Validación ISO/IEC 27701

ISO/IEC 27701:2025 para privacidad con alcance claro.

ISO/IEC 27701:2025 ordena la gestión de privacidad como PIMS standalone. En Argentina se valida alcance, entidad emisora y condiciones aplicables antes de cotizar o comunicar cobertura.

Validar alcance Ver comparativa

ARScotización local y factura argentina

Federalauditoría remota, híbrida y multisede

Globalverificación pública en gcerti.org

Cuando el riesgo central de una empresa no es solo que no se filtre información, sino qué hace con los datos personales de otros —clientes, pacientes, alumnos, usuarios, empleados—, la seguridad de la información se queda corta. ISO/IEC 27701 es la norma internacional que ordena un Sistema de Gestión de la Privacidad de la Información (PIMS, por sus siglas en inglés: Privacy Information Management System): el andamiaje con el que una organización demuestra que trata datos personales con reglas, responsables y evidencia, y no de memoria.

En Argentina esa distinción tiene consecuencias concretas. Una fintech que maneja CUIT, ingresos y scoring; una clínica con historias clínicas; una edtech con datos de menores; un SaaS que exporta servicios y firma cláusulas de privacidad con clientes europeos: todos operan bajo la Ley 25.326 de Protección de los Datos Personales y responden ante la autoridad de aplicación. Evaluar una ruta ISO/IEC 27701 no reemplaza esa ley —ninguna norma privada lo hace—, pero le da a la empresa una forma auditada y verificable de mostrar que su tratamiento de datos está gobernado.

Qué cubre

Qué es y qué cubre la norma

ISO/IEC 27701 traduce la protección de datos personales a un sistema de gestión de privacidad auditable. Define cómo una organización identifica qué datos personales trata, con qué rol lo hace, qué controles aplica y cómo lo demuestra ante terceros.

Un punto clave, y una fuente habitual de confusión: la edición vigente de ISO/IEC 27701 se publicó el 14 de octubre de 2025 y es una norma de sistema de gestión standalone, evaluable por sí sola, con alcance y entidad emisora a validar antes de cotizar. Hasta esa edición, 27701 se publicaba como una extensión de ISO/IEC 27001/27002 y no se evaluaba como ruta independiente sin tener antes un SGSI. Eso cambió: la versión 2025 tiene sus propias cláusulas 4 a 10 y puede aplicarse sola o integrada a un sistema de seguridad de la información ya existente.

La norma organiza la privacidad alrededor de dos roles que el derecho de datos también reconoce, y que en Argentina se leen bajo la Ley 25.326:

Responsable del tratamiento

En la norma, PII controller: quien decide para qué y cómo se tratan los datos personales. Es el rol de la empresa que es dueña de la relación con el titular del dato.

Encargado del tratamiento

En la norma, PII processor: quien trata datos por cuenta de un tercero. Es el rol típico del proveedor de tecnología —un SaaS, un procesador de pagos, un data center— que maneja datos de los clientes de su cliente.

Una misma empresa puede ser las dos cosas a la vez, según el dato: responsable de los datos de sus propios empleados y encargada de los datos que le confía un cliente. La norma incluye controles y guía diferenciados para cada rol, y ahí está buena parte de su valor: obliga a la organización a declarar en qué carácter trata cada conjunto de datos, algo que muchas empresas nunca escribieron.

Estructura

Cómo está estructurada y su relación con 27001

ISO/IEC 27701:2025 sigue la estructura armonizada de las normas ISO de sistemas de gestión (la misma estructura de alto nivel que comparten 9001, 27001 y 42001), lo que facilita integrarla con otros sistemas de gestión ya existentes.

Cláusulas 4 a 10 — el corazón del sistema de gestión: contexto de la organización, liderazgo, planificación (incluida la evaluación de riesgos de privacidad), soporte, operación, evaluación del desempeño y mejora.
Anexos con controles de privacidad — el conjunto de controles y guía de implementación, separados por rol (responsable / encargado) y orientados a la protección de datos personales: minimización, base de licitud del tratamiento, gestión del consentimiento, atención de los derechos de los titulares, transferencias de datos, retención y borrado.
El esquema técnico asociado a la evaluación de PIMS es ISO/IEC 27706:2025, publicado el mismo día que la norma base; el alcance aplicable se valida antes de comunicar cobertura.

Lo importante para una empresa argentina no es memorizar la numeración exacta de controles, sino entender la lógica: 27701 no pregunta «¿tenés antivirus?», pregunta «¿sabés qué datos personales tratás, con qué base legal, quién responde por ellos y cómo probás que los borrás cuando corresponde?». Es una norma de gobierno del dato, no de infraestructura.

Relación con ISO/IEC 27001

Aunque 27701 ya no depende de 27001, la relación entre ambas sigue siendo natural y muy frecuente en la práctica. ISO/IEC 27001 ordena y puede certificar la seguridad de la información —la confidencialidad, integridad y disponibilidad del dato—; ISO/IEC 27701 agrega la capa de privacidad: qué se puede hacer legítimamente con ese dato personal y cómo se respetan los derechos de su titular.

