ISO 27701:2025: qué cambió y qué hacer ahora

ISO/IEC 27701:2025, publicada el 14 de octubre de 2025, convierte la norma de privacidad en un sistema de gestión independiente: ya no necesita un SGSI ISO/IEC 27001 para implementarla ni para certificarla. Sigue la estructura armonizada de las cláusulas 4 a 10 y tiene un Anexo A con 78 controles de referencia en tres tablas: A.1 para responsables del tratamiento, A.2 para encargados y A.3 para la seguridad de los datos personales. Las organizaciones certificadas en la edición 2019 deben hacer la transición en el plazo que fijen los organismos de acreditación (por ejemplo, hasta el 31 de octubre de 2028 según el SCC de Canadá).

2019 y 2025 en una tabla

Tema	ISO/IEC 27701:2019	ISO/IEC 27701:2025
Tipo de norma	Extensión de ISO/IEC 27001 y 27002	Norma de sistema de gestión independiente
Requisito previo	Un SGSI ISO/IEC 27001	Ninguno (puede integrarse con un SGSI)
Estructura	Cláusulas montadas sobre ISO/IEC 27001	Estructura armonizada, cláusulas 4 a 10
Controles	Anexo A (responsables) y Anexo B (encargados), más guía extendida de ISO/IEC 27002	Anexo A con tres tablas: A.1 responsables, A.2 encargados, A.3 seguridad de los datos personales (78 controles)
Guía de implementación	Repartida en las cláusulas 6 a 8	Anexo B, con la misma numeración del Anexo A
Mapeos	ISO/IEC 29100, RGPD y otras normas	Anexos informativos con mapeos, incluido el RGPD y una correspondencia 2019-2025

Qué significa para su organización

**¿No tiene ISO/IEC 27001?** Ahora puede implementar y certificar un sistema de gestión de la privacidad (SGPI) por sí solo. Sirve a proveedores de software, servicios de RR. HH. y remuneraciones, salud, educación y a cualquiera cuyos clientes pidan garantías de privacidad.
**¿Ya tiene un SGSI?** Reutilice el control documental, la auditoría interna, la revisión por la dirección, la gestión de proveedores y la competencia. Los controles de seguridad para datos personales ahora están en la tabla A.3.
**¿Está certificado en la edición 2019?** Planifique una auditoría de transición y confirme el plazo con su organismo certificador: lo fijan los organismos de acreditación (SCC de Canadá: clientes hasta el 31 de octubre de 2028).
**¿Usa ISO 27701 para el RGPD o la Ley 21.719?** Sigue siendo una forma ordenada de organizar y demostrar el cumplimiento, pero la certificación no demuestra por sí sola que cumple cada ley.

Las tablas del Anexo A en 2025

Tabla	Para	Temas principales
A.1	Responsables	Condiciones de recolección y tratamiento (base de licitud, consentimiento, EIPD, registros), obligaciones con los titulares (avisos, derechos, decisiones automatizadas), privacidad desde el diseño y por defecto, comunicaciones y transferencias
A.2	Encargados	Contratos e instrucciones, obligaciones con los clientes, privacidad desde el diseño en el tratamiento, transferencias, subencargados y comunicaciones
A.3	Ambos roles	Seguridad de los datos personales: políticas, roles, accesos, criptografía, registros, incidentes y filtraciones, respaldos, proveedores, desarrollo seguro y más

La mayoría de las organizaciones es responsable y encargada a la vez (por ejemplo, de los datos de su personal y de los de sus clientes), así que aplica A.1, A.2 y A.3 y justifica cada inclusión o exclusión en la Declaración de Aplicabilidad.

Pasos de transición para organizaciones certificadas en 2019

1. Lea la edición 2025 y su anexo de correspondencia 2019-2025.
2. Decida si el SGPI sigue integrado al SGSI o pasa a ser independiente, y actualice el alcance.
3. Rehaga la Declaración de Aplicabilidad con las tablas A.1, A.2 y A.3.
4. Actualice la evaluación de riesgos de privacidad, políticas y procedimientos que citan la numeración antigua.
5. Haga una auditoría interna y una revisión por la dirección sobre los nuevos requisitos.
6. Agende la auditoría de transición con su organismo certificador antes del plazo.

Descargar la muestra gratis Ver el kit ISO 27701:2025 con anexos RGPD y Ley 21.719

Preguntas frecuentes

¿Cuándo se publicó ISO/IEC 27701:2025?

El 14 de octubre de 2025. Reemplaza la edición 2019.

¿Necesito ISO 27001 para certificarme en ISO 27701?

No con la edición 2025. Es una norma de sistema de gestión independiente, aunque se integra fácilmente con ISO/IEC 27001.

¿Cuántos controles tiene ISO 27701:2025?

El Anexo A lista 78 controles de referencia en tres tablas: A.1 para responsables, A.2 para encargados y A.3 para la seguridad de los datos personales. Usted justifica cuáles aplican en su Declaración de Aplicabilidad.

¿Cuál es el plazo de transición?

Lo fijan los organismos de acreditación. Por ejemplo, el SCC de Canadá exige a los clientes certificados hacer la transición hasta el 31 de octubre de 2028. Consulte el suyo con su organismo certificador.

¿La certificación ISO 27701 demuestra el cumplimiento de la Ley 21.719 o el RGPD?

No. Es una evidencia sólida de un programa de privacidad gestionado, pero el cumplimiento depende de satisfacer cada obligación legal.

Guías relacionadas

Actualizado: 2026-10-20