Artículos de seguridad del RGPD (GDPR) correlacionados

El RGPD (GDPR) es una ley de privacidad. La mayor parte trata de si puede tratar datos personales en absoluto, de cómo informa a las personas al respecto y de qué derechos tienen. Pero varios artículos imponen obligaciones de seguridad, y ahí es donde los equipos de seguridad se encuentran con el reglamento. ControlMapping solo correlaciona esos artículos: integridad y confidencialidad (artículo 5(1)(f)), responsabilidad proactiva (24), protección de datos desde el diseño (25), encargados del tratamiento (28), registros de las actividades de tratamiento (30), seguridad del tratamiento (32), notificación de brechas de seguridad (33 y 34), evaluaciones de impacto (35) y delegados de protección de datos (37 a 39).

Cómo ISO 27001 los cubre

De los 13 artículos relacionados con la seguridad de GDPR, 12 (92%) se corresponden con algo en ISO 27001, 0 solo guardan una relación tangencial y 1 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →

Casi todos los artículos del RGPD relacionados con la seguridad se correlacionan con ISO 27001. Un SGSI le proporciona medidas de seguridad basadas en el riesgo (artículo 32), gestión de incidentes que puede alimentar la notificación de brechas (artículos 33 y 34), controles sobre proveedores para los encargados del tratamiento (artículo 28) y responsabilidades documentadas. El único artículo sin correspondencia con ISO es el 38, la posición del delegado de protección de datos, que trata de independencia y líneas de reporte, aspectos que ISO 27001 no aborda.

Artículo por artículo

GDPR	Requisito	Coincidencia	ISO 27001
Art.5(1)(e)	Principles relating to processing of personal data	Editorial	A.5.14A.8.10A.8.11A.5.31
Art.24(1)	Responsibility of the controller	Editorial	Clause 6.1.1Clause 6.1.3A.5.37Clause 5.2
Art.25(1)	Data protection by design and by default	Editorial	A.8.25A.8.26A.8.28A.8.29
Art.28(1)	Processor	Editorial	A.5.19A.5.20A.5.21A.5.22
Art.29	Processing under the authority of the controller or processor	Editorial	A.6.1A.6.4A.8.16
Art.30(1)	Records of processing activities	Editorial	A.5.9A.5.11A.7.14
Art.32(1)(a)	Security of processing	Editorial	A.8.24A.5.16A.5.18A.5.29
Art.33(1)	Notification of a personal data breach to the supervisory authority	Editorial	A.5.5A.5.24A.5.25A.5.26
Art.34(1)	Communication of a personal data breach to the data subject	Editorial	A.5.5A.5.26A.6.8Clause 7.4
Art.35(1)	Data protection impact assessment	Editorial	Clause 6.1.2Clause 6.1.3
Art.37(1)	Designation of the data protection officer	Editorial	A.5.2A.5.4
Art.38	Position of the data protection officer	Sin correspondencia en nuestros datos	—
Art.39(1)	Tasks of the data protection officer	Editorial	A.5.2A.5.4A.6.3Clause 7.3

Lo que el RGPD añade que ISO 27001 no cubre

Incluso dentro de los artículos de seguridad, el RGPD es más específico en algunos puntos:

• Plazos de notificación de brechas. Notifique a la autoridad de control en un plazo de 72 horas desde que tenga conocimiento de una brecha de datos personales (artículo 33), y a las personas afectadas sin dilación indebida cuando el riesgo para ellas sea alto (artículo 34). ISO exige gestión de incidentes, no notificación regulatoria con plazo.
• La seudonimización y el cifrado se citan en el artículo 32 como medidas a considerar.
• La protección de datos desde el diseño y por defecto (artículo 25) llega a cómo se diseñan y configuran los sistemas, no solo a cómo se protegen.
• Las evaluaciones de impacto (artículo 35) para tratamientos de alto riesgo son una evaluación de privacidad, más amplia que una evaluación de riesgos de seguridad de ISO.

La otra dirección

De los 123 Controles del Anexo A y cláusulas del SGSI de ISO 27001, 47 (38%) se corresponden con algo en GDPR, 47 solo guardan una relación tangencial y 29 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →

Yendo del RGPD a ISO 27001, la mayor parte del anexo A tiene correspondencia o relación tangencial, pero las cláusulas del SGSI, la seguridad física y algunos controles técnicos no tienen equivalente en el RGPD. El RGPD no exige un sistema de gestión ni prescribe controles técnicos; exige medidas adecuadas al riesgo y deja la elección en manos de la organización.

Cómo aprovechar el solapamiento

1. Trate el artículo 32 como un requisito de su SGSI: inclúyalo en los requisitos legales y contractuales (ISO A.5.31) y refiérase a él desde la evaluación de riesgos.
2. Amplíe el proceso de incidentes para las brechas de datos personales: una decisión sobre si notificar, el plazo de 72 horas y registros de cada brecha, esté notificada o no (artículo 33(5)).
3. Aplique controles de proveedores a los encargados del tratamiento, con las cláusulas del artículo 28 en los contratos.
4. Vaya más allá de la seguridad para la privacidad: ISO/IEC 27701 amplía un SGSI a la gestión de la privacidad.

Cada enlace al RGPD de este sitio es un juicio editorial de ControlMapping, porque no existe una correspondencia oficial. La comparativa ISO 27001 vs. RGPD y la página del marco RGPD enumeran cada correspondencia con su motivo, y el análisis de brechas las exporta.

Preguntas

¿Qué exige el artículo 32 del RGPD (GDPR)?

Seguridad del tratamiento: medidas técnicas y organizativas adecuadas para un nivel de seguridad acorde al riesgo, incluidas, cuando proceda, la seudonimización y el cifrado, la confidencialidad, integridad, disponibilidad y resiliencia continuas, la restauración oportuna tras un incidente y la comprobación periódica de las medidas.

¿Basta con ISO 27001 para cumplir el RGPD (GDPR)?

No. Respalda las obligaciones de seguridad, especialmente el artículo 32, pero el RGPD también exige una base jurídica, transparencia, derechos de los interesados y mucho más que ISO 27001 no cubre.