1/8/2021 ISO / IEC 29100 E

Página 1

INTERNACIONAL ISO / IEC

ESTÁNDAR 29100

Primera edición
2011-12-15

Tecnología de la información: seguridad

técnicas - Marco de privacidad
Technologies de l'information - Techniques de sécurité - Cadre privé

[Link] 1/28
1/8/2021 ISO / IEC 29100 E

Número de referencia
ISO / IEC 29100: 2011 (E)

© ISO / IEC 2011

Página 2
ISO / IEC 29100: 2011 (E)

DOCUMENTO PROTEGIDO POR DERECHOS DE AUTOR

© ISO / IEC 2011

Reservados todos los derechos. A menos que se especifique lo contrario, ninguna parte de esta publicación puede reproducirse o utilizarse de ninguna forma ni por ningún medio.
electrónico o mecánico, incluidas fotocopias y microfilmes, sin el permiso por escrito de ISO en la dirección que figura a continuación o
Organismo miembro de ISO en el país del solicitante.

Oficina de derechos de autor ISO

Caso postale 56 • CH-1211 Ginebra 20
Tel. + 41 22 749 01 11
Fax + 41 22749 09 47

[Link] 2/28
1/8/2021 ISO / IEC 29100 E
Correo electrónico copyright@[Link]
Web [Link]

Publicado en Suiza

ii © ISO / IEC 2011 - Todos los derechos reservados

Página 3
ISO / IEC 29100: 2011 (E)

Contenido Página

Prólogo ................................................. .................................................. .................................................. ........ v 

Introducción ................................................. .................................................. .................................................. ... vi 

1  Alcance ................................................. .................................................. .................................................. .1 

2  Términos y definiciones ............................................... .................................................. .......................... 1 

3  Símbolos y términos abreviados .............................................. .................................................. .......... 4 

4  Elementos básicos del marco de privacidad ............................................ ............................................... 5 

4.1  Descripción general del marco de privacidad ............................................. .................................................. ...... 5 
4.2  Actores y roles ............................................... .................................................. ................................... 5 
4.2.1 Principios de PII ............................................. .................................................. ........................................... 5   
4.2.2 Controladores PII ............................................. .................................................. .......................................... 5   
4.2.3 Procesadores PII ............................................. .................................................. ......................................... 5   
4.2.4 Terceros ............................................. .................................................. ............................................ 6   
4.3  Interacciones ................................................. .................................................. ......................................... 6 
4.4  Reconocimiento de PII ................................................ .................................................. .................................... 7 
4.4.1 Identificadores .............................................. .................................................. ............................................... 7   
4.4.2 Otras características distintivas ............................................ .................................................. ..... 7   
4.4.3 Información que está o podría estar vinculada a un principal de PII .................................... ............................ 8   
4.4.4 Datos seudónimos ............................................. .................................................. .............................. 9   
4.4.5 Metadatos .............................................. .................................................. ................................................. 9   
4.4.6 PII no solicitada ............................................. .................................................. ......................................... 9   
4.4.7 PII sensible ............................................. .................................................. ............................................ 9   
4.5  Requisitos de protección de la privacidad ............................................... .................................................. .10 
4.5.1 Factores legales y regulatorios ........................................... .................................................. ................. 11   
4.5.2 Factores contractuales ............................................. .................................................. ............................... 11   
4.5.3 Factores comerciales ............................................. .................................................. ................................... 12   
4.5.4 Otros factores ............................................. .................................................. ......................................... 12   
4.6  Políticas de privacidad ................................................ .................................................. ................................. 13 
4,7  Controles de privacidad ................................................ .................................................. ................................. 13 

5  Los principios de privacidad de ISO / IEC 29100 .......................................... ................................................. 14 

5.1  Resumen de los principios de privacidad .............................................. .................................................. .......... 14 
5.2  Consentimiento y elección ............................................... .................................................. ........................... 14 
5.3  Propósito legitimidad y especificación .............................................. ................................................. 15 
5.4  Limitación de colección ................................................ .................................................. .......................... 15 
5.5  Minimización de datos ................................................ .................................................. .............................. dieciséis 
5,6  Limitación de uso, retención y divulgación ............................................ ............................................... dieciséis 
5.7  Precisión y calidad ............................................... .................................................. ......................... dieciséis 
5.8  Apertura, transparencia y aviso ............................................. .................................................. .. 17 
5.9  Participación y acceso individual .............................................. .................................................. ... 17 
5.10  Responsabilidad ................................................. .................................................. ................................... 18 
5.11  Seguridad de información ................................................ .................................................. .......................... 18 
5.12  Cumplimiento de privacidad ................................................ .................................................. ........................... 19 
Anexo A (informativo) Correspondencia entre los conceptos ISO / IEC 29100 e ISO / IEC 27000
conceptos ................................................. .................................................. ............................................ 20 

Bibliografía ................................................. .................................................. .................................................. .21 

[Link] 3/28
1/8/2021 ISO / IEC 29100 E

© ISO / IEC 2011 - Todos los derechos reservados iii

Página 4
ISO / IEC 29100: 2011 (E)

Cifras

Figura 1 - Factores que influyen en la gestión de riesgos de privacidad .......................................... ........................................ 11

Mesas

Tabla 1 - Posibles flujos de PII entre el principal de PII, el controlador de PII, el procesador de PII y un tercero y sus
roles 7 

Tabla 2 - Ejemplo de atributos que se pueden utilizar para identificar a las personas físicas 8 

Tabla 3 - Los principios de privacidad de ISO / IEC 29100 14 

Tabla A.1 - Coincidencia de conceptos de ISO / IEC 29100 con conceptos de ISO / IEC 27000 20 

[Link] 4/28
1/8/2021 ISO / IEC 29100 E

iv © ISO / IEC 2011 - Todos los derechos reservados

Página 5
ISO / IEC 29100: 2011 (E)

Prefacio

ISO (la Organización Internacional de Normalización) e IEC (la International Electrotechnical

Comisión) forman el sistema especializado para la normalización mundial. Organismos nacionales que son miembros de
ISO o IEC participan en el desarrollo de Normas Internacionales a través de comités técnicos
establecido por la organización respectiva para tratar campos particulares de actividad técnica. ISO e IEC
los comités técnicos colaboran en campos de interés mutuo. Otras organizaciones internacionales, gubernamentales
y no gubernamentales, en coordinación con ISO e IEC, también participan en el trabajo. En el campo de la información
tecnología, ISO e IEC han establecido un comité técnico conjunto, ISO / IEC JTC 1.

