Las necesarias hacen funcionar el sitio. Las demás miden qué páginas ayudan y qué anuncios traen a quien necesita a DM11. Tú eliges, y puedes revisarlo desde el pie de página.
ISO/IEC 27701
Hasta 2019 esta norma era una extensión, y nadie certificaba privacidad sin antes construir un sistema de gestión de seguridad entero. La revisión de octubre de 2025 acabó con esa exigencia. Para quien ya trata el dato personal con seriedad y necesita demostrarlo ante un cliente o un regulador, el camino se acortó de forma significativa.
DM11 prepara a tu empresa y conduce la implementación. Quien audita y emite el certificado es un organismo de certificación acreditado, contratado por ti. La norma trata de gestión de privacidad y no sustituye la asesoría jurídica sobre la ley de protección de datos: las dos se complementan, y DM11 tiene especialistas en derecho digital en el equipo.
Quién conduce la implementación
Especialistas en protección de datos certificados por EXIN (DPO, PDPP y PDPF)
ISO/IEC 27001 Lead Auditor certificado por BSI
Asesoría jurídica en privacidad y protección de datos
17 años de gobernanza, riesgos y cumplimiento
QUÉ CAMBIÓ, Y POR QUÉ IMPORTA
La ISO/IEC 27701 define los requisitos de un sistema de gestión de privacidad de la información. Organiza cómo la empresa decide qué puede hacer con el dato personal, quién responde por cada decisión y cómo se demuestra a lo largo del tiempo. En la revisión publicada el 14 de octubre de 2025 dejó de ser un apéndice de la seguridad y pasó a existir por su cuenta.
Este es el cambio que reescribe el presupuesto. En la versión de 2019, certificar privacidad obligaba a tener o construir el sistema de gestión de seguridad entero antes. Ahora la norma es autónoma, y una empresa puede certificar privacidad sin pasar por la 27001. Si recibiste una propuesta reciente que dice lo contrario, fue escrita sobre la versión anterior.
La revisión adoptó la estructura armonizada de cláusulas 4 a 10, la misma de la ISO 27001 y de la ISO/IEC 42001, de gobernanza de IA. En la práctica, quien ya opera una de ellas reaprovecha contexto, liderazgo, planificación y revisión por la dirección en lugar de mantener tres sistemas paralelos.
El Anexo A separa los controles por rol: un conjunto para el responsable, otro para el encargado, y un bloque que vale para ambos. Definir tu rol en cada tratamiento es la primera decisión del proyecto, y la que más cambia el tamaño del trabajo. Muchas empresas son responsables en un flujo y encargadas en otro.
La norma trae anexos que ligan los controles al GDPR y a otras referencias de privacidad, incluida la versión de 2019 para quien necesita migrar. Es lo que vuelve el certificado útil como respuesta a un cliente europeo, y lo que ahorra trabajo a quien ya ordenó la casa para una ley de protección de datos.
QUIÉN SUELE NECESITARLA
La ley de protección de datos ya obliga, y nadie certifica una ley. La ISO 27701 entra cuando hay que demostrar a terceros que la obligación se cumple con método.
Un contrato con una empresa de la Unión Europea suele exigir garantías sobre el tratamiento de dato personal. Un certificado reconocido internacionalmente responde eso mejor que un dosier armado a las prisas, y responde una vez para todos los clientes en lugar de uno por uno.
Quien procesa dato por cuenta de otra empresa recibe un cuestionario de privacidad de cada cliente, cada uno en un formato distinto. El certificado cambia esa fila por un solo documento, y el conjunto de controles de encargado fue diseñado justo para ese rol.
Una fiscalización, un incidente comunicado o un sector que pasó a ser prioridad. Un sistema de gestión de privacidad en funcionamiento es la diferencia entre demostrar diligencia con documentos fechados e intentar reconstruir la historia después de que llegó la pregunta.
