Modelos y registros · ISO 27701 · Apartado 6.1.2 y 8.2
Modelo de evaluación de riesgos de privacidad ISO 27701
El análisis que decide qué controles hacen falta: qué puede salir mal con los datos personales, cuánto daño haría a las personas y quién se ocupa de cada riesgo.
En una frase
La evaluación de riesgos de privacidad identifica los riesgos asociados al tratamiento de datos personales, estima su probabilidad y sus consecuencias para las personas y la organización, los compara con los criterios de aceptación y asigna un propietario a cada uno, porque los apartados 6.1.2 y 8.2 de ISO/IEC 27701:2025 piden definir el proceso, aplicarlo a intervalos planificados y conservar sus resultados.
- Dónde lo pide la norma
- ISO 27701 · Apartado 6.1.2 y 8.2 Se cita la edición de 2025: los números de 4 a 10 son capítulos; A.1, A.2 y A.3 son las tablas del Anexo A con los controles del responsable, del encargado y comunes a ambos.
- Tipo de información
- Registro obligatorio Información documentada que hay que conservar (6.1.2 y 8.2)
- Quién lo rellena
- Responsable del PIMS, con los propietarios de los tratamientos El delegado de protección de datos asesora; el propietario acepta el riesgo residual
- Cuándo
- A intervalos planificados y ante cambios significativos Habitualmente una revisión anual y otra cada vez que entra un tratamiento o un sistema nuevo
- Cuánto se conserva
- Lo fija la organización Ni la norma ni el RGPD dan un plazo para el registro en sí; el principio de limitación del plazo de conservación (art. 5.1.e RGPD) obliga a justificar el que se elija.
Qué pide la norma
Lo que exige ISO 27701 y lo que deja a tu criterio
La norma pide definir un proceso de evaluación de riesgos de privacidad con criterios de aceptación y de evaluación, que dé resultados coherentes y comparables, y aplicarlo para identificar, analizar y valorar los riesgos con su propietario. El método —cualitativo, por matriz, por escenarios— lo elige la organización.
La evaluación se repite a intervalos planificados y cuando hay cambios significativos (8.2), y hay que conservar tanto la descripción del proceso como los resultados de cada evaluación.
Lo propio de la privacidad es mirar el daño a las personas, no solo a la empresa. El RGPD apunta en la misma dirección cuando pide medidas apropiadas al riesgo para los derechos y libertades (arts. 24 y 32).
Estructura
Campos que debe tener el modelo
- Tratamiento o activo evaluado
- Escenario de riesgo: qué puede pasar y por qué
- Consecuencias para los interesados y para la organización
- Probabilidad y nivel de impacto según los criterios
- Nivel de riesgo resultante y comparación con el criterio de aceptación
- Propietario del riesgo
- Opción de tratamiento y controles del Anexo A asociados
- Riesgo residual y aceptación por el propietario
- Fecha de evaluación y próxima revisión
Ejemplo
Ejemplo: riesgo en el portal de clientes de una clínica ficticia
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Tratamiento | RAT-02 · Citas y resultados en el portal de pacientes · Clínica Arlanza (ficticia) |
| Escenario | Acceso de un tercero a resultados de análisis por reutilización de contraseñas |
| Consecuencias | Revelación de datos de salud: daño alto para el paciente; notificación de brecha y pérdida de confianza |
| Valoración | Probabilidad media × impacto alto = riesgo alto (criterio de aceptación: medio) |
| Propietario | Dirección médica |
| Tratamiento | Mitigar: doble factor obligatorio y aviso de acceso por correo |
| Riesgo residual | Bajo · Aceptado por la dirección médica el 9 de abril de 2026 |
| Revisión | Abril de 2027 o antes si cambia el portal |
En la auditoría
Errores que suelen señalar los auditores
- Se reutiliza la evaluación de seguridad de ISO 27001 sin valorar el impacto sobre las personas.
- Los criterios de aceptación no están escritos y cada evaluador puntúa a su manera.
- Ningún riesgo tiene propietario fuera del departamento de sistemas.
- La evaluación no se repitió tras incorporar un proveedor de nube que trata datos de salud.
- El riesgo residual no está aceptado por nadie con autoridad.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1Los riesgos se registran en la matriz de riesgos con propietario, valoración y tratamiento.
- 2Cada riesgo se enlaza con el tratamiento del registro de actividades y con los controles de la declaración de aplicabilidad.
- 3La revisión periódica queda programada con aviso de vencimiento.
- 4Las brechas y no conformidades relacionadas alimentan el mapa de riesgos.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Es lo mismo que la evaluación de impacto del RGPD?
No. La evaluación de riesgos cubre todos los tratamientos del alcance y alimenta el sistema; la evaluación de impacto del artículo 35 es un análisis en profundidad, obligatorio solo cuando un tratamiento puede entrañar un alto riesgo. La primera suele señalar cuándo hace falta la segunda.
¿Se puede combinar con la de ISO 27001?
Sí, con una misma metodología y criterios ampliados para valorar el daño a las personas. Lo que no vale es suponer que un riesgo de seguridad bajo para la empresa es bajo para el interesado.
Lleva los registros de ISO 27701 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Riesgos de privacidad y planificación
Evaluar los riesgos de privacidad (6.1.2), tratarlos con una declaración de aplicabilidad (6.1.3) y fijar…
Modelo de registro de actividades de tratamiento ISO 27701
Qué debe recoger el registro de actividades de tratamiento en un PIMS ISO 27701 y en el art. 30 del RGPD…
Modelo de inventario de datos personales ISO 27701
Cómo montar un inventario de datos personales para un PIMS ISO 27701: dónde están los datos, en qué…
Modelo de declaración de aplicabilidad ISO 27701
Qué debe contener la declaración de aplicabilidad de un PIMS ISO 27701: controles del Anexo A, justificación…