Las Normas Internacionales se redactan de acuerdo con las reglas dadas en las Directivas ISO / IEC, Parte 2.

La tarea principal del comité técnico conjunto es preparar Normas Internacionales. Draft Internacional
Las normas adoptadas por el comité técnico conjunto se envían a los organismos nacionales para su votación. Publicación como
una Norma Internacional requiere la aprobación de al menos el 75% de los organismos nacionales con derecho a voto.

Se llama la atención sobre la posibilidad de que algunos de los elementos de este documento puedan ser objeto de patente.
derechos. ISO e IEC no serán responsables de identificar ninguno o todos los derechos de patente.

ISO / IEC 29100 fue preparado por el Comité Técnico Conjunto ISO / IEC JTC 1, Tecnología de la información ,
Subcomité SC 27, Técnicas de seguridad informática .

[Link] 5/28
1/8/2021 ISO / IEC 29100 E

© ISO / IEC 2011 - Todos los derechos reservados v

Página 6
ISO / IEC 29100: 2011 (E)

Introducción

Esta Norma Internacional proporciona un marco de alto nivel para la protección de

información identificable (PII) dentro de los sistemas de tecnología de la información y la comunicación (TIC). Es
de naturaleza general y coloca los aspectos organizativos, técnicos y de procedimiento en una privacidad general
marco de referencia.

El marco de privacidad está destinado a ayudar a las organizaciones a definir su protección de la privacidad.
requisitos relacionados con la PII en un entorno de TIC mediante:

- especificar una terminología de privacidad común;

- definir los actores y sus roles en el procesamiento de la PII;
- describir los requisitos de protección de la privacidad; y
- haciendo referencia a principios de privacidad conocidos.

En algunas jurisdicciones, las referencias de esta Norma Internacional a los requisitos de protección de la privacidad
podría entenderse como un complemento de los requisitos legales para la protección de la PII. Debido a
el creciente número de tecnologías de la información y la comunicación que procesan la PII, es
importante tener estándares internacionales de seguridad de la información que proporcionen un entendimiento común
para la protección de la PII. Esta norma internacional está destinada a mejorar la seguridad existente
estándares al agregar un enfoque relevante para el procesamiento de PII.

El uso comercial y el valor cada vez mayores de la PII, el intercambio de PII entre jurisdicciones legales y la
La creciente complejidad de los sistemas de TIC puede dificultar que una organización garantice la privacidad y
lograr el cumplimiento de las diversas leyes aplicables. Las partes interesadas en la privacidad pueden evitar la incertidumbre
y la desconfianza que surja al manejar adecuadamente los asuntos de privacidad y evitar casos de uso indebido de PII.

El uso de esta Norma Internacional:

- ayudar en el diseño, implementación, operación y mantenimiento de sistemas de TIC que manejan y protegen
PII;
- impulsar soluciones innovadoras para permitir la protección de la PII dentro de los sistemas de TIC; y
- mejorar los programas de privacidad de las organizaciones mediante el uso de las mejores prácticas.

El marco de privacidad proporcionado en esta Norma Internacional puede servir como base para
iniciativas de estandarización de privacidad, como para:

- una arquitectura de referencia técnica;

- la implementación y el uso de tecnologías de privacidad específicas y la gestión general de la privacidad;
- controles de privacidad para procesos de datos subcontratados;
- evaluaciones de riesgo de privacidad; o
- especificaciones técnicas específicas.

Algunas jurisdicciones pueden requerir el cumplimiento de uno o más de los documentos a los que se hace referencia en
ISO / IEC JTC 1 / SC 27 WG 5 Documento permanente 2 (WG 5 SD2) - Documentos oficiales de privacidad
Referencias [3] o con otras leyes y regulaciones aplicables, pero esta Norma Internacional no es
pretende ser una política modelo global, ni un marco legislativo.

[Link] 6/28
1/8/2021 ISO / IEC 29100 E

vi © ISO / IEC 2011 - Todos los derechos reservados

Página 7

ESTÁNDAR INTERNACIONAL ISO / IEC 29100: 2011 (E)

Tecnología de la información - Técnicas de seguridad - Privacidad

marco de referencia

1 Alcance

Esta Norma Internacional proporciona un marco de privacidad que

- especifica una terminología de privacidad común;

- define los actores y sus roles en el procesamiento de la información de identificación personal (PII);
- describe las consideraciones de protección de la privacidad; y
- proporciona referencias a principios de privacidad conocidos para la tecnología de la información.

Esta Norma Internacional es aplicable a personas físicas y organizaciones involucradas en especificar,

adquirir, diseñar, desarrollar, probar, mantener, administrar y operar
sistemas o servicios de tecnología de la información y la comunicación donde se requieren controles de privacidad
para el procesamiento de PII.

2 Términos y definiciones

Para los propósitos de este documento, se aplican los siguientes términos y definiciones.

NOTA Para facilitar el uso de la familia de Normas Internacionales ISO / IEC 27000 en el contexto específico de
privacidad y para integrar conceptos de privacidad en el contexto ISO / IEC 27000, la tabla en el Anexo A proporciona la ISO / IEC 27000
conceptos que se corresponden con los conceptos de ISO / IEC 29100 utilizados en esta Norma Internacional.

2.1
anonimato
característica de la información que no permite que un director de información de identificación personal sea
identificado directa o indirectamente

2.2
anonimización
proceso mediante el cual la información de identificación personal (PII) se modifica irreversiblemente de tal manera que un
El principal de PII ya no puede ser identificado directa o indirectamente, ya sea por el controlador de PII solo o en
colaboración con cualquier otra parte

2.3
datos anonimizados
datos que se han producido como resultado de una información de identificación personal anonimización
proceso

2.4
consentimiento
información de identificación personal (PII) el acuerdo del director otorgado libremente, específico e informado para
el procesamiento de su PII

[Link] 7/28
1/8/2021 ISO / IEC 29100 E

© ISO / IEC 2011 - Todos los derechos reservados 1

Página 8
ISO / IEC 29100: 2011 (E)

2.5
identificabilidad
condición que da como resultado la identificación directa de un principal de información de identificación personal (PII),
o indirectamente, sobre la base de un conjunto determinado de PII

2.6
identificar
establecer el vínculo entre un principal de información de identificación personal (PII) y PII o un conjunto de PII

2,7
identidad
conjunto de atributos que permiten identificar el principal de la información de identificación personal

2.8
optar en
proceso o tipo de política por la cual se requiere que el director de la información de identificación personal (PII)
tomar una acción para expresar el consentimiento previo explícito para que su PII sea procesada para un propósito particular

NOTA Un término diferente que se utiliza a menudo con el principio de privacidad "consentimiento y elección" es "exclusión voluntaria". Describe un
proceso o tipo de política por la cual el director de PII debe tomar una acción separada para retener o retirar
consentir u oponerse a un tipo específico de tratamiento. El uso de una política de exclusión voluntaria supone que el controlador de PII tiene el derecho
para procesar la PII de la forma prevista. Este derecho puede estar implícito en alguna acción del principal de PII diferente al consentimiento
(por ejemplo, realizar un pedido en una tienda en línea).

