ISO 27701: gestión de la privacidad sobre ISO 27001

En breve: La ISO 27701 define un sistema de gestión de la información de privacidad (PIMS). Nació como extensión de la ISO 27001 y, desde su edición del 14 de octubre de 2025, también puede implantarse y certificarse de forma independiente, aunque lo natural si ya tienes la 27001 es montarlo sobre ella. Ayuda a demostrar responsabilidad proactiva ante el RGPD, pero no sustituye ni certifica por sí sola el cumplimiento del RGPD.

¿Qué es exactamente la ISO 27701 y por qué se dice que es una extensión de la ISO 27001?

Cuando un cliente me pregunta por la ISO 27701, la primera aclaración que hago es esta: nació como una capa que se apoyaba sobre la ISO 27001 y, desde su edición de octubre de 2025, es una norma de sistema de gestión con requisitos propios, certificable por sí sola —aunque en la práctica casi siempre se monta sobre un SGSI ISO 27001 ya implantado. La ISO/IEC 27701 amplía el sistema de gestión de la seguridad de la información (SGSI) que ya tienes certificado, o estás construyendo, añadiendo requisitos específicos de privacidad, hasta convertirlo en lo que la norma llama un sistema de gestión de la información de privacidad, o PIMS por sus siglas en inglés.

Dicho de forma sencilla: la ISO 27001 protege la información en general (confidencialidad, integridad, disponibilidad); la ISO 27701 coge esa misma estructura y le añade el foco concreto en los datos personales, es decir, cómo los recoges, para qué los usas, cuánto tiempo los conservas, con quién los compartes y cómo respondes cuando alguien ejerce sus derechos. Con la edición de 2019 no podías certificarte en ISO 27701 sin tener antes un SGSI ISO 27001, propio o de la organización a la que perteneces, funcionando como base; desde la edición de 2025 existe también la vía independiente, aunque la integrada sigue siendo la natural.

La revisión de 2025: de extensión a norma con vida propia

Hasta 2025, la respuesta a «¿puedo certificarme en ISO 27701 sin la 27001?» era un no rotundo. La edición de 2019 estaba construida sobre el esqueleto de la ISO 27001: se redactaba como requisitos y controles adicionales a los de aquella, así que sin SGSI no había dónde apoyar el sistema de privacidad.

La edición del 14 de octubre de 2025 rompe esa dependencia. Según los resúmenes públicos de BSI y DNV —el texto de la norma no es de acceso libre, así que aquí se explica funcionalmente—, la 27701 adopta la estructura armonizada de las normas de gestión ISO, la que reconocerás si has trabajado con la ISO 9001, y pasa a contener requisitos completos por sí misma. BSI lo formula sin rodeos: su aplicación ya no depende de implantar la ISO/IEC 27001 ni la ISO/IEC 27002.

Lo hace operativo una segunda norma publicada el mismo día: la ISO/IEC 27706:2025, que fija los requisitos para las entidades que auditan y certifican un PIMS. Sin ella, «certificable de forma independiente» sería una declaración de intenciones; con ella, las certificadoras tienen contra qué acreditarse. En mayo de 2026 la cooperación europea de acreditación la declaró aplicable para acreditar este tipo de certificación.

Los tres caminos, comparados

La confusión más cara del mercado es tratar como equivalentes tres cosas distintas:

Que la vía independiente exista no significa que siempre convenga: un PIMS sin gestión de seguridad debajo protege el «qué» sin resolver del todo el «cómo». Puedes tener un inventario de tratamientos impecable y los servidores sin parchear. Si estás decidiendo por dónde empezar, el comparador ISO 27001 o ENS te sitúa en el mapa, y el área de cumplimiento ISO recoge el resto de la familia.

Si ya estabas certificado con la edición de 2019

Los certificados de la edición de 2019 no caducan de un día para otro: conviven las dos ediciones mientras las certificadoras migran a sus clientes en las auditorías ya programadas. Lo que sí hay, y muchas páginas de consultoría siguen diciendo que no, es un calendario publicado.