HISTORIAS
Cambiamos los nombres de los clientes con el mismo sigilo que protegerá a tu empresa después. Los nombres cambian, el patrón se repite. Cuando el cliente lo autoriza, damos referencias con nombre en una conversación.
Servicios de nómina y beneficios
La empresa procesaba dato personal de miles de empleados de sus clientes y lo trataba todo como si fuera propio. Los contratos no decían quién respondía por qué, y un cliente grande abrió una auditoría de privacidad que la empresa no tenía cómo responder.
Empezamos separando los roles flujo por flujo: dónde era responsable y dónde era encargada. Esa distinción cambió el diseño entero del programa y buena parte de las cláusulas contractuales. Después vinieron el inventario de tratamientos, las bases legales y los controles del bloque de encargado.
La auditoría del cliente se respondió con un documento en lugar de una reunión. Y la empresa pasó a usar el mismo material comercialmente, porque su rol de encargada quedó claro en el contrato y dejó de generar discusión en cada renovación.
Tecnología, atendiendo a Europa
La empresa había hecho un proyecto de adecuación dos años antes, con buen resultado y ningún mantenimiento. Cuando un cliente europeo pidió evidencia de tratamiento adecuado, lo que existía era un informe desactualizado y la memoria de quienes participaron.
Aprovechamos lo que el proyecto anterior había dejado, que era más de lo que la dirección imaginaba, y lo que faltaba era justamente el sistema de gestión: quién revisa, cuándo, con qué registro. Estructuramos eso y mapeamos los controles contra el GDPR usando los anexos de la propia norma.
La empresa salió con un sistema que se mantiene solo y con el mapeo listo para responder a clientes europeos. El proyecto anterior dejó de ser un costo perdido y se volvió la base del nuevo.
Salud privada
La operación manejaba información de salud, que la ley trata como dato personal sensible, y le aplicaba los mismos controles que al resto. No había intención de equivocarse: nadie había hecho la distinción en el papel, así que no existía en la práctica.
Clasificamos los tratamientos por naturaleza del dato y reforzamos donde la ley pide más: base legal específica, control de acceso más restringido, registro de quién consulta qué y plazo de retención definido por tipo de información.
La diferencia apareció en el control de acceso: decenas de personas alcanzaban historiales sin necesidad funcional, y nadie lo sabía porque no había registro. Tras el proyecto, el acceso pasó a ser justificado, registrado y revisado.
AUTODIAGNÓSTICO
Veinte preguntas: dos para entender tu caso y dieciocho sobre lo que la norma exige. El resultado aparece completo en la pantalla, con la nota de cada dominio y una lectura honesta de lo que falta. Es autodeclarado, así que vale como retrato de lo que sabes hoy, y no como evaluación de conformidad.
La lectura de cada área, en las tres franjas de resultado. Es el mismo texto que llega por correo a quien se identifica, publicado aquí para quien quiere entender qué mide la nota antes de responder.
Menos de 50
Sin alcance escrito y sin un delegado con mandato, cada decisión de privacidad se toma dos veces: una por el área que la necesita y otra por el jurídico, cuando el asunto llega allí. El primer paso cuesta poco: una página que diga qué operaciones, unidades y sistemas entran en el sistema de gestión, aprobada en reunión y con fecha. Después formaliza el nombramiento del delegado con fecha y publica el canal de contacto, porque la ley de protección de datos ya lo pide con independencia de cualquier certificación. Mientras ese par no exista, alcance y responsable, todo control implantado se queda sin dueño al día siguiente.
De 50 a 79
La función existe y el mandato no. El síntoma se repite: el delegado acumula la atribución con otro cargo, resuelve lo que le llega y no tiene espacio en la agenda de la dirección. Reserva tiempo formal para la función y crea un punto fijo de privacidad en la reunión de dirección, aunque sea trimestral y corto, con registro de lo que se decidió. Es la diferencia entre alguien encargado de responder y alguien con autoridad para cambiar el proceso que generó la pregunta.