2.9
información de identificación personal
PII
cualquier información que (a) pueda usarse para identificar al principal de PII con quien se relaciona dicha información, o
(b) está o podría estar vinculado directa o indirectamente a un principal de PII

NOTA Para determinar si un principal de PII es identificable, deben tenerse en cuenta todos los medios que pueden
ser utilizado razonablemente por la parte interesada en la privacidad que posee los datos, o por cualquier otra parte, para identificar a esa persona física.

2.10
Controlador de PII
parte interesada en la privacidad (o partes interesadas en la privacidad) que determina los propósitos y medios para
procesar información de identificación personal (PII) que no sean personas físicas que utilizan datos para
propósitos personales

NOTA Un controlador de PII a veces instruye a otros (por ejemplo, procesadores de PII) para procesar PII en su nombre mientras el
la responsabilidad del procesamiento recae en el controlador de PII.

2.11
Principal de PII
persona física a la que se refiere la información de identificación personal (PII)

NOTA Dependiendo de la jurisdicción y la legislación particular de protección de datos y privacidad, el sinónimo “datos
sujeto ”también se puede utilizar en lugar del término“ principal de PII ”.

2.12
Procesador de PII
parte interesada en la privacidad que procesa la información de identificación personal (PII) en nombre y en
de acuerdo con las instrucciones de un controlador de PII

2.13
violación de la privacidad
situación en la que la información de identificación personal se procesa en violación de uno o más
requisitos de protección de la privacidad

[Link] 8/28
1/8/2021 ISO / IEC 29100 E

2 © ISO / IEC 2011 - Todos los derechos reservados

Página 9
ISO / IEC 29100: 2011 (E)

2.14
controles de privacidad
Medidas que tratan los riesgos de privacidad reduciendo su probabilidad o sus consecuencias.

NOTA 1 Los controles de privacidad incluyen medidas organizativas, físicas y técnicas, por ejemplo, políticas, procedimientos, directrices,
contratos legales, prácticas de gestión o estructuras organizativas.

NOTA 2 El control también se utiliza como sinónimo de salvaguardia o contramedida.

2.15
tecnología que mejora la privacidad
MASCOTA
control de la privacidad, que consiste en medidas, productos y tecnologías de la información y la comunicación (TIC)
o servicios que protegen la privacidad al eliminar o reducir la información de identificación personal (PII) o
evitando el procesamiento innecesario y / o no deseado de PII, todo sin perder la funcionalidad de
el sistema de las TIC

NOTA 1 Los ejemplos de PET incluyen, entre otros, herramientas de anonimización y seudonimización que eliminan,
reducir, enmascarar o anular la identificación de la PII o que eviten el procesamiento innecesario, no autorizado y / o indeseable de la PII.

NOTA 2 El enmascaramiento es el proceso de ocultar elementos de PII.

2.16
política de privacidad
intención y dirección general, reglas y compromiso, tal como lo expresó el personal
controlador de información identificable (PII) relacionado con el procesamiento de PII en un entorno particular

2.17
preferencias de privacidad
elecciones específicas hechas por un director de información de identificación personal (PII) sobre cómo su PII
debe ser procesado para un propósito particular

2.18
principios de privacidad
conjunto de valores compartidos que rigen la protección de la privacidad de la información de identificación personal (PII) cuando
procesado en sistemas de tecnología de la información y la comunicación

2.19
riesgo de privacidad
efecto de la incertidumbre sobre la privacidad

NOTA 1 El riesgo se define como el “efecto de la incertidumbre sobre los objetivos” en la Guía ISO 73 e ISO 31000.

NOTA 2 La incertidumbre es el estado, incluso parcial, de deficiencia de información relacionada con la comprensión o el conocimiento de un
evento, su consecuencia o probabilidad.

2,20
evaluación de riesgos de privacidad
proceso general de identificación de riesgos, análisis de riesgos y evaluación de riesgos con respecto al procesamiento de
información de identificación personal (PII)

NOTA Este proceso también se conoce como evaluación de impacto en la privacidad.

2.21
requisitos de protección de la privacidad
conjunto de requisitos que una organización debe tener en cuenta al procesar datos de identificación personal
información (PII) con respecto a la protección de la privacidad de PII

2.22
interesado en la privacidad
persona física o jurídica, autoridad pública, agencia o cualquier otro organismo que pueda afectar, verse afectado o
perciben que se ven afectados por una decisión o actividad relacionada con
procesamiento de información (PII)

[Link] 9/28
1/8/2021 ISO / IEC 29100 E

© ISO / IEC 2011 - Todos los derechos reservados 3

Página 10
ISO / IEC 29100: 2011 (E)

2.23
procesamiento de PII
operación o conjunto de operaciones realizadas sobre información de identificación personal (PII)

NOTA Ejemplos de operaciones de procesamiento de PII incluyen, pero no se limitan a, la recopilación, almacenamiento, alteración,
recuperación, consulta, divulgación, anonimización, seudonimización, difusión o puesta a disposición de cualquier otra forma, eliminación
o destrucción de PII.

2,24
seudonimización
proceso aplicado a la información de identificación personal (PII) que reemplaza la información de identificación con
un alias

NOTA 1 La seudonimización la pueden realizar los propios directores de PII o los controladores de PII. Seudonimización
puede ser utilizado por los directores de PII para usar consistentemente un recurso o servicio sin revelar su identidad a este recurso o
servicio (o entre servicios), sin dejar de ser responsable de ese uso.

NOTA 2 La seudonimización no descarta la posibilidad de que pueda haber (un conjunto restringido de) partes interesadas en la privacidad
que no sea el controlador de PII de los datos seudonimizados que pueden determinar la identidad del principal de PII en función de la
alias y datos vinculados a él.