Quién fija el plazo: en España lo ha fijado ENAC

El calendario obligatorio de transición lo fijaba históricamente el IAF, el foro internacional de acreditación. El IAF y el ILAC se fusionaron en la Global Accreditation Cooperation Incorporated y ambos cesaron operaciones el 1 de enero de 2026, así que un texto que hoy diga «estamos a la espera de que el IAF publique el plazo» describe a un organismo que ya no opera. En España el organismo de acreditación es ENAC, y su plan de transición está publicado desde julio de 2026. Fija dos fechas:

1. 1 de julio de 2027. Todas las auditorías iniciales y de renovación se harán ya contra la edición de 2025. Desde esa fecha no se pueden emitir, con la condición de acreditados, nuevos certificados frente a la ISO/IEC 27701:2019 ni renovar los ya emitidos.
2. 1 de julio de 2030. Los certificados emitidos frente a la edición de 2019 dejan de tener la condición de acreditados.

Y una condición previa a las dos fechas: una certificadora solo puede emitir certificados acreditados de la edición de 2025 cuando su anexo técnico refleje la acreditación frente a la ISO/IEC 27706:2025. Ese anexo es público y se consulta antes de firmar.

Las fechas del 31 de octubre de 2027 y el 31 de octubre de 2028 que circulan por el mercado son reales, pero británicas: salen del boletín técnico de UKAS de marzo de 2026 y se refieren a las entidades acreditadas por UKAS y a sus clientes. A una empresa española no le aplican. Pedir a tu certificadora por escrito cómo aplica el calendario de ENAC a tu ciclo sigue siendo buena práctica; lo que ya no es cierto es que sea el único plazo.

Plan de transición en cuatro pasos

1. Encájala en una auditoría que ya tenías, de seguimiento o de renovación, en vez de contratar una extraordinaria. Con el 1 de julio de 2027 como frontera hay margen para hacerlo sin prisas; confirmar antes que el anexo técnico de tu certificadora ya cubre la ISO/IEC 27706:2025 evita repetir la visita.
2. Reordena la declaración de aplicabilidad a la numeración y agrupación de controles de la nueva edición: es la tarea documental más larga y es mecánica, no conceptual.
3. Revisa el análisis de riesgos para que el riesgo para las personas quede separado y trazado, no diluido dentro del riesgo para el negocio.
4. Cierra con una auditoría interna contra la edición nueva antes de que venga la externa. Si algo se ha quedado en la versión antigua, aparecerá ahí y no en el informe de certificación.

Si ya viviste el paso de la ISO 27001:2013 a la de 2022, el patrón te sonará: lo conté en la guía de transición de la ISO 27001, y el trabajo fue más de reordenar que de rehacer.

¿La ISO 27701 significa que ya cumplo el RGPD?

No. La ISO 27701 certifica tu sistema de gestión de la privacidad, que es una ayuda seria para demostrar responsabilidad proactiva, pero no acredita la conformidad legal de tus tratamientos. Esa acreditación es el mecanismo del artículo 42 del RGPD, con sellos aprobados por el CEPD como Europrivacy y emitidos por organismos acreditados del artículo 43. Son vías complementarias, no intercambiables.

En la práctica, esto significa que puedes tener la ISO 27701 y aun así tener aspectos del RGPD por resolver, o al revés: cumplir razonablemente bien el RGPD sin tener ninguna certificación ISO. La norma te da un marco de gestión (procesos, roles, revisiones periódicas, documentación) que facilita mucho el cumplimiento, pero la responsabilidad legal sigue siendo tuya y sigue dependiendo de cómo apliques la normativa a tu caso concreto. Si tienes dudas sobre una base legal, un tratamiento de datos concreto o cómo encaja todo esto con otros marcos como el Esquema Nacional de Seguridad, conviene revisarlo caso por caso; en este artículo sobre cómo encajan el ENS y el RGPD explico algo parecido para quien tiene que combinar varios marcos a la vez.