La combinación más común en el mercado es tener 27001 como base de seguridad y 27701 como capa de privacidad encima, auditadas de forma integrada. Pero la empresa que ya gestiona bien su seguridad por otros medios puede hoy evaluar 27701 por sí sola, sujeto a alcance y entidad emisora. En la práctica argentina, la mayoría de las organizaciones que llegan a 27701 vienen o van hacia 27001; conviene decidir el orden en el diagnóstico de alcance, no antes.

Demanda local

Quién la necesita en Argentina

No toda empresa necesita una ruta ISO/IEC 27701. La necesita quien trata datos personales como parte central de lo que hace, o quien tiene enfrente a alguien que se lo exige. En el mercado argentino, cuatro situaciones concentran la demanda.

1. Sectores donde el dato personal es el negocio

Fintech, billeteras y crédito: tratan identidad, CUIT, ingresos, historial y scoring. El dato personal financiero es material sensible y regulado.
Salud y healthtech: historias clínicas, resultados, datos biométricos. Bajo la Ley 25.326 los datos de salud son datos sensibles, con protección reforzada.
Educación y edtech: datos de alumnos, muchas veces menores de edad, lo que eleva el estándar de cuidado.
SaaS, marketing y adtech: plataformas que procesan datos de los usuarios de sus clientes —el caso clásico del encargado del tratamiento.
Recursos humanos, seguros y retail con fidelización: grandes volúmenes de datos personales de empleados o clientes.

2. Empresas que exportan servicios

Un estudio, una software factory o un BPO que presta servicios a clientes en la Unión Europea, el Reino Unido u otras jurisdicciones exigentes recibe cláusulas contractuales de privacidad y pedidos de evidencia. Una ruta 27701 con evidencia vigente y verificable puede responder a esos pedidos sin reinventar la respuesta en cada contrato, siempre que el alcance y la entidad emisora estén validados. Argentina, además, cuenta desde 2003 con decisión de adecuación de la Unión Europea —confirmada en la revisión de enero de 2024, con recomendación de completar la reforma en trámite—, que la ubica en el mapa de jurisdicciones habilitadas; 27701 opera a nivel de empresa, por encima de ese piso país.

3. Proveedores en licitaciones

Cada vez más pliegos —públicos y privados— y más procesos de due diligence de proveedores incorporan requisitos de protección de datos personales. Para un proveedor que trata datos de la contratante o de terceros, exhibir un sistema de privacidad auditado y verificable ordena la respuesta y, en algunos casos, es condición para calificar. La evidencia no gana la licitación, pero evita quedar afuera por no poder demostrar gobierno del dato.

4. Empresas con clientes corporativos exigentes

Cuando el cliente es un banco, una multinacional o una empresa regulada, su área de compliance evalúa a sus proveedores. «¿Cómo tratás los datos que te damos? ¿Quién responde? ¿Cómo los borrás cuando termina el contrato?» son preguntas que hoy llegan por escrito. 27701 convierte esas respuestas en un sistema gobernado y auditable en lugar de un correo improvisado.

Una empresa que no sabe con qué base legal trata cada dato personal no tiene un problema de seguridad: tiene un problema de gobierno. Eso es lo que 27701 obliga a resolver.

Marco local

Aplicabilidad sectorial y Ley 25.326

El marco local le da a 27701 una lectura propia. La Ley 25.326 y su reglamentación establecen principios —licitud, finalidad, consentimiento, calidad del dato, seguridad, derechos del titular (acceso, rectificación, actualización y supresión)— y una autoridad de aplicación, la Agencia de Acceso a la Información Pública (AAIP), ante la cual las organizaciones responden. Argentina tiene, además, un proyecto de reforma de la ley de protección de datos personales en trámite legislativo desde 2023 —impulsado originalmente por la propia AAIP y alineado con estándares como el RGPD europeo—, todavía sin sanción a la fecha de esta publicación: conviene leer la Ley 25.326 como el marco vigente hoy, no como un texto cerrado para siempre.

27701 no certifica cumplimiento de la Ley 25.326 —eso no lo hace ni podría hacerlo un organismo de certificación—, pero el sistema de gestión que la norma exige (identificar qué datos se tratan, con qué finalidad y base, cómo se atienden los derechos del titular, cómo se maneja el consentimiento y la retención) se superpone fuertemente con lo que la ley argentina espera de un responsable serio. Montar un PIMS bajo 27701 es la forma ordenada de tener bajo control lo mismo que el régimen local exige, con la ventaja de que el resultado puede ser evidencia auditada y verificable, según alcance y entidad emisora.

