La recientemente publicada norma UNE-EN ISO/IEC 27701 establece los controles necesarios para la implementación de un Sistema de Gestión de la Privacidad de la Información (SGPI). De esta forma, ofrece los mecanismos necesarios para conseguir una adecuada gobernanza y gestión del dato dentro de las organizaciones certificadas.
No obstante, se debe recordar que esta norma debe implementarse sobre la base y sistemas que compongan un Sistema de Gestión de la Seguridad de la Información (SGSI) previo. A pesar de ello, actualmente se encuentra en proceso de redacción una norma ISO/IEC 27701 que pueda ser certificada de forma independiente.
División de la norma
Esta norma se divide en cuatro grupos de controles. Los apartados son:
- 5: Amplía los controles impuestos por la ISO/IEC 27001, de forma que se adapten a la protección de los datos personales tratados por medio del SGSI.
- 6: Amplía los controles impuestos por la ISO/IEC 27002, de forma que se adapten a la protección de los datos personales tratados por medio del SGSI.
- 7: Impone nuevos controles adicionales para aquellas actividades de tratamiento sobre las que la entidad actúe como Responsable del Tratamiento.
- 8: Impone nuevos controles adicionales para aquellas actividades de tratamiento sobre las que la entidad actúe como Encargado del Tratamiento.
Sin embargo, la aplicación de esta norma no debe quedarse tan solo en la implementación inicial de la misma. Al igual que el resto de estándares internacionales promovidos por la ISO y otras organizaciones; la UNE-EN ISO/IEC 27701 impone un Sistema de Gestión basado en el ciclo:
PLAN – DO – CHECK – ACT
Protección de datos mediante la auditoría interna
Por tanto, la auditoría interna adquiere una vital importancia en la eficacia y eficiencia del SGPI. A través de la misma, las entidades certificadas podrán encontrar posibles puntos de mejoras y deficiencias que pudiera tener el Sistema de Gestión; a partir de las cuales podrán actuar a fin de subsanarlos y ofrecer posibles soluciones.
Desde Key Auditors, ofrecemos nuestra experiencia en materia de protección de datos, gobernanza y Sistemas de Gestión; gracias a las cuales podremos ayudar a tu organización alcanzar un nivel más elevado en la gestión del dato y la protección de los derechos y libertades de los interesados.