2,25
uso secundario
procesamiento de información de identificación personal (PII) en condiciones que difieren de las iniciales

NOTA Las condiciones que difieren de las iniciales podrían implicar, por ejemplo, un nuevo propósito para el procesamiento de PII, un nuevo
destinatario de la PII, etc.

2,26
PII sensible
categoría de información de identificación personal (PII), ya sea cuya naturaleza sea sensible, como las
que se relacionan con la esfera más íntima del director de PII, o que podrían tener un impacto significativo en la
Principal de PII

NOTA En algunas jurisdicciones o en contextos específicos, la PII sensible se define en referencia a la naturaleza de la PII y puede
Consistan en PII que revelen el origen racial, opiniones políticas o creencias religiosas o de otro tipo, datos personales sobre salud, vida sexual o
condenas penales, así como otra PII que podría definirse como sensible.

2,27
tercero
parte interesada en la privacidad que no sea el principal de información de identificación personal (PII), el controlador de PII
y el procesador de PII, y las personas físicas que están autorizadas para procesar los datos bajo la
autoridad directa del controlador de PII o del procesador de PII

3 Símbolos y términos abreviados

Las siguientes abreviaturas son comunes a ISO / IEC 29100.

TIC Tecnología de la información y la comunicación

MASCOTATecnología de mejora de la privacidad

PII Información de identificación personal

[Link] 10/28
1/8/2021 ISO / IEC 29100 E

4 © ISO / IEC 2011 - Todos los derechos reservados

Página 11
ISO / IEC 29100: 2011 (E)

4 Elementos básicos del marco de privacidad

4.1 Descripción general del marco de privacidad

Los siguientes componentes se relacionan con la privacidad y el procesamiento de la PII en los sistemas de TIC y componen
el marco de privacidad descrito en esta Norma Internacional:

- actores y roles;
- interacciones;
- reconocer PII;
- requisitos de protección de la privacidad;
- políticas de privacidad; y
- controles de privacidad.

Para el desarrollo de este marco de privacidad, conceptos, definiciones y recomendaciones de

se han tenido en cuenta otras fuentes oficiales. Estas fuentes se pueden encontrar en
ISO / IEC JTC 1 / SC 27 WG 5 Documento permanente 2 (WG 5 SD2) - Documentos oficiales de privacidad
Referencias [3].

4.2 Actores y roles

Para los propósitos de esta norma, es importante identificar los actores involucrados en el procesamiento de
PII. Hay cuatro tipos de actores que pueden participar en el procesamiento de PII: directores de PII, PII
controladores, procesadores de PII y terceros.

4.2.1 Principales de PII

Los directores de PII proporcionan su PII para su procesamiento a los controladores y procesadores de PII y, cuando no lo es
según lo disponga la ley aplicable, dan su consentimiento y determinan sus preferencias de privacidad para
cómo se debe procesar su PII. Los directores de PII pueden incluir, por ejemplo, un empleado que figura en el
sistema de recursos humanos de una empresa, el consumidor mencionado en un informe crediticio y un paciente
enumerados en un registro de salud electrónico. No siempre es necesario que la respectiva persona física esté
identificado directamente por su nombre para ser considerado un principal de PII. Si la persona física a quien
Las relaciones PII se pueden identificar indirectamente (por ejemplo, a través de un identificador de cuenta, número de seguro social o
incluso a través de la combinación de atributos disponibles), él o ella se considera el principal de PII
para ese conjunto de PII.

4.2.2 Controladores PII

Un controlador de PII determina por qué (propósito) y cómo (medios) tiene lugar el procesamiento de PII. El
El controlador de PII debe garantizar el cumplimiento de los principios de privacidad en este marco durante la
procesamiento de PII bajo su control (por ejemplo, mediante la implementación de los controles de privacidad necesarios). Allí
podría ser más de un controlador de PII para el mismo conjunto de PII o conjunto de operaciones realizadas sobre PII
(para los mismos o diferentes fines legítimos). En este caso los diferentes controladores PII funcionarán
juntos y hacer los arreglos necesarios para garantizar que se cumplan los principios de privacidad
durante el procesamiento de la PII. Un controlador de PII también puede decidir tener todo o parte del procesamiento
operaciones realizadas por una parte interesada de privacidad diferente en su nombre. Los controladores de PII deben
evaluar si están procesando información personal confidencial e implementar información razonable y apropiada
controles de privacidad y seguridad basados ​en los requisitos establecidos en la jurisdicción relevante, así
como cualquier efecto adverso potencial para los directores de PII según lo identificado durante una evaluación de riesgo de privacidad.

4.2.3 Procesadores de PII

Un procesador de PII lleva a cabo el procesamiento de PII en nombre de un controlador de PII, actúa en nombre de o en
de acuerdo con las instrucciones del controlador de PII, observa los requisitos de privacidad estipulados

[Link] 11/28
1/8/2021 ISO / IEC 29100 E
© ISO / IEC 2011 - Todos los derechos reservados 5

Pagina 12
ISO / IEC 29100: 2011 (E)

e implementa los controles de privacidad correspondientes. En algunas jurisdicciones, el procesador de PII está obligado
por un contrato legal.

4.2.4 Terceros

Un tercero puede recibir PII de un controlador de PII o de un procesador de PII. Un tercero no procesa
PII en nombre del controlador de PII. Generalmente, el tercero se convertirá en un controlador de PII por sí mismo.
una vez que haya recibido la PII en cuestión.

4.3 Interacciones

Los actores identificados en la cláusula anterior pueden interactuar entre sí de diversas formas. Tan lejos
ya que los posibles flujos de PII entre el principal de PII, el controlador de PII y el procesador de PII son
en cuestión, se pueden identificar los siguientes escenarios:

a) el principal de PII proporciona PII a un controlador de PII (por ejemplo, cuando se registra para un servicio proporcionado por
el controlador de PII);

b) el controlador de PII proporciona PII a un procesador de PII que procesa esa PII en nombre de PII
controlador (por ejemplo, como parte de un contrato de subcontratación);

c) el principal de PII proporciona PII a un procesador de PII que procesa esa PII en nombre de PII
controlador;

d) el controlador de PII proporciona al principal de PII con PII que está relacionado con el principal de PII (por ejemplo,
de conformidad con una solicitud realizada por el director de PII);

e) el procesador de PII proporciona PII al principal de PII (por ejemplo, según lo indique el controlador de PII); y

f) el procesador de PII proporciona PII al controlador de PII (por ejemplo, después de haber realizado el servicio para
que fue designado).