ISO 27701 y la certificación del artículo 42 del RGPD: no son lo mismo

El RGPD prevé en su artículo 42 mecanismos de certificación específicos, aprobados por las autoridades de control o por el Comité Europeo de Protección de Datos (CEPD), para demostrar el cumplimiento de tratamientos concretos. El primer sello europeo por esa vía es Europrivacy: el CEPD adoptó el 10 de octubre de 2022 su Dictamen 28/2022 sobre sus criterios como Sello Europeo de Protección de Datos del artículo 42.5, y lo emiten organismos acreditados conforme al artículo 43.

La ISO 27701 no forma parte de ese mecanismo: certifica tu sistema de gestión de la privacidad, no la conformidad legal de tus tratamientos. Quien te diga que con la 27701 «ya cumples el RGPD» te está vendiendo mal la norma. Para una pyme el orden razonable es: primero los deberes básicos del Reglamento —los repaso en la guía simplificada de RGPD para pymes—, después un sistema de gestión que los mantenga vivos, y solo si un cliente lo exige, una certificación del artículo 42.

¿Qué necesita tener mi empresa antes de empezar con la ISO 27701?

Antes de plantearte la ISO 27701, revisa estos tres puntos:

• Un SGSI operativo. No hace falta tenerlo certificado el primer día, pero sí tener implantada la lógica de la ISO 27001: análisis de riesgos, controles, mejora continua. Si todavía no la tienes, desde la edición de 2025 ya no es un requisito previo: puedes certificar el PIMS por separado. Sigue siendo, eso sí, el punto de partida más barato, porque el PIMS reutiliza su análisis de riesgos y su ciclo de auditorías.
• Un mapa de tratamientos de datos personales. Qué datos personales tratas, de quién, con qué finalidad, dónde se almacenan y quién tiene acceso. Sin este inventario, cualquier trabajo posterior se construye sobre arena.
• Claridad sobre tu rol. Si en cada tratamiento actúas como responsable, porque decides tú los fines, o como encargado, porque tratas datos por cuenta de un cliente, ya que los requisitos que te aplican cambian según el papel que juegues en cada caso.

¿Cómo se implementa la ISO 27701 en una pyme, paso a paso?

El proceso, simplificado, se parece bastante al de cualquier sistema de gestión ISO, pero con foco en privacidad:

1. Diagnóstico inicial. Comparas tu situación actual (procesos, documentación, controles) con lo que exige la norma y detectas las brechas.
2. Definición del alcance. Decides qué procesos, departamentos o servicios entran dentro del sistema de gestión de privacidad. No hace falta abarcar toda la empresa desde el primer momento.
3. Análisis de riesgos de privacidad. Además de los riesgos de seguridad que ya trabajas en la ISO 27001, identificas riesgos específicos para las personas cuyos datos tratas: pérdida, uso indebido, falta de transparencia, plazos de conservación incumplidos.
4. Documentación de políticas y procedimientos. Aquí conecta directamente con tu política de seguridad de la información: la de privacidad no la sustituye, la complementa con procedimientos propios, como la gestión de derechos de las personas, la gestión de brechas de datos personales o la relación con encargados y subencargados.
5. Implantación de controles. Pones en marcha las medidas necesarias: desde cláusulas contractuales con proveedores que tratan datos por tu cuenta, hasta procedimientos internos para responder a una solicitud de acceso o supresión en plazo.
6. Auditoría interna y revisión por la dirección. Compruebas que el sistema funciona en el día a día, no solo sobre el papel, y la dirección revisa resultados y decide ajustes.
7. Auditoría de certificación. Si decides certificarte, una entidad externa acreditada verifica que el sistema cumple los requisitos de la norma.

Un matiz importante: nada de esto obliga a certificarse. Muchas pymes implantan la lógica de la ISO 27701 como marco de trabajo interno, sin pasar por auditoría externa, simplemente porque ordena la gestión de la privacidad y facilita responder con criterio cuando un cliente grande pregunta cómo gestionan los datos personales que le confía.