80 o más
Alcance, nombramiento y reporte están de pie. Lo que suele faltar en este rango es actualizar el alcance cuando la empresa cambia: producto nuevo, adquisición, país nuevo o un área que pasó a tratar datos que antes no trataba. Un alcance escrito una vez y nunca revisado es el hallazgo más silencioso de este dominio, porque parece correcto hasta que alguien pide la fecha de la última revisión. Agenda esa revisión junto a la revisión por la dirección, para que las dos ocurran en el mismo ciclo.
Menos de 50
Sin inventario, todo lo que viene después es estimación: no se puede decir qué base legal aplica, por cuánto tiempo guardar ni a dónde sale el dato. Empieza por los procesos que generan más dato personal, que casi siempre son recursos humanos, comercial y atención, en lugar de intentar cubrir la empresa entera de una vez. Para cada tratamiento registra cuatro cosas: qué dato, para qué, quién es el dueño y a dónde va. Un inventario corto y verdadero rinde más que uno completo y desactualizado.
De 50 a 79
El inventario existe y envejeció, y el motivo suele ser el mismo: lo hizo un proyecto y no un dueño, así que cuando el proyecto terminó nadie quedó responsable de actualizarlo. El arreglo es nombrar un dueño por área y atar la actualización a un disparador que ya ocurre, como la entrada de un sistema nuevo o la contratación de un proveedor, en vez de depender de una campaña anual. Verifica también si el rol está registrado tratamiento a tratamiento, porque un inventario que define el rol solo a nivel de empresa esconde justamente el flujo en el que es encargada.
80 o más
El inventario está vivo y tiene dueño. La atención ahora va al borde: una hoja de cálculo de área, una herramienta contratada con la tarjeta de crédito y una integración antigua que sigue exportando datos suelen quedar fuera del mapa oficial. Un barrido por los proveedores pagados y por las integraciones activas encuentra, en casi toda empresa, al menos un tratamiento que nadie había declarado. Mientras el inventario se alimente solo de quien se acuerda de declarar, mide buena voluntad, y no realidad.
Menos de 50
Sin base legal registrada, la empresa no responde la pregunta más simple que hace un titular o un auditor: por qué tienen ese dato. Registrar no es elegir la base más cómoda, es escribir la decisión y decir quién la tomó. Empieza por los tratamientos de mayor volumen, sigue por los de mayor sensibilidad y lleva cada uno al jurídico antes de fijarlo. Mientras eso no exista, la finalidad declarada en los avisos y la finalidad real de la operación siguen siendo dos cosas distintas.
De 50 a 79
El patrón de este rango es apoyar casi todo en una sola base, normalmente consentimiento o interés legítimo, porque fue la que eligió el proyecto anterior. El consentimiento crea deberes de recogida, de registro y de revocación que casi nadie opera en la práctica; el interés legítimo sin la prueba escrita no se sostiene cuando lo cuestionan. Revisa primero recursos humanos y marketing, que son los tratamientos que más cambian de base cuando alguien los mira con atención. Y comprueba si los avisos fuera del sitio, en contrato, aplicación y proceso de selección, acompañaron la última revisión.
80 o más
Las bases están registradas y revisadas. Lo que sostiene la nota de aquí en adelante es el vínculo entre finalidad y uso real: una finalidad declarada de forma demasiado amplia parece proteger y hace lo contrario, porque abre espacio a un uso que nadie aprobó. Toma dos o tres tratamientos, pregunta al área qué hace con el dato y compara con lo que está escrito. Cuando aparece una diferencia, el problema rara vez es la base legal, es la finalidad que envejeció.