Los roles del director de PII, el controlador de PII, el procesador de PII y un tercero en estos escenarios son
ilustrado en la Tabla 1.

Es necesario distinguir entre procesadores de PII y terceros porque el control legal de

la PII permanece con el controlador PII original cuando se envía al procesador PII, mientras que una
un tercero puede convertirse en un controlador de PII por derecho propio una vez que haya recibido la PII en cuestión. Para
Por ejemplo, cuando un tercero toma la decisión de transferir la PII que ha recibido de un controlador de PII a
otra parte, actuará como controlador de PII por derecho propio y, por lo tanto, ya no será
considerado un tercero.

En cuanto a los posibles flujos de PII entre los controladores de PII y los procesadores de PII por un lado, y
terceros, por otro lado, se pueden identificar los siguientes escenarios:

g) el controlador de PII proporciona PII a un tercero (por ejemplo, en el contexto de un acuerdo comercial); y

h) el procesador de PII proporciona PII a un tercero (por ejemplo, según lo indique el controlador de PII).

Las funciones del controlador de PII y un tercero en estos escenarios también se ilustran en la Tabla 1.

[Link] 12/28
1/8/2021 ISO / IEC 29100 E
6 © ISO / IEC 2011 - Todos los derechos reservados

Página 13
ISO / IEC 29100: 2011 (E)

Tabla 1 - Posibles flujos de PII entre el principal de PII, el controlador de PII, el procesador de PII y un tercero
partido y sus roles

Principal de PII Controlador de PII Procesador de PII Tercero

Escenario a) Proveedor de PII Destinatario de PII - -

Escenario b) - Proveedor de PII Destinatario de PII -

Escenario c) Proveedor de PII - Destinatario de PII -

Escenario d) Destinatario de PII Proveedor de PII - -

Escenario e) Destinatario de PII - Proveedor de PII -

Escenario f) - Destinatario de PII Proveedor de PII -

Escenario g) - Proveedor de PII - Destinatario de PII

Escenario h) - - Proveedor de PII Destinatario de PII

4.4 Reconocimiento de PII

Para determinar si una persona física debe considerarse identificable o no, se necesitan varios factores.
a tener en cuenta. En particular, deben tenerse en cuenta todos los medios que puedan
ser utilizado razonablemente por la parte interesada en la privacidad que posee los datos, o por cualquier otra parte, para identificar que
persona natural. Los sistemas de TIC deben respaldar los mecanismos que harán que el director de PII sea consciente de
tal PII y proporcionar a la persona física los controles adecuados sobre el intercambio de esa información.
Las siguientes subcláusulas proporcionan aclaraciones adicionales sobre cómo determinar si una PII
principal debe considerarse identificable.

4.4.1 Identificadores

En ciertos casos, la identificabilidad del principal de PII puede ser muy clara (por ejemplo, cuando la información
contiene o está asociado con un identificador que se utiliza para hacer referencia o comunicarse con la PII
principal). Se puede considerar que la información es PII en al menos los siguientes casos:

- si contiene o está asociado con un identificador que se refiere a una persona física (por ejemplo, un seguro social
número);
- si contiene o está asociado con un identificador que puede estar relacionado con una persona física (por ejemplo, un
número de pasaporte, un número de cuenta);
- si contiene o está asociado con un identificador que se puede utilizar para establecer una comunicación con
una persona física identificada (por ejemplo, una ubicación geográfica precisa, un número de teléfono); o
- si contiene una referencia que vincula los datos a cualquiera de los identificadores anteriores.

4.4.2 Otras características distintivas

La información no necesita estar asociada necesariamente con un identificador para ser considerada
PII. La información también se considerará PII si contiene o está asociada con una característica que
distingue a una persona física de otras personas físicas (por ejemplo, datos biométricos).

Cualquier atributo que adquiera un valor que identifique de forma única a un principal de PII se debe considerar como un
característica distintiva. Tenga en cuenta que si una característica dada distingue o no un
persona de otras personas físicas puede cambiar dependiendo del contexto de uso. Por ejemplo, mientras
el apellido de una persona física puede ser insuficiente para identificar a esa persona física en un
escala, a menudo será suficiente distinguir a una persona física en la escala de una empresa.

© ISO / IEC 2011 - Todos los derechos reservados 7

[Link] 13/28
1/8/2021 ISO / IEC 29100 E

Página 14
ISO / IEC 29100: 2011 (E)

Además, también puede haber situaciones en las que una persona física sea identificable incluso si no hay
atributo único que lo identifica de manera única. Este es el caso cuando una combinación de varios
Los atributos tomados en conjunto distinguen a esta persona física de otras personas físicas. Si o no
una persona física es identificable sobre la base de una combinación de atributos también puede ser dependiente
en el dominio específico. Por ejemplo, la combinación de los atributos "mujer", "45" y "abogado"
puede ser suficiente para identificar a una persona física dentro de una empresa en particular, pero a menudo será insuficiente
para identificar a esa persona física fuera de esa empresa.

La Tabla 2 proporciona algunos ejemplos de atributos que podrían ser PII, según el dominio. Estas
los ejemplos son informativos.

Tabla 2 - Ejemplo de atributos que se pueden utilizar para identificar a las personas físicas

Ejemplos de

Edad o necesidades especiales de las personas físicas vulnerables

Denuncias de conducta criminal
Cualquier información recopilada durante los servicios de salud.
Número de cuenta bancaria o tarjeta de crédito
Identificador biométrico
Estados de cuenta de tarjetas de crédito
Condenas penales o delitos cometidos
Informes de investigación criminal
Número de cliente
Fecha de nacimiento
Información de salud diagnóstica
Discapacidades
Facturas del doctor
Expedientes de sueldos y recursos humanos de los empleados
Perfil financiero
Género
Posicion GPS
Trayectorias GPS
Direccion de casa
dirección IP
Ubicación derivada de los sistemas de telecomunicaciones
Historial médico
Nombre
Identificadores nacionales (p. Ej., Número de pasaporte)
Dirección de correo electrónico personal
Números de identificación personal (PIN) o contraseñas
Intereses personales derivados del seguimiento del uso de sitios web de Internet
Perfil personal o conductual
Número de teléfono personal
Fotografía o video identificable para una persona física
Preferencias de productos y servicios
Origen racial o étnico
Creencias religiosas o filosóficas
Orientación sexual
Afiliación sindical
Recibos de servicios públicos

4.4.3 Información que está o podría estar vinculada a un principal de PII

Si la información en cuestión no identifica un principal de PII, se debe determinar si el

la información está o puede estar vinculada a la identidad de una persona física.

