibilidad Gestión de la sostenibilidad ESG ISO 20000 Gestión de servicios TI Calidad · servicios TI SGE 21 Gestión ética y responsable Responsabilidad social ISO 22000 Inocuidad alimentaria Alimentaria ISO 15189 Laboratorios clínicos Calidad · sanitario ISO 17025 Laboratorios de ensayo y calibración Calidad · laboratorios BRCGS Norma global de alimentación Alimentaria ISO 13485 Productos sanitarios Sanitario RGPD Protección de datos Legal · protección de datos ISO 26000:2010 Responsabilidad social Responsabilidad social · guía IFS Food Seguridad alimentaria Alimentaria ISO 27001 Seguridad de la información Ciberseguridad GMP+ Seguridad en piensos Alimentaria · piensos ISO 45001 Seguridad y salud laboral PRL FSSC 22000 Sistema de gestión alimentaria Alimentaria ISO 19600 Sistemas de gestión de compliance Compliance · guía ISO 37301 Sistemas de gestión de compliance Compliance

Modelos y registros

Los registros de ISO 27701, explicados uno a uno

Qué apartado de ISO 27701 pide cada registro, qué campos necesita, un ejemplo cumplimentado y lo que suele señalar el auditor.

Ver todos los modelos y registros de ISO 27701

Vocabulario

Los términos, dichos con precisión

PIMS: Sistema de gestión de la información de privacidad: el conjunto de políticas, procesos, controles y registros con el que una organización gobierna los datos personales que trata y demuestra que lo hace bien.
Responsable del tratamiento: Quien decide para qué y cómo se tratan los datos personales. La norma lo llama PII controller y le dedica un grupo propio de controles.
Encargado del tratamiento: Quien trata datos personales por cuenta del responsable y siguiendo sus instrucciones, como un proveedor de nóminas o de alojamiento. En la norma, PII processor.
Información de identificación personal (PII): Término que usa la norma para lo que el RGPD llama datos personales: cualquier información que identifica o puede identificar a una persona física.
Evaluación de impacto (EIPD): Análisis previo de un tratamiento que puede entrañar un alto riesgo para las personas, con las medidas para reducirlo. El RGPD la exige en esos casos en su artículo 35.
Declaración de aplicabilidad: Documento que enumera los controles del Anexo A, indica cuáles se aplican y justifica los excluidos. Es la pieza que une la evaluación de riesgos con lo que de verdad se hace.

Preguntas frecuentes

Lo que nos preguntan antes de empezar

¿En qué edición está la norma?

La versión vigente es ISO/IEC 27701:2025. Cuando el organismo publica una edición nueva se abre un periodo de transición, terminado el cual los certificados emitidos contra la anterior dejan de ser válidos.

¿Sirve si ya estamos certificados?

Sí. Se carga el sistema actual —procesos, documentos, registros, historial de auditorías— y se mantiene vivo desde el primer día. No hay que rediseñar nada ni volver a empezar el ciclo de certificación.

¿El auditor acepta registros digitales?

Sí, siempre que sean trazables, estén controlados y se pueda demostrar quién hizo qué y cuándo. Ninguna norma exige papel; lo que exigen todas es evidencia fiable, y un registro electrónico bien controlado la da mejor que una carpeta.

¿Puedo combinarla con otras normas?

Sí, y es lo recomendable. La estructura común del Anexo SL permite un sistema integrado que comparte mapa de procesos, control documental, auditorías internas, no conformidades e indicadores entre ISO 27701 y el resto, dejando separado solo lo específico de cada una.

¿Cuánto se tarda en tener el sistema listo para auditar?

Depende del punto de partida. Una organización que ya trabaja con procedimientos escritos suele estar en condiciones en dos o tres meses; una que parte de cero necesita más, y el cuello de botella casi nunca es la herramienta sino la disponibilidad de las personas que conocen los procesos.

¿Qué pasa con la documentación que ya tenemos?

Se migra. Los procedimientos, formatos y registros existentes se cargan con su versión y su aprobador, de modo que el histórico no se pierde y el sistema arranca con la memoria que ya tenía la organización.

¿Puede entrar el auditor a mirar directamente?

Sí. Se le da un acceso de solo lectura con el alcance que se decida y una fecha de caducidad. Es más cómodo para ambas partes que preparar una carpeta con capturas y exportaciones.

¿Qué diferencia hay entre una no conformidad mayor y una menor?

La mayor compromete la capacidad del sistema para cumplir un requisito —ausencia total de un proceso exigido, incumplimiento sistemático, fallo con impacto en el producto— y suele impedir la certificación hasta que se cierra. La menor es un fallo puntual que se corrige con un plan de acción.

¿Los indicadores se calculan solos?

Sí, a partir de los datos que generan los propios procesos. Es la diferencia entre un cuadro de mando que refleja lo que pasa y una hoja de cálculo que alguien rellena la semana antes de la revisión por la dirección.

¿Sirve para varios centros de trabajo o sociedades?

Sí. El modelo es multiempresa y multicentro: se comparte lo que tenga sentido compartir y se separa lo que sea propio de cada emplazamiento, incluido el alcance del certificado si difiere entre ellos.

Prepara tu auditoría de ISO 27701

Te enseñamos el módulo funcionando con datos parecidos a los tuyos.

Pedir una demo

Sigue explorando

Páginas relacionadas

Software para ISO 27701 — Gestión de la privacidad

Kimobox es un software para ISO 27701 que digitaliza los requisitos de la norma: registro de actividades de tratamiento con su base jurídica, evaluación de riesgos y de impacto en la privacidad, solicitudes de derechos atendidas dentro de plazo, registro y notificación de brechas de datos personales, con trazabilidad completa y evidencia disponible para el auditor.

La plataforma permite mantener un sistema integrado de gestión que combina ISO 27701 con otras normas ISO y protocolos sectoriales, compartiendo mapa de procesos, control documental, auditorías internas, no conformidades e indicadores.