Menos de 50
Sin canal y sin plazo definidos, la primera solicitud difícil se resuelve improvisando, y la improvisación no se demuestra después. Monta el mínimo que funciona: una dirección publicada, un responsable nombrado, un plazo interno menor que el legal y un registro con fecha de entrada y fecha de respuesta. Ese mínimo ya cubre buena parte de lo que la norma exige en este dominio. Después enfrenta la parte difícil, que es conseguir localizar el dato de la persona en todos los lugares a los que fue a parar.
De 50 a 79
O el canal existe y el registro es frágil, o el registro es bueno y el canal no es público. En los dos casos el efecto es el mismo: la empresa cree que atiende bien y no consigue probar cuánto tardó ni qué respondió. Estandariza el registro con fecha de recepción, fecha de respuesta y copia de lo que se envió, y haz que valga también para la solicitud que llegó por comercial o por soporte, que es por donde la mayoría entra de verdad. Con poco volumen de solicitudes, prueba con un caso simulado en vez de esperar el real.
80 o más
El proceso está montado y registrado. Lo que separa este rango de los anteriores es la solicitud de supresión: localizar al titular en los sistemas principales es común, encontrarlo en un backup, una base de pruebas, una hoja de cálculo de área y una herramienta de terceros es raro. Haz ese ejercicio una vez, con un titular real o con un caso construido, y documenta dónde apareció el dato. El resultado suele reabrir el inventario, y para eso sirve.
Menos de 50
El riesgo a la privacidad y el riesgo de seguridad responden preguntas distintas, y donde solo existe el segundo el daño al titular nunca entra en la cuenta. Empieza pequeño: elige los tres tratamientos de mayor impacto sobre personas y escribe qué les pasaría si el dato se filtrara, se usara para otra finalidad o no pudiera corregirse. Registra la decisión sobre cada uno, aunque la decisión sea aceptar. Es ese registro, y no la sofisticación del método, lo que el auditor lee primero.
De 50 a 79
La evaluación existe y ocurre tarde. La privacidad que entra después de que el sistema está en vivo se vuelve un parche caro, y es el patrón en una empresa que ya tiene alguna madurez de seguridad. Lo que cierra esa brecha no es un método nuevo, es un disparador: una pregunta obligatoria en el flujo de proyecto que identifique dato personal antes de que empiece el desarrollo. Incluye ahí el dato personal que va a herramientas de inteligencia artificial, hoy la ruta más común de tratamiento que nadie declaró.
80 o más
La evaluación de riesgo al titular y el informe de impacto ocurren en el momento correcto. Lo que suele faltar es el cierre: un riesgo identificado genera una decisión, y una decisión necesita dueño, plazo y verificación después. Revisa también la reevaluación, porque un riesgo evaluado una vez describe el proyecto el día en que nació, y no el servicio en que se convirtió. Cuando cambia el proveedor, el volumen o la finalidad, el riesgo cambia con ellos.
Menos de 50
Guardarlo todo por precaución es la decisión más común y la más difícil de justificar, porque cada dato sin plazo aumenta lo que puede filtrarse y lo que hay que encontrar en una solicitud de supresión. Empieza por la tabla de retención de los tipos que tienes en mayor volumen, con el plazo escrito y su razón al lado. Después trata el acceso, separando a quien consulta dato personal por necesidad de la función de quien lo consulta por herencia de un cargo antiguo. Los dos puntos juntos reducen riesgo sin exigir un proyecto grande.
De 50 a 79
La tabla existe en el papel y el descarte no ocurre. Es la brecha más común de este dominio, y la causa rara vez es técnica: falta alguien autorizado a borrar y un registro de que borró. Define quién ejecuta, con qué frecuencia, y guarda el comprobante del descarte, que es la única evidencia que queda después. En el acceso, lo que casi siempre falta es la revisión periódica con registro de lo que se retiró, y no el criterio de concesión inicial.