Una vez que se establece la relación con una persona física identificable, es necesario decidir
si la información dice algo sobre esta persona física, por ejemplo, si se refiere a ella o
sus características o comportamiento. Los ejemplos incluyen registros médicos, perfiles financieros o los
intereses derivados del seguimiento del uso de sitios web de Internet. Además, las declaraciones de atributos simples sobre un
Una persona física, como la edad o el sexo de una persona física, puede calificar la información vinculada como PII.
Independientemente, si se puede establecer la relación con una persona física identificable, tal
La información también debe tratarse como PII.

8 © ISO / IEC 2011 - Todos los derechos reservados

[Link] 14/28
1/8/2021 ISO / IEC 29100 E

Página 15
ISO / IEC 29100: 2011 (E)

4.4.4 Datos seudónimos

Para restringir la capacidad de los controladores y procesadores de PII para identificar el principal de PII, la identidad
la información se puede reemplazar por alias. Este reemplazo generalmente lo realiza un proveedor de PII
antes de transmitir la PII a un destinatario de PII, en particular en los escenarios a, b, c, gyh de la Tabla 1.

Ciertos procesos comerciales se basan en procesadores designados que realizan la sustitución y el control
la tabla de asignación o función. Este suele ser el caso cuando es necesario que los datos confidenciales
procesados ​por partes interesadas en la privacidad que no los recopilaron.

La sustitución se considera seudonimización siempre que:

(a) los atributos restantes vinculados al alias no son suficientes para identificar al principal de PII a quien
relacionar; y

(b) la asignación de alias es tal que no se puede revertir mediante esfuerzos razonables de privacidad
partes interesadas distintas de las que las realizaron.

La seudonimización conserva la vinculabilidad. Se pueden identificar diferentes datos asociados con el mismo seudónimo.
vinculado. Cuanto mayor sea el conjunto de datos asociados con un seudónimo dado, mayor es el riesgo de que
propiedad (a) es violada. Además, cuanto más pequeño es el grupo de personas físicas al que un conjunto de
Se relacionan los datos seudónimos, mayor es la probabilidad de que un principal de PII sea identificable. Atributos
contenidos directamente en la información en cuestión y atributos que se pueden vincular fácilmente a este
La información (por ejemplo, mediante el uso de un motor de búsqueda o haciendo referencias cruzadas con otras bases de datos) debe ser
tener en cuenta al determinar si la información se relaciona o no con un natural identificable
persona.

La seudonimización contrasta con la anonimización. Los procesos de anonimización también cumplen las propiedades (a)
y (b) anterior, pero destruye la vinculabilidad. Durante el anonimato, la información de identidad se borra o
sustituido por alias para los que se destruye la función de asignación o la tabla. Por lo tanto, anonimizado
los datos ya no son PII.

4.4.5 Metadatos

La PII se puede almacenar en un sistema de TIC de tal manera que no sea fácilmente visible para el usuario del sistema (es decir,
al director de PII). Los ejemplos incluyen el nombre del principal de PII almacenado como metadatos en las propiedades
de un documento y comentarios o cambios registrados almacenados como metadatos en un procesador de texto
documento. Si el director de la PII se enteró de la existencia de la PII o del procesamiento de la PII
para tal fin, él o ella podría preferir que la PII no se procese de esa manera o se comparta
en público.

4.4.6 PII no solicitada

La PII que no fue solicitada por un controlador de PII o un procesador de PII (es decir, obtenida involuntariamente) también podría
almacenarse en un sistema de TIC. Por ejemplo, un principal de PII podría proporcionar PII a una PII
controlador que no fue solicitado o buscado por el controlador de PII (por ejemplo, PII adicional proporcionada en el
contexto de un formulario de comentarios anónimos en un sitio web). El riesgo de recopilar PII no solicitada puede ser
reducido al considerar medidas de protección de la privacidad en el momento del diseño del sistema (también
referido como el concepto de "privacidad por diseño").

4.4.7 PII sensible

La sensibilidad se extiende a toda la PII de la que se puede derivar la PII sensible. Por ejemplo, médico
las recetas pueden revelar información detallada sobre la salud del director de PII. Incluso si la PII no
contener información directa sobre la orientación sexual o la salud del director de PII, si pudiera usarse para
inferir dicha información, la PII podría ser sensible. Para los propósitos de esta norma, la PII debe tratarse
como PII sensible cuando dicha inferencia y conocimiento de la identidad del director de PII es razonablemente
posible.

© ISO / IEC 2011 - Todos los derechos reservados 9

[Link] 15/28
1/8/2021 ISO / IEC 29100 E

Página 16
ISO / IEC 29100: 2011 (E)

En algunas jurisdicciones, lo que constituye PII sensible también se define explícitamente en la legislación. Ejemplos de
incluir información que revele raza, origen étnico, creencias religiosas o filosóficas, opiniones políticas,
afiliación sindical, estilo de vida u orientación sexual y la salud física o mental del PII
principal. En otras jurisdicciones, la PII sensible puede incluir información que podría facilitar la identidad
robo o que de otra manera resulte en un daño financiero significativo a la persona física (por ejemplo, números de tarjetas de crédito,
información de la cuenta bancaria o identificadores emitidos por el gobierno, como números de pasaporte,
números de seguridad o números de licencia de conducir) e información que podría usarse para determinar la
Ubicación en tiempo real del director de PII.

El procesamiento de la información de identificación personal sensible requiere precauciones especiales. En algunas jurisdicciones, el procesamiento de
La PII sensible puede estar prohibida por la ley aplicable, incluso con el consentimiento del director de PII. Algunos
jurisdicciones pueden requerir la implementación de controles específicos donde ciertos tipos de PII sensibles son
procesado (por ejemplo, un requisito para cifrar la PII médica cuando se transmite a través de una red pública).

4.5 Requisitos de protección de la privacidad

Las organizaciones están motivadas para proteger la PII por una variedad de razones: para proteger la PII del director
privacidad, para cumplir con los requisitos legales y reglamentarios, para practicar la responsabilidad corporativa, para mejorar
confianza del consumidor, etc. El propósito de esta cláusula es proporcionar una descripción general de los diferentes factores que
puede influir en los requisitos de protección de la privacidad que son relevantes para una organización en particular o
PII de procesamiento de partes interesadas de privacidad.

