Un sistema de gestión de privacidad sobre ISO/IEC 27701:2025, alineado a la Ley 21.719 y al GDPR a la vez.
La revisión de 2025 convirtió la ISO/IEC 27701 en una norma autónoma: ya no es una extensión que obligue a certificar ISO 27001 antes. Eso la pone al alcance de organizaciones que necesitan demostrar gobierno de privacidad sin montar primero un sistema de gestión de seguridad completo.
La transición tiene fecha: quien ya esté certificado bajo la edición de 2019 debe pasar a la de 2025 antes de octubre de 2028 — los certificados vigentes valen hasta su expiración o hasta ese plazo, lo que ocurra primero. Y el circuito acreditado ya está completo: la ISO/IEC 27706:2025 reemplazó a la ISO/IEC TS 27006-2:2021 como norma de los organismos certificadores, de modo que certificar el sistema de privacidad por sí solo es auditable hoy y no una expectativa.
Y hay una razón local con fecha: la Ley 21.719 entra en vigencia el 1 de diciembre de 2026 —faltan 96 días— y alcanza a cualquier organización que trate datos personales, no solo a operadores críticos. Una implementación seria toma de tres a seis meses. Quien además tenga clientes o proveedores en Europa necesita responder al GDPR con la misma evidencia. Este programa produce una sola documentación que sirve para los tres marcos, en vez de tres proyectos que después nadie reconcilia.
La norma y su referencia
ISO/IEC 27701:2025 — sistema de gestión de privacidad
ISO/IEC 29100 — marco de privacidad, su única referencia normativa
ISO/IEC 27706:2025 — certificación del PIMS (organismos)
Correspondencias que trae la propia norma
GDPR — anexo D
ISO/IEC 27018 y ISO/IEC 29151 — anexo E
ISO/IEC 27701:2019 — anexo F, para quien viene de la edición anterior
Metodología que aportamos
ISO/IEC 29134 — evaluación de impacto en la privacidad
ISO 31000 — gestión de riesgo
ISO/IEC 27002 — controles de seguridad
Todo lo de esta sección está citado por artículo y verificado contra el texto consolidado. Si la ley no lo exige, aquí no aparece como obligatorio — y lo que sí exige y suele omitirse, está marcado.
Para pronunciarse sobre una solicitud del titular
Art. 11De prórroga, y sólo se puede usar una vez
Art. 11Para responder una solicitud de bloqueo temporal
Art. 11Las brechas se reportan «sin dilaciones indebidas»
Art. 14 sexies14 deberes agrupados por tema. Toque uno para abrirlo.
Acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Son personales, intransferibles e irrenunciables, y no se pueden limitar por ningún acto o convención.
Procedimiento con los seis canales, autenticación de identidad del solicitante y criterios de denegación fundada.
Acusar recibo y pronunciarse en 30 días corridos, prorrogables una sola vez por otros 30. Hay que almacenar el respaldo que demuestre la remisión de la respuesta, su fecha y su contenido íntegro. El bloqueo temporal se responde en 2 días hábiles, y mientras no se resuelva no se pueden tratar esos datos.
Registro de solicitudes con control de plazos, plantillas de respuesta y expediente probatorio por solicitud.
El sitio web debe mantener «al menos» doce contenidos, de la letra a) a la l): la política de tratamiento con fecha y versión; el responsable y su representante legal; el canal de contacto; las categorías de datos, el universo de titulares, los destinatarios, las finalidades y la base de legitimidad; las medidas de seguridad; los derechos del titular; el derecho a recurrir ante la Agencia; las transferencias internacionales y sus garantías; el plazo de conservación; la fuente de los datos; el derecho a retirar el consentimiento; y la existencia de decisiones automatizadas con información sobre la lógica aplicada.
Política pública redactada contra las doce letras, versionada y publicada. Es un superconjunto del registro de actividades del artículo 30 del GDPR, y encima público.
Informar y poner a disposición del titular los antecedentes que acrediten la licitud del tratamiento, y entregarlos de manera expedita cuando se los pidan. Recoger de fuentes lícitas con fines específicos y explícitos. Comunicar información exacta, completa y actual. Suprimir o anonimizar lo obtenido para medidas precontractuales.
Inventario de tratamientos con finalidad y base de licitud declaradas por cada uno, y reglas de supresión al cerrar la finalidad.
El deber de secreto subsiste aun después de concluida la relación con el titular. Y hay una trampa habitual: si se toman datos de fuentes públicas y se organizan, clasifican, combinan o complementan, el resultado queda protegido por el mismo deber.