80 o más
La retención y el acceso están bajo control. La atención va a los lugares donde el dato se reproduce sin pasar por la regla: un entorno de pruebas poblado con base de producción, una exportación a hoja de cálculo y un backup con plazo mayor que la retención declarada. Ninguno de los tres es irregular por sí mismo, y los tres tienen que estar escritos y justificados, si no la tabla dice una cosa y el entorno dice otra. Es la inconsistencia que aparece cuando el auditor pide ver, y no leer.
Menos de 50
Sin saber quién trata dato personal para la empresa no hay cómo instruir a nadie ni responder por nada. La lista viene antes del contrato: nómina, nube, marketing, cobranza, atención y el subcontratado que tu proveedor usa sin avisar. Con la lista en la mano, clasifica por criticidad y empieza la revisión contractual por los que tratan más dato o dato más sensible. Revisarlo todo con el mismo rigor no es sostenible, y la norma tampoco lo pide.
De 50 a 79
Los contratos nuevos salen con cláusula y la cartera antigua quedó como estaba. Como el contrato antiguo suele ser el del proveedor más arraigado, ahí está el mayor volumen de dato. Aprovecha la renovación para revisar y, donde no hay renovación cercana, usa un anexo con las instrucciones documentadas. Falta también, casi siempre, la instrucción en sí: la cláusula dice que el proveedor debe proteger, la instrucción dice qué puede y qué no puede hacer con el dato, y es la segunda la que la norma exige a quien contrata.
80 o más
La cadena está mapeada y contratada. Lo que diferencia de aquí en adelante es el seguimiento después de la firma: reevaluación periódica de los críticos, verificación de que el subcontratado nuevo fue comunicado y un procedimiento de salida que devuelva o elimine el dato al final del contrato. El cierre es el punto ciego más frecuente de este dominio, porque nadie celebra el fin de un contrato revisando qué quedó del otro lado.
Menos de 50
Este es el dominio que menos acepta comprimirse al final, porque la auditoría interna, la revisión por la dirección y el tratamiento de desviaciones solo existen después de haber ocurrido, con fecha. Si hay un plazo de cliente sobre la mesa, es por aquí que se empieza, aunque el resto siga en construcción. Del lado del incidente, la brecha específica de privacidad es quién decide si hubo riesgo al titular y quién comunica al regulador, una decisión que no se puede tomar en el día. Escribe ese criterio antes de necesitarlo.
De 50 a 79
O existe un plan de incidente de seguridad sin el recorte de dato personal, o existen reuniones de seguimiento sin auditoría. Son brechas distintas con la misma causa: la privacidad tratada como asunto de rutina, y no como sistema que se verifica. En el incidente, agrega al plan que ya existe el criterio de riesgo al titular y el plazo de comunicación, en vez de crear un plan paralelo que nadie va a abrir. En la auditoría, el requisito que suele trabar es la independencia: quien implantó no puede auditar lo que implantó.
80 o más
El ciclo ya cerró al menos una vez, y es eso lo que más protege el programa a lo largo del tiempo. El punto de atención es la verificación de eficacia: registrar la acción correctiva es común, volver meses después para confirmar que funcionó es raro, y es justamente lo que el auditor busca cuando quiere medir madurez. Vale también simular un incidente con dato personal de punta a punta, incluida la decisión de comunicar y el texto que iría al titular, porque el ensayo revela la demora que el proceso escrito esconde.
CÓMO LO CONDUCIMOS
La metodología es la misma que usamos en la ISO 27001, adaptada a lo que la privacidad tiene de propio: el rol en cada tratamiento, la base legal y el derecho del titular. Conducida por un especialista externo, con un punto focal de tu equipo, y evaluación binaria de cada requisito, sin nota subjetiva que nadie defiende en la auditoría.
Definimos el alcance y los límites del sistema de gestión (cláusula 4), comprometemos a la dirección y constituimos la gobernanza de privacidad (cláusula 5). En paralelo, mapeamos los tratamientos de dato personal y definimos, tratamiento a tratamiento, si la empresa es responsable o encargada.