Los requisitos de protección de la privacidad pueden relacionarse con muchos aspectos diferentes del procesamiento de PII, por ejemplo, la
recopilación y retención de PII, la transferencia de PII a terceros, la relación contractual entre
Controladores de PII y procesadores de PII, la transferencia internacional de PII, etc. Protección de la privacidad
los requisitos también pueden variar en especificidad. Pueden ser de naturaleza muy general, por ejemplo, consistiendo en un
enumeración de principios de privacidad de alto nivel que se espera que una organización tenga en cuenta
al procesar PII. Sin embargo, los requisitos de protección de la privacidad también pueden involucrar
restricciones sobre el procesamiento de ciertos tipos de PII, o exigir la implementación de
controles de privacidad.

El diseño de cualquier sistema de TIC que implique el procesamiento de PII debe ir precedido de una
identificación de los requisitos de protección de la privacidad relevantes. Las implicaciones de privacidad de nuevos o
Los sistemas de TIC sustancialmente modificados que involucran el procesamiento de PII deben resolverse antes de que
Se implementan sistemas de TIC. Las organizaciones realizan rutinariamente amplias actividades de gestión de riesgos y
Desarrollar perfiles de riesgo relacionados con sus sistemas TIC.

La gestión de riesgos se define como “actividades coordinadas para dirigir y controlar una organización con
respecto al riesgo ”(Guía ISO 73: 2009). El proceso de gestión de riesgos de privacidad comprende lo siguiente
procesos:

- establecer el contexto, mediante la comprensión de la organización (por ejemplo, procesamiento de PII, responsabilidades),
entorno técnico y los factores que influyen en la gestión de riesgos de privacidad (es decir, legales y reglamentarios
factores, factores contractuales, factores comerciales y otros factores);
- evaluación de riesgos, mediante la identificación, el análisis y la evaluación de los riesgos para los directores de PII (riesgos que pueden
afectado negativamente);
- tratamiento de riesgos, definiendo los requisitos de protección de la privacidad, identificando e implementando la privacidad
controles para evitar o reducir los riesgos para los directores de PII;
- comunicación y consulta, obteniendo información de las partes interesadas, obteniendo consensos
en cada proceso de gestión de riesgos, e informar a los directores de PII y comunicar sobre los riesgos y
control S; y
- seguimiento y revisión, haciendo un seguimiento de los riesgos y controles, y mejorando el proceso.

Un resultado puede ser una evaluación del impacto de la privacidad, que es el componente de la gestión de riesgos.
que se centra en garantizar el cumplimiento de los requisitos de la legislación sobre privacidad y protección de datos y
evaluar las implicaciones de privacidad de programas o actividades nuevos o sustancialmente modificados. Intimidad
Las evaluaciones de impacto deben enmarcarse dentro del marco más amplio de gestión de riesgos de una organización.

10 © ISO / IEC 2011 - Todos los derechos reservados

[Link] 16/28
1/8/2021 ISO / IEC 29100 E

Página 17

ISO / IEC 29100: 2011 (E)

Legal y
Factores contractuales Factores comerciales Otros factores
factores regulatorios
Gestión de riesgos de privacidad
• Internacional, • Acuerdos entre • Específico • Preferencias de privacidad
nacional y local y entre varios características de un del principal de PII
leyes diferentes actores previsto
aplicación o su
Ejemplos de contexto de uso
• Regulaciones • Compañía de Policías • Pautas de la industria, • Control interno
y vinculante códigos de conducta, sistemas
reglas corporativas mejores prácticas o
• Decisiones judiciales
normas
• Acuerdos con • Estándares técnicos
consejos de trabajo o
otro trabajo
organizaciones

Figura 1 - Factores que influyen en la gestión de riesgos de privacidad

Los requisitos de protección de la privacidad se identifican como parte de la gestión general de riesgos de privacidad.
proceso que está influenciado por los siguientes factores (como se muestra en la Figura 1 arriba y se describe
debajo):

- factores legales y reglamentarios para salvaguardar la privacidad de la persona física y la protección de

su PII;
- factores contractuales tales como pautas de la industria, estándares profesionales, políticas de la empresa;
- factores comerciales predeterminados por una aplicación comercial específica o en un contexto de caso de uso específico;
y
- otros factores que pueden afectar el diseño de los sistemas de TIC y la protección de la privacidad asociada
requisitos.

4.5.1 Factores legales y regulatorios

Los requisitos de protección de la privacidad a menudo se reflejan en (1) leyes internacionales, nacionales y locales,
(2) reglamentos, (3) decisiones judiciales o (4) acuerdos negociados con comités de trabajo u otros trabajadores
Organizaciones. Algunos ejemplos de legislación local y nacional incluyen leyes de protección de datos,
leyes de protección al consumidor, leyes de notificación de infracciones, leyes de retención de datos y leyes laborales.
El derecho internacional pertinente puede contener normas que afecten a la transferencia transfronteriza de PII. Controladores de PII
debe conocer todos los requisitos de protección de la privacidad relevantes que surjan de las leyes o regulaciones
factores. Para lograr este objetivo, pueden coordinarse estrechamente con expertos legales. Mientras que en muchos
jurisdicciones, será el controlador de PII quien será el responsable en última instancia de garantizar el cumplimiento,
Los actores involucrados en el procesamiento de la PII deben adoptar un enfoque proactivo para identificar
requisitos de protección de la privacidad que surjan de factores legales o de otro tipo.

4.5.2 Factores contractuales

Las obligaciones contractuales también pueden influir en los requisitos de protección de la privacidad. Estas obligaciones pueden
provienen de acuerdos entre varios actores diferentes, como procesadores de PII, PII
controladores y terceros. Por ejemplo, un interesado en la privacidad puede requerir que terceros utilicen
controles de privacidad específicos y acepta los requisitos específicos de eliminación de PII antes de que se transfiera a
ellos. Los requisitos de protección de la privacidad también podrían ser el resultado de las políticas de la empresa y
reglas corporativas que el interesado en la privacidad se ha establecido, por ejemplo, para proteger su marca
de publicidad negativa en caso de violación de la privacidad.

© ISO / IEC 2011 - Todos los derechos reservados 11

[Link] 17/28
1/8/2021 ISO / IEC 29100 E

Página 18

ISO / IEC 29100: 2011 (E)

En principio, cualquier parte que tenga acceso a la PII debe ser informada de sus obligaciones por el
respectivos controladores de PII de manera formalizada, por ejemplo, mediante la celebración de
acuerdos. Es probable que dichos acuerdos contengan una serie de requisitos de protección de la privacidad.
el tercero (destinatario de la PII) deberá tenerlo en cuenta. En determinadas jurisdicciones, nacionales y
las autoridades regionales podrían haber establecido instrumentos legales y contractuales que permitan la transferencia
de PII a terceros.

