ISO 27701 dejó de depender de ISO 27001.

Hasta 2025, ISO 27701 no existía por su cuenta: era un anexo de privacidad que solo podías certificar si ya tenías ISO 27001. Eso dejaba fuera a muchas organizaciones que manejan datos personales a diario y nunca montaron un sistema de seguridad de la información: salud, educación, BPO, mercadeo, cobranza.

La edición 2025 rompe esa dependencia. Puedes certificar tu sistema de gestión de privacidad sin tener un SGSI. Si tu empresa vive de tratar datos personales y la seguridad de la información no era tu conversación, esta es la puerta que se acaba de abrir.

Antes de mirar un solo control tienes que responder, por cada flujo de datos, si actúas como responsable (decides para qué y cómo se tratan los datos) o como encargado (los tratas por cuenta de otro). Los controles aplicables cambian por completo.

Y lo normal es que seas ambos: responsable de los datos de tus empleados y de tus clientes, encargado de los datos que un cliente te entrega para procesar. Confundirlo es el error más frecuente y el más caro de corregir después.

Certificarte y cumplir la ley son dos planos distintos. El PIMS demuestra que gestionas la privacidad; la legalidad de cada tratamiento (base jurídica, autorización previa, expresa e informada) sigue siendo un análisis jurídico.

Dos detalles colombianos que se confunden todo el tiempo: los plazos para atender a los titulares son 10 días hábiles para consultas y 15 para reclamos, no el mes del RGPD. Y el registro de bases de datos ante la SIC (RNBD) no es lo mismo que el inventario de tratamientos del PIMS: el segundo es mucho más rico, con flujos, roles, bases jurídicas y retención.