Documentos obligatorios de ISO 27701:2025

ISO/IEC 27701:2025 sigue la estructura armonizada de los sistemas de gestión y exige como información documentada, entre otros: el alcance del sistema de gestión de la privacidad (4.3), la política de privacidad (5.2), los procesos y resultados de la evaluación y el tratamiento de riesgos de privacidad (6.1 y cláusula 8), la Declaración de Aplicabilidad de los controles del Anexo A, los objetivos de privacidad (6.2) y los registros de competencia, seguimiento, auditoría interna, revisión por la dirección y acciones correctivas. Además, los controles del Anexo A llevan a registros propios de la privacidad, como el registro de actividades de tratamiento.

Documentos exigidos por cláusula

Documento	Cláusula	Para qué sirve
Alcance del sistema de gestión de la privacidad	4.3	Define qué tratamientos, procesos y roles (responsable, encargado) quedan cubiertos
Política de privacidad	5.2	Compromisos de la dirección y marco para los objetivos
Proceso de evaluación de riesgos de privacidad	6.1	Criterios para identificar y valorar riesgos para la organización y para las personas
Proceso de tratamiento de riesgos y Declaración de Aplicabilidad	6.1	Controles elegidos de las tablas A.1, A.2 y A.3, justificación de inclusiones y exclusiones, estado
Objetivos de privacidad	6.2	Metas medibles y planes para lograrlas
Evidencia de competencia	7.2	Formación y experiencia de quienes tratan datos personales
Información para la operación	8.1	Lo necesario para confiar en que los procesos se ejecutan según lo planificado
Resultados de la evaluación y el tratamiento de riesgos	8	Registro de riesgos y plan de tratamiento actualizados
Resultados de seguimiento y medición	9.1	Indicadores y su análisis
Programa y resultados de auditoría interna	9.2	Plan, informes y hallazgos
Resultados de la revisión por la dirección	9.3	Decisiones y acciones de la dirección
No conformidades y acciones correctivas	10.2	Qué falló, causa, acción y resultado

La cláusula 7.5 agrega la información documentada que la propia organización considere necesaria. Use esta lista como guía y verifique cada requisito en el texto oficial de la norma, que se compra a ISO o al organismo de normalización de su país.

Registros de privacidad que piden los controles del Anexo A

**Registro de actividades de tratamiento** como responsable y como encargado: finalidad, base de licitud, categorías de datos y de personas, destinatarios, transferencias y plazos de conservación.
**Evaluaciones de impacto en la privacidad (EIPD)** de los tratamientos de alto riesgo.
**Registro de solicitudes de los titulares** (acceso, rectificación, supresión, oposición) con fechas y respuestas.
**Registro de filtraciones e incidentes** con su evaluación y notificaciones.
**Registro de transferencias y comunicaciones** a terceros y a otros países.
**Contratos con encargados y subencargados** y evidencia de su revisión.
**Avisos de privacidad** vigentes y evidencia del consentimiento cuando esa sea la base.

Errores frecuentes

Copiar la Declaración de Aplicabilidad de 2019: en 2025 los controles se reorganizaron en las tablas A.1, A.2 y A.3.
Definir el alcance sin decir en qué tratamientos la organización es responsable y en cuáles es encargada.
Evaluar riesgos solo para la empresa y no para las personas cuyos datos se tratan.
Tener políticas aprobadas pero ningún registro que muestre que se aplican (solicitudes, filtraciones, capacitación).
Suponer que la certificación demuestra el cumplimiento de una ley concreta, como el RGPD o la Ley 21.719.

Cómo ordenar la documentación

Organice los documentos según las cláusulas 4 a 10, con un índice maestro que indique dueño, versión y fecha de revisión de cada uno. Si ya tiene un SGSI ISO/IEC 27001, comparta el control documental, la auditoría interna y la revisión por la dirección, y agregue lo propio de la privacidad: roles de responsable y encargado, registro de actividades, EIPD, derechos de los titulares y la Declaración de Aplicabilidad de la ISO/IEC 27701.

Descargar la muestra gratis Ver el kit ISO 27701:2025 con todos estos documentos

Preguntas frecuentes

¿Cuántos documentos obligatorios tiene ISO 27701?

Depende de cómo se agrupen, pero las cláusulas 4 a 10 piden una docena de documentos y registros, y los controles del Anexo A que aplique agregan registros de privacidad como el registro de actividades de tratamiento.

¿El registro de actividades de tratamiento es obligatorio?

Lo piden controles del Anexo A para responsables y encargados, y muchas leyes (como el art. 30 del RGPD) lo exigen o lo hacen la forma práctica de demostrar la licitud.

¿Puedo usar los documentos de mi SGSI ISO 27001?

Sí. Desde 2025 la ISO/IEC 27701 es independiente, pero se integra con un SGSI: puede compartir control documental, auditorías y revisión por la dirección.

¿Los documentos garantizan la certificación?

No. La certificación depende de que el sistema funcione y lo verifique un organismo certificador.

Guías relacionadas

Actualizado: 2026-10-20