Cláusulas de confidencialidad en contratos laborales y de encargo, control de acceso por rol, y tratamiento de las fuentes públicas como lo que pasan a ser al enriquecerlas.
Medidas técnicas y organizativas aplicadas con anterioridad y durante el tratamiento, considerando el estado de la técnica, los costos, la naturaleza y los riesgos. Y por defecto, tratar sólo los datos estrictamente necesarios, atendiendo al número de datos, la extensión, el plazo de conservación y la accesibilidad.
Controles de privacidad incorporados a los procesos y sistemas que ya existen, no en un anexo aparte.
Las medidas deben asegurar confidencialidad, integridad, disponibilidad y resiliencia, e incluir «entre otros» la seudonimización y el cifrado, la capacidad de restaurar el acceso con rapidez tras un incidente y un proceso de verificación regular de su eficacia. Ante un incidente y en controversia judicial o administrativa, corresponde al responsable acreditar que existían y funcionaban.
Controles del anexo A con evidencia fechada de operación. Es esa carga de la prueba invertida lo que convierte al expediente en la única defensa disponible.
Reportar a la Agencia «por los medios más expeditos posibles y sin dilaciones indebidas» cuando exista riesgo razonable para los derechos de los titulares, y llevar registro de esas comunicaciones. Si los datos son sensibles, de niños y niñas menores de catorce años o de carácter económico, financiero, bancario o comercial, hay que comunicarlo además a cada titular afectado, en lenguaje claro y sencillo; si no es posible, mediante aviso en un medio masivo de alcance nacional.
Procedimiento de brechas con árbol de decisión, plantillas de notificación a la Agencia y a los titulares, y registro de vulneraciones.
Los estándares mínimos de los deberes de información y de seguridad se gradúan por tipo de dato, por si el responsable es persona natural o jurídica, por el tamaño de la empresa según la Ley 20.416, por la actividad y por el volumen y las finalidades de los datos. La Agencia los fijará mediante instrucción general, que todavía no existe.
Alcance y profundidad dimensionados a la organización, con el criterio de graduación documentado para poder defenderlo.
Todo encargo se rige por contrato, y el contrato debe establecer objeto, duración, finalidad del tratamiento, tipo de datos, categorías de titulares y derechos y obligaciones de las partes. El encargado no puede subdelegar sin autorización específica y por escrito. Si trata los datos para un objeto distinto o los cede sin autorización, se le considera responsable para todos los efectos legales y responde solidariamente por los daños. Terminado el servicio, los datos se suprimen o se devuelven.
Contratos de encargo con los seis contenidos, cláusulas de subencargo y matriz de encargados cruzada contra el inventario. La Agencia publicará modelos tipo; los revisamos para que no se firmen en blanco.
Obligatoria previo al inicio del tratamiento cuando sea probable un alto riesgo, y siempre en cuatro casos: perfilado con efectos jurídicos significativos, tratamiento masivo o a gran escala, monitoreo sistemático de zonas de acceso público, y datos sensibles tratados bajo excepción del consentimiento.
Metodología sobre ISO/IEC 29134 y las evaluaciones de los tratamientos que caen en los cuatro supuestos, con la consulta previa a la Agencia cuando el resultado lo aconseje.
Los responsables, sean personas naturales o jurídicas, públicas o privadas, deberán adoptar acciones destinadas a prevenir la comisión de las infracciones de los artículos 34 bis, 34 ter y 34 quáter. El verbo es «deberán»: esto no es voluntario.
Análisis de riesgo de infracción por proceso y plan de acciones preventivas trazable a cada tipo infraccional.
El modelo de prevención se adopta voluntariamente y, si se adopta, debe contener siete elementos mínimos —empezando por designar un delegado y definir sus medios y facultades—. El delegado por sí solo también es potestativo: el responsable «podrá» designarlo, debe hacerlo la máxima autoridad, y en micro, pequeñas y medianas empresas el dueño puede asumir personalmente esas tareas.
Programa de cumplimiento con los siete elementos, descriptor del delegado y su incorporación a los contratos de trabajo o al reglamento interno, como exige el propio artículo 49.
Es la propia Agencia quien certifica el modelo, no un tercero, y quien lo supervisa. El certificado tiene una vigencia de tres años y decae por revocación, disolución, resolución judicial o cese de la actividad. Los certificados vigentes se publican en el Registro Nacional de Sanciones y Cumplimiento.