¿Qué papel juega ser responsable o encargado del tratamiento en la norma?

La ISO 27701 diferencia con bastante cuidado entre las organizaciones que actúan como responsables del tratamiento, que deciden los fines y medios de un tratamiento de datos, y las que actúan como encargadas, que tratan datos por cuenta de otro, típicamente un proveedor de software, un gestor, una consultora o una asesoría. Los requisitos y controles que te aplican no son idénticos en ambos casos.

Esto es especialmente relevante para pymes que prestan servicios B2B: una gestoría, una asesoría, un desarrollador de software o un proveedor de marketing suelen actuar como encargados del tratamiento respecto a los datos de sus clientes, y sus propios clientes cada vez piden más garantías documentadas de que gestionan esos datos con criterio. Tener claro en qué papel actúas en cada relación contractual es el primer filtro para saber qué parte de la norma te afecta de verdad.

¿Qué errores cometen las pymes al abordar la ISO 27701?

Los que veo repetirse con más frecuencia:

• Empezar por la 27701 sin tener resuelta la 27001. Es como poner un tejado sin haber terminado la estructura: la norma exige explícitamente un SGSI como base, y saltárselo genera un sistema de privacidad sin cimientos.
• Confundir la certificación con el cumplimiento legal. Ya lo he mencionado, pero merece repetirse: presentar la ISO 27701 como si fuera una certificación de RGPD es inexacto y puede generar problemas si un cliente o la autoridad de control lo comprueba.
• Documentar de más y aplicar de menos. Procedimientos impecables en PDF que nadie sigue en el día a día. Un auditor, externo o de un cliente grande, detecta esto en la primera entrevista al personal.
• No revisar a los subencargados. Si tú tratas datos por cuenta de un cliente y a su vez usas proveedores (hosting, herramientas de email marketing, CRM, servicios en la nube), esos proveedores entran en tu cadena de responsabilidad y hay que tenerlos mapeados y contractualmente cubiertos.
• Tratar la privacidad como un proyecto puntual. El valor real de la norma está en la revisión periódica: los tratamientos de datos cambian cuando cambias de CRM, lanzas una nueva campaña o contratas un proveedor nuevo, y el sistema tiene que actualizarse con esos cambios.

Cuánto cuesta añadir la ISO 27701 a una ISO 27001 ya implantada

Con la base de la 27001 funcionando, el sobrecoste tiene dos componentes. La consultoría de ampliación, para una pyme de servicios con alcance contenido, se movía a mediados de 2026 entre 3.000 y 9.000 euros, según el número de tratamientos, el rol predominante —el de encargado exige bastante más trabajo contractual— y la madurez del SGSI de partida. Son horquillas de mercado observadas, no tarifas ni cifras de fuente normativa: pide presupuesto sobre tu alcance real.

La auditoría: certificar el PIMS junto al SGSI en un ciclo integrado añade jornadas a las que ya pagas, con un incremento moderado; certificarlo por separado duplica estructuras, calendarios y visitas, y rara vez compensa a quien ya tiene la 27001. Las cifras de partida las desgloso en cuánto cuesta la ISO 27001. Y un aviso que ahorra disgustos: el certificado solo vale lo que vale su acreditación.

¿Le compensa a una pyme certificarse en ISO 27701?

Depende sobre todo de a quién le vendes. Si trabajas con grandes clientes, administraciones públicas o sectores regulados (salud, finanzas, seguros) que exigen garantías documentadas sobre cómo tratas datos personales, la certificación se convierte en un argumento comercial y a veces en un requisito para homologarte como proveedor. Si tu cartera es de clientes pequeños y locales, puede que te compense más implantar la lógica de la norma como marco interno de trabajo (ordenar procesos, documentar decisiones, revisar riesgos) sin asumir el coste y el mantenimiento de una certificación formal.