Lecturas sectoriales concretas

Tecnología y servicios exportables: 27701 es el idioma común con el cliente europeo o estadounidense. Suele combinarse con 27001.
Salud: al ser los datos de salud sensibles bajo la ley local, el sistema de privacidad no es opcional para quien quiera operar con hospitales, obras sociales o prepagas.
Sector público y sus proveedores: pliegos con requisitos de datos personales convierten a 27701 en una ventaja de calificación para el proveedor.
Grupos económicos y multisede: la auditoría remota, híbrida y multisede permite evaluar un alcance federal —casa central en CABA, operaciones en Córdoba o Neuquén— con un solo sistema.

El cuidado de alcance es central: la evidencia debe describir las actividades reales de tratamiento de datos. Un alcance demasiado amplio o artificial no fortalece la comunicación —aumenta el riesgo de hallazgos en auditoría.

ISO para fintech, SaaS y tecnología ISO 27001 Glosario ISO

Transición 2025

Migración desde la edición 2019 y límites del organismo

Certificados 27701:2019 vigentes

Las organizaciones ya certificadas contra la edición anterior deben transicionar a la edición 2025 antes del 31 de octubre de 2028, plazo que fijan los organismos internacionales de acreditación para el cierre completo de la transición.

El estado del sistema —nuevo, migración desde 27701:2019, vigilancia o recertificación— se encuadra en el diagnóstico de alcance, antes de cualquier propuesta formal.

Lo que el organismo no hace

No diseña el sistema de privacidad de la empresa.
No asesora sobre cómo cumplir la Ley 25.326.
No vende adecuación.

En ISO/IEC 27701, G-CERTI Argentina valida alcance, entidad emisora y condiciones aplicables antes de cualquier propuesta formal. La formación profesional en 27701 que ofrece la Academia es académica y no condiciona ni acelera una decisión sobre una empresa.

El detalle del ciclo —diagnóstico de alcance, etapas de auditoría y decisión— se valida antes de cualquier propuesta formal.

Ver cómo se evalúa en Argentina

Propuesta

Qué datos ayudan a cotizar bien.

Datos para cotizar

Razón social, CUIT y contacto responsable.
Sedes incluidas y actividad principal.
Dotación total y procesos cubiertos.
Estado del sistema: nuevo, migración, vigilancia o recertificación.

Qué recibís

Propuesta formal para tu empresa.
Fechas y modalidad de auditoría.
Certificado verificable si el proceso resulta favorable.
Seguimiento durante el ciclo correspondiente.

Páginas relacionadas

Necesidades argentinas vinculadas.

Certificación ISO para fintech, SaaS y tecnología en Argentina

Preguntas frecuentes

Preguntas sobre ISO/IEC 27701 en Argentina.

¿Qué evalúa exactamente ISO/IEC 27701?

Evalúa el sistema de gestión de la privacidad de la información (PIMS) de una organización: cómo trata datos personales, con qué roles, controles y evidencia. No certifica un producto, ni una persona, ni el cumplimiento de una ley. La comunicación de certificación queda sujeta a alcance y entidad emisora validados.

¿ISO/IEC 27701 me hace cumplir la Ley 25.326?

No de forma automática. Ninguna norma privada reemplaza a la ley ni la certifica. Lo que hace 27701 es exigir un sistema de gestión de privacidad cuyo contenido se superpone fuertemente con lo que la ley argentina espera de un responsable del tratamiento: finalidad, base legal, consentimiento, derechos del titular, seguridad y retención. Ordena internamente lo mismo que el régimen local exige, y lo vuelve auditable.

¿Necesito ISO/IEC 27001 antes de evaluar 27701?

Ya no es obligatorio. La edición 2025 de 27701 es una norma de sistema de gestión evaluable por sí sola. En la práctica, muchas empresas la combinan con 27001 (seguridad más privacidad, auditadas de forma integrada) porque es la configuración más sólida, pero el orden se define en el diagnóstico de alcance según el punto de partida de cada organización.

¿Sirve si mi empresa exporta servicios de tecnología?

Sí, es uno de los usos más frecuentes. Una ruta 27701 con evidencia vigente y verificable puede responder a cláusulas y pedidos de privacidad de clientes en la Unión Europea, el Reino Unido u otras jurisdicciones exigentes, siempre que el alcance y la entidad emisora estén validados.

¿Cuánto tarda una evaluación ISO/IEC 27701?

Depende del alcance, la dotación, las sedes y el estado del sistema de gestión. No hay un plazo único: se define en la propuesta formal, después del diagnóstico de alcance, y respeta los tiempos mínimos de auditoría que fijan las reglas del esquema.

¿La certificación garantiza que no vamos a tener una filtración o una sanción?

No. Ninguna certificación promete un resultado. Una evaluación 27701 demuestra que existe un sistema de gestión de privacidad auditado y en funcionamiento a la fecha de la auditoría; reduce y ordena el riesgo, pero no lo elimina ni sustituye la responsabilidad legal de la organización.