Preparación del expediente de certificación y del ciclo de supervisión, más el seguimiento de la renovación antes de que venza.
Si las medidas correctivas no se adoptan en 60 días, la multa lleva un recargo del 50%. Con reincidencia puede llegar a tres veces el monto.
El 2% o 4% de los ingresos anuales es un tope excepcional: sólo alcanza a empresas que no sean de menor tamaño y que reincidan en infracciones graves o gravísimas. Reincidir es haber sido sancionado dos o más veces en treinta meses, con las resoluciones firmes.
Todo se publica en el Registro Nacional de Sanciones y Cumplimiento, gratuito y público, y las anotaciones quedan visibles cinco años. Ahí también figura quién tiene un modelo certificado vigente.
Durante los primeros doce meses, a las empresas de menor tamaño la Agencia puede aplicar una amonestación escrita en lugar de la sanción. Puede, no debe — y la amonestación también se inscribe en el registro público.
Hay que inscribirse en un registro público
No existe tal registro. El artículo tercero transitorio ordena eliminar el de bancos de datos que llevaba el Registro Civil bajo el artículo 22 de la Ley 19.628, y no crea ninguno en su lugar. Lo que sí es obligatorio es publicar el contenido, por el artículo 14 ter.
Hay que nombrar un delegado de protección de datos
El artículo 50 dice que el responsable «podrá» designarlo, y el 14 ter b) se refiere al encargado de prevención «si existiere». En micro, pequeñas y medianas empresas el propio dueño puede asumir esas tareas. Lo que sí es obligatorio, por el artículo 48, es adoptar acciones de prevención.
Las brechas se notifican en 72 horas
Ese plazo es del GDPR. El artículo 14 sexies exige reportar «por los medios más expeditos posibles y sin dilaciones indebidas», que en la práctica es más exigente: no le concede a nadie tres días de margen.
Recorren las cláusulas 4 a 10 de la norma y los controles de su anexo A. Duración estimada de 4 a 7 meses según el tamaño y la complejidad de la organización.
GAP contra ISO 27701, Ley 21.719 y GDPR en una sola matriz. Alcance del sistema definido, con el rol declarado —responsable, encargado o ambos, porque la norma exige controles distintos para cada uno— e informe ejecutivo para la dirección.
Política pública de tratamiento con los contenidos del artículo 14 ter, política interna de privacidad, asignación nominal de la responsabilidad del sistema —la ISO 27701 exige un punto de contacto, la Ley 21.719 no obliga a nombrar delegado—, comité y objetivos de privacidad medibles.
Registro de Actividades de Tratamiento, del que salen las doce letras que el artículo 14 ter obliga a publicar, los datos que el artículo 15 bis exige declarar en cada contrato de encargo y la prueba de licitud del artículo 14 letra a). Con él, flujos de datos, finalidad y base de licitud por tratamiento, e inventario de transferencias internacionales con los países de destino y sus garantías.
Metodología de riesgo de privacidad, evaluaciones de impacto de los tratamientos de alto riesgo y la declaración de aplicabilidad: el documento donde se justifica cada control del anexo A que se excluye, y sin el cual no hay certificación.
Derechos de los titulares —incluida la copia de sus datos y las decisiones automatizadas—, notificación de brechas con los plazos de ambos marcos, contratos con encargados, retención, borrado seguro y desidentificación al terminar la finalidad.
Los controles que la norma exige aplicar antes de recolectar: minimización, limitación de la finalidad, exactitud y tratamiento de archivos temporales. Se integran en los procesos y sistemas que ya existen, no en un documento aparte.
Despliegue acompañado, capacitación por rol, expediente de evidencia, auditoría interna, revisión por la dirección y preparación para la certificación.
Valores netos en UF, de referencia para una empresa mediana. Abajo, el precio de integrarlo con Gobernanza de IA en un solo sistema de gestión.
ISO 27701
Un solo proyecto, no 2 por separado
El precio se ajusta al tamaño de su organización
Los valores de arriba son la referencia para una empresa mediana (51–200 empleados). Una organización más pequeña paga menos y una corporación más, porque el trabajo real —procesos, sedes, sistemas y personas a entrevistar— escala con ella. El ajuste va desde −25% hasta 10 empleados hasta +60% sobre 1.000. Se confirma en la propuesta.
Una llamada de 30 minutos, sin costo, para entender su situación y decirle con franqueza si este programa es lo que necesita.
Tu carrito está vacío
Agrega packs o planes de documentación normativa