En cualquier caso, mi recomendación con las pymes que acompaño es siempre la misma: no empieces por la norma, empieza por entender qué datos tratas, con qué base legal y con qué riesgo real para las personas. La ISO 27701 es una herramienta muy útil para ordenar esa gestión y para demostrarla ante terceros, pero es una herramienta, no el objetivo. Si quieres revisar si tu empresa está en el punto de partida adecuado para abordar la ISO 27001 y, sobre esa base, plantearte la 27701, en la consultoría ISO que ofrezco empezamos siempre por ese diagnóstico antes de hablar de auditorías ni de certificaciones.

Preguntas frecuentes

¿Puedo certificarme en ISO 27701 sin tener la ISO 27001?

Desde la edición publicada el 14 de octubre de 2025, sí: dejó de depender de la ISO/IEC 27001 y de la ISO/IEC 27002 y es certificable de forma independiente. Con la edición de 2019 no era posible. Aun así, si ya tienes la 27001 o piensas tenerla, el camino integrado sigue siendo más barato y más sólido, porque reutiliza el análisis de riesgos, la estructura documental y el ciclo de auditorías.

¿Mi certificado ISO 27701:2019 sigue valiendo?

Sí, y con fecha de caducidad conocida. El plan de transición de ENAC fija que desde el 1 de julio de 2027 las auditorías iniciales y de renovación se harán ya contra la edición de 2025, y que a partir del 1 de julio de 2030 los certificados emitidos frente a la 27701:2019 dejan de tener la condición de acreditados. Planifica la migración coincidiendo con una auditoría de seguimiento o de renovación y confirma con tu certificadora, por escrito, cómo aplica ese calendario a tu ciclo.

¿Qué cambia en los controles con la edición de 2025?

Sin citar el texto de la norma, que no es público: la estructura pasa a la armonizada de las normas de gestión ISO y los controles de privacidad se reorganizan manteniendo la separación entre los que aplican como responsable y los que aplican como encargado. La guía de implantación se separa de los requisitos exigibles y el mapeo con los artículos del RGPD queda en su propio anexo. Adaptarse es más reordenar que rehacer.

Fuentes

• ENAC, «TR ISO/IEC 27701:2025 · Plan de Transición para las entidades de certificación de sistemas de gestión de privacidad de la información», Rev. 1, julio de 2026. Es el documento que fija el calendario aplicable en España: PDF en enac.es, enlazado desde Nuevos documentos publicados. Consultado el 1-ago-2026.
• UKAS, «Technical Bulletin: Transition Arrangements for Privacy Information Management Systems (PIMS) ISO/IEC 27701:2025 & ISO/IEC 27706:2025», 18 de marzo de 2026. De ahí salen el 31-oct-2027 y el 31-oct-2028, que son plazos británicos: boletín en ukas.com. Consultado el 1-ago-2026.
• ISO/IEC 27701:2025, publicada el 14 de octubre de 2025. Resúmenes públicos de cambios de entidades de certificación, consultados el 31-jul-2026: BSI («stand-alone standard… no longer dependent on the implementation of ISO/IEC 27001 or ISO/IEC 27002») y DNV. El texto de la norma no es de acceso público; la explicación de este artículo es funcional y no cita cláusulas.
• ISO/IEC 27706:2025, requisitos para las entidades que auditan y certifican un PIMS. Ficha en la tienda de AENOR, consultada el 31-jul-2026, junto con la de la ISO/IEC 27701:2025.
• Reorganización de anexos y separación de controles por rol: Asociación Española para la Calidad · «De extensión a estándar independiente», consultado el 31-jul-2026.
• Reglamento (UE) 2016/679 (RGPD), CELEX 32016R0679: artículo 28 «Encargado del tratamiento», artículo 42 «Certificación» y artículo 43 «Organismo de certificación».
• CEPD, Dictamen 28/2022 sobre los criterios de certificación de Europrivacy como Sello Europeo de Protección de Datos (art. 42.5 del RGPD), adoptado el 10 de octubre de 2022.
• Cese de operaciones del IAF y del ILAC el 1 de enero de 2026 y sucesión por la Global Accreditation Cooperation Incorporated: aviso publicado en la web del IAF, consultada el 1-ago-2026.