ISO 27701 vs RGPD: ¿cuál es la diferencia?
El RGPD es una ley de la Unión Europea que debe cumplir toda organización que trate datos de personas en la UE, con multas de hasta 20 millones de euros o el 4 % de la facturación mundial. ISO/IEC 27701:2025 es una norma internacional voluntaria para un sistema de gestión de la privacidad que puede certificarse. Se complementan: ISO 27701 entrega el sistema (roles, evaluación de riesgos, controles, registros, auditorías) para ordenar y demostrar el cumplimiento del RGPD, pero la certificación no prueba por sí sola que se cumple la ley. Lo mismo vale para otras leyes, como la Ley 21.719 de Chile.
Comparación
| RGPD | ISO/IEC 27701:2025 | |
|---|---|---|
| Qué es | Reglamento de la UE (ley) | Norma internacional de sistema de gestión |
| ¿Obligatorio? | Sí, si le aplica | No, voluntario |
| Quién lo revisa | Autoridades de protección de datos y tribunales | Organismos certificadores (auditorías) |
| Resultado | Cumplimiento o sanciones | Certificado por tres años con auditorías de seguimiento |
| Ámbito | UE y quien ofrezca bienes o servicios a personas allí (el Reino Unido tiene su UK GDPR) | Cualquier organización y país, como responsable y/o encargada |
| Contenido | Principios, bases de licitud, derechos, deberes, notificación de filtraciones, transferencias, multas | Cláusulas 4 a 10 y 78 controles de referencia (A.1 responsables, A.2 encargados, A.3 seguridad) |
Dónde se cruzan
| Tema del RGPD | Artículo | Área de ISO 27701 |
|---|---|---|
| Principios y responsabilidad proactiva | 5, 24 | Cláusulas 4 a 10, tabla A.1 |
| Base de licitud y consentimiento | 6, 7 | A.1 condiciones de recolección y tratamiento |
| Transparencia y derechos | 12 a 22 | A.1 obligaciones con los titulares |
| Privacidad desde el diseño y por defecto | 25 | A.1 y A.2 privacidad desde el diseño |
| Encargados y contratos | 28, 29 | A.1 y A.2 contratos e instrucciones |
| Registro de actividades | 30 | A.1 y A.2 registros |
| Seguridad y filtraciones | 32 a 34 | A.3 seguridad de los datos personales |
| Evaluación de impacto | 35 | A.1 evaluación de impacto en la privacidad |
| Transferencias | 44 a 49 | A.1 y A.2 transferencias y comunicaciones |
Los artículos se citan solo como orientación. Revise el texto oficial de ambos documentos.
Lo que ISO 27701 no cubre por sí sola
- Los plazos legales exactos (72 horas para notificar filtraciones, un mes para responder solicitudes) y sus excepciones: escríbalos en sus procedimientos.
- Decisiones legales como elegir la base de licitud, ponderar el interés legítimo o definir si necesita delegado o representante en la UE.
- Reglas de cada país (por ejemplo, los cambios del UK GDPR de 2025 o la Ley 21.719 en Chile).
- Las multas y la interpretación de la autoridad: la certificación no protege frente a una fiscalización.
Cómo usarlos juntos
- 1. Implemente ISO 27701 como sistema de gestión y agregue el RGPD (y otras leyes que le apliquen) a sus requisitos legales.
- 2. Relacione cada artículo pertinente con un control y un documento (una tabla de correspondencia).
- 3. Complete las brechas con plantillas propias de la ley: interés legítimo, notificación de filtraciones, delegado y representante, evaluación de transferencias.
- 4. Audite ambos: auditorías internas contra ISO 27701 y revisión legal periódica contra la ley.
Preguntas frecuentes
¿La certificación ISO 27701 prueba el cumplimiento del RGPD?
No. Es una evidencia sólida de un programa de privacidad gestionado, pero el cumplimiento depende de satisfacer cada obligación legal, y eso lo evalúan las autoridades.
¿Necesito ISO 27701 para cumplir el RGPD?
No. El RGPD no exige ninguna certificación. ISO 27701 es una forma de ordenar y demostrar el cumplimiento.
¿ISO 27701 es un mecanismo de certificación del art. 42 del RGPD?
No por sí misma. Las certificaciones del art. 42 deben ser aprobadas por las autoridades o el Comité Europeo de Protección de Datos; la certificación ISO 27701 es una certificación privada de sistema de gestión.
¿Sirve ISO 27701 para leyes fuera de la UE?
Sí. Sus controles son neutrales respecto de la ley, así que el mismo sistema ordena la evidencia para la Ley 21.719 de Chile, la LGPD de Brasil o las leyes de EE.UU.
Guías relacionadas
- Documentos obligatorios de ISO 27701:2025
- ISO 27701:2025: qué cambió y qué hacer ahora
- Ley 21.719: qué deben hacer las empresas en Chile
Actualizado: 2026-10-20