Alcance y límites del sistema de gestión homologados
Inventario de tratamientos de dato personal
Rol definido por tratamiento: responsable o encargado
Gobernanza de privacidad constituida, con el delegado formalizado
Hito de entregaInventario de tratamientos aprobado y rol definido en el 100% de los flujos mapeados.
Ejecutamos el análisis de brechas frente a las cláusulas 6 y 7, registramos la base legal de cada tratamiento y evaluamos los riesgos a la privacidad de los titulares, que no son los mismos riesgos de la seguridad de la información. Donde la ley lo pide, producimos el informe de impacto.
Base legal registrada para cada tratamiento
Evaluación de riesgos a la privacidad de los titulares
Informe de impacto a la protección de datos, donde aplique
Plan de tratamiento y declaración de aplicabilidad de los controles
Hito de entregaBases legales aprobadas por el área jurídica y plan de tratamiento homologado por la dirección.
Implantamos los controles del Anexo A que corresponden al rol de la empresa, con el bloque compartido sirviendo a ambos. Es la fase en que la atención al titular deja de ser improvisación: plazo, canal, registro y respuesta estandarizada, además de retención y descarte definidos por tipo de dato.
Controles de responsable, de encargado o ambos, según el rol
Proceso de atención al titular, con plazo y registro
Política de retención y descarte por tipo de dato
Cláusulas de privacidad revisadas en los contratos con terceros
Hito de entregaPrimer ciclo de solicitudes de titular atendido dentro del plazo y con registro completo.
Ejecutamos la auditoría interna (cláusula 9) con un consultor independiente de quien implantó, conducimos la revisión por la dirección y tratamos las desviaciones (cláusula 10). Consolidamos las evidencias y acompañamos las dos fases de la auditoría externa.
Auditoría interna conducida por consultor independiente
Revisión por la dirección, con desviaciones tratadas
Repositorio de evidencias de privacidad consolidado
Acompañamiento en las fases 1 y 2 de la auditoría externa
Hito de entregaAuditoría de certificación concluida y certificado emitido por el organismo acreditado.
CUÁNTO TIEMPO LLEVA
No publicamos plazo estándar, porque un plazo publicado se vuelve promesa. En esta norma la variación es aún mayor que en la ISO 27001, y por un motivo específico: la empresa que hizo su adecuación con método llega con medio camino andado, y la que hizo un proyecto de papel llega prácticamente de cero. La primera conversación ya separa los dos casos.
Un inventario de tratamientos actualizado y bases legales registradas acortan meses. Un informe de hace dos años que nadie mantuvo suele valer menos de lo que parece, y es honesto decirlo antes de empezar.
Ser solo responsable es el camino más corto. Acumular ambos roles en flujos distintos multiplica los controles aplicables y las cláusulas contractuales a revisar.
Con ISO 27001 o ISO 42001 en operación, las cláusulas 4 a 10 son las mismas y buena parte del trabajo de gobernanza ya está hecho. Sin ninguno, esa base hay que construirla, y ahora se puede construir directamente sobre la 27701.
LOS PAPELES ESTÁN SEPARADOS
Como en toda norma certificable, quien emite el certificado es un organismo acreditado contratado por ti, nunca DM11, y la auditoría interna de la cláusula 9 la conduce quien no implantó. Hay una segunda separación aquí: la norma trata de gestión y no sustituye la asesoría jurídica sobre la ley de protección de datos. Los dos lados necesitan conversar, y el proyecto se conduce con un especialista en derecho digital al lado del especialista en gestión.
DM11 prepara, implanta y acompaña. No emite certificado
Tú contratas el organismo de certificación, y la elección es tuya
La auditoría interna de la cláusula 9 la hace quien no implantó
La norma organiza la gestión; la interpretación de la ley queda con el jurídico
PREGUNTAS FRECUENTES
Las dudas que aparecen en casi toda primera reunión, respondidas sin rodeos.
No, y esa es la novedad que cambia el cálculo. Hasta la versión de 2019 la 27701 era una extensión y no se certificaba sin la 27001 implantada. La revisión publicada el 14 de octubre de 2025 volvió la norma autónoma: ya no depende de la implementación de la 27001 ni de la 27002. Si recibiste una propuesta que afirma lo contrario, fue escrita sobre la versión anterior. Tener la 27001 sigue ayudando bastante, porque las cláusulas 4 a 10 son las mismas, pero dejó de ser prerrequisito.
No, y ninguna norma lo hace. La ley aplica exista o no un certificado; la ISO 27701 es un sistema de gestión que organiza el cumplimiento y permite demostrarlo a terceros. En la práctica se apoyan: quien hizo la adecuación con método llega con buena parte del inventario y de las bases legales listos, y quien certifica primero gana la disciplina de mantenimiento que suele faltar cuando termina un proyecto de adecuación.
Probablemente ambos, en flujos distintos, y es lo primero que definimos. Responsable es quien decide sobre el tratamiento; encargado es quien trata por cuenta de otra empresa. Una empresa suele ser responsable de los datos de sus propios empleados y encargada de los datos que procesa para clientes. La norma separa los controles por rol, así que esa definición es lo que más cambia el tamaño del proyecto.
Mucho menos que empezar de cero. Las cláusulas 4 a 10 son las mismas, así que contexto, liderazgo, planificación, auditoría interna y revisión por la dirección se extienden en lugar de duplicarse. El trabajo nuevo se concentra en lo propio de la privacidad: inventario de tratamientos, base legal, derechos del titular, retención y los controles del Anexo A según tu rol.
Responde bien, y la norma fue diseñada para eso: trae anexos que mapean los controles al GDPR. Un certificado reconocido internacionalmente suele cerrar la conversación que un dosier propio no cierra, porque vino de un tercero acreditado. No sustituye las cláusulas contractuales ni el análisis de transferencia internacional, que siguen siendo tema jurídico.
Vas a necesitarlo, como ocurrió en la transición de la ISO 27001 de 2013 a 2022. La norma trae un anexo que mapea la versión nueva contra la de 2019, justamente para apoyar esa migración. El plazo formal de transición lo define el foro internacional de acreditación, y la última vez que lo verificamos aún no se había publicado. Por eso no ponemos fecha aquí: cuando salga, es un hecho y entra en la página.
No, y nadie que implanta puede emitirlo. El certificado viene de un organismo de certificación acreditado que tú contratas. DM11 prepara la empresa, implanta el sistema de gestión junto a tu equipo y acompaña las dos fases de la auditoría externa. Es la misma separación que vale para la ISO 27001, y es lo que da valor al certificado.
La mayoría de las leyes de protección de datos ya exige que el responsable designe uno, así que en la mayoría de los casos la figura debería existir antes de cualquier certificación. Lo que la norma exige es que la responsabilidad esté formalizada y funcionando, con autonomía y canal de contacto de verdad. Si tu delegado es interno y está solo, el DPO Backoffice® de DM11 existe exactamente para eso.
En la primera conversación miramos qué existe de inventario, base legal y proceso de atención al titular, y te decimos con honestidad si el camino es corto o largo.
ISO/IEC · ISO/IEC 27701:2025, edição 2, publicada em outubro de 2025 · consultado el
ISO/IEC · ISO/IEC 27001:2022, edição 3, com a emenda 1:2024 · consultado el
Presidência da República, texto consolidado · consultado el
Esta página es informativa y describe cómo la DM11 lee y aplica las fuentes anteriores. No reproduce el texto de las normas, no sustituye la lectura del documento oficial y no sustituye una auditoría, una certificación, una evaluación independiente ni el asesoramiento jurídico. Donde la norma exige evaluación formal, quien la conduce es un organismo, auditoría o evaluador acreditado, siempre separado de quien preparó.