4.5.3 Factores comerciales

Los requisitos de protección de la privacidad también pueden verse influenciados por factores comerciales que incluyen la
características específicas de una aplicación prevista o su contexto de uso. Los factores comerciales pueden variar
ampliamente dependiendo del tipo de interesado en la privacidad y el tipo de negocio. Por ejemplo, pueden
se relacionan con el sector en el que opera una organización (p. ej., directrices de la industria, códigos de conducta,
mejores prácticas, estándares) o la naturaleza de su modelo de negocio (por ejemplo, servicios en línea 24/7, información
servicio de intercambio, aplicación bancaria).

Muchos factores comerciales no tienen un impacto directo en los requisitos de protección de la privacidad como tales.
Es probable que el uso previsto de PII afecte la implementación de las políticas de privacidad de una organización, ya que
así como la elección de los controles de privacidad, pero esto no debería afectar los principios de privacidad a los que el
organización suscriba. Por ejemplo, ofrecer un determinado servicio puede requerir que un proveedor de servicios
recopilar PII adicional o permitir que más de sus empleados accedan a ciertos tipos de PII. Sin embargo, esto
no significa que un controlador de PII que se ha suscrito a los principios contenidos en este marco
Ya no debe evaluar cuidadosamente qué tipos de PII son estrictamente necesarios para brindar el servicio.
(principio de limitación de la recopilación) y para limitar el acceso de sus empleados a la PII en cuestión a aquellos
que necesitan tener acceso para cumplir con sus funciones (principio de seguridad de la información).

4.5.4 Otros factores

El factor más importante que deben considerar las organizaciones al identificar la protección de la privacidad
Los requisitos se relacionan con las preferencias de privacidad de los directores de PII. La disposición personal de un
persona física hacia la privacidad y los riesgos que una persona física considera pueden depender de una serie de
de factores, incluida la comprensión de la persona física de la tecnología utilizada, sus antecedentes, la
la información que se proporciona, el propósito de la transacción, la experiencia pasada de la persona física y
factores socio-psicológicos.

Los diseñadores de sistemas de TIC deben intentar comprender las posibles preocupaciones de privacidad de un director de PII y
comprender los tipos de PII que se procesarán a través de su sistema. Como desarrollador de sistemas
o un proveedor de aplicaciones o servicios estudia los grupos objetivo de clientes para conocer las expectativas de uso y sus
deseos y necesidades, es importante tratar de comprender las expectativas y preferencias de los
personas físicas con respecto a la privacidad. Aunque no siempre es posible para los diseñadores de sistemas TIC
para proporcionar a los directores de PII opciones que coincidan con sus preferencias de privacidad, es un diseño importante
consideración.

Ejemplos de preferencias de privacidad podrían incluir una preferencia por el anonimato o el seudonimato, la
la capacidad de restringir quién puede acceder a PII específica, o la capacidad de restringir el propósito para el cual la PII
será procesado. En la medida de lo posible, al director de PII se le debe dar una opción de preferencias.
para el procesamiento de sus datos, por ejemplo, si la PII se utiliza para fines secundarios, como
márketing. La capacidad de expresar las preferencias de privacidad de usar puede ser implementado utilizando la
interfaz gráfica de usuario del sistema de TIC. Se puede ayudar al director PII en hacer una elección
presentando un conjunto de opciones predefinidas para preferencias de privacidad comunes usando fácilmente comprensibles
idioma. La implementación de la interfaz de usuario puede basarse en elementos como casillas de verificación
o menús desplegables.

Además de los factores enumerados en las cláusulas anteriores, todavía hay otros factores que pueden influir
el diseño de sistemas de TIC y los requisitos de protección de la privacidad asociados. Por ejemplo,
Los requisitos de protección de la privacidad podrían verse influenciados por sistemas de control interno o técnicos.
estándares que ha adoptado una organización (por ejemplo, un estándar voluntario, como un estándar ISO).

12 © ISO / IEC 2011 - Todos los derechos reservados

[Link] 18/28
1/8/2021 ISO / IEC 29100 E
Página 19
ISO / IEC 29100: 2011 (E)

4.6 Políticas de privacidad

La alta dirección de la organización involucrada en el procesamiento de la PII debe establecer una privacidad
política. La política de privacidad debe:

- ser apropiado para el propósito de la organización;

- proporcionar el marco para establecer objetivos;
- incluir el compromiso de satisfacer los requisitos de protección de la privacidad aplicables;
- incluir un compromiso de mejora continua;
- ser comunicadas dentro de la organización; y
- estar disponible para las partes interesadas, según corresponda.

La organización debe documentar su política de privacidad por escrito. Cuando una organización procesa PII
es un procesador de PII, estas políticas pueden ser determinadas en gran medida por el controlador de PII. El
La política de privacidad debe complementarse con reglas y obligaciones más detalladas de los diferentes
partes interesadas involucradas en el procesamiento de PII (por ejemplo, procedimientos para departamentos específicos o
empleados). Además, los controles que se utilizan para hacer cumplir la política de privacidad en un escenario particular
(por ejemplo, control de acceso, disposiciones de notificación, auditorías, etc.) deben estar claramente documentados.

El término "política de privacidad" se utiliza a menudo para referirse a políticas de privacidad internas y externas. Un
La política de privacidad interna documenta los objetivos, reglas, obligaciones, restricciones y / o controles
organización ha adoptado para satisfacer los requisitos de protección de la privacidad que son relevantes para su
procesamiento de PII. Una política de privacidad externa proporciona a las personas externas a la organización un aviso de
las prácticas de privacidad de la organización, así como otra información relevante como la identidad y
dirección oficial del controlador de PII, puntos de contacto de los cuales los directores de PII pueden obtener información adicional
información, etc. En el contexto de este marco, el término "política de privacidad" se utiliza para referirse a la
política de privacidad interna de una organización. Las políticas de privacidad externas se denominan avisos.

4.7 Controles de privacidad

Las organizaciones deben identificar e implementar controles de privacidad para cumplir con la protección de la privacidad.
requisitos identificados por el proceso de evaluación y tratamiento de riesgos de privacidad. además, el
Los controles de privacidad identificados e implementados deben documentarse como parte de los
evaluación de riesgos de privacidad. Ciertos tipos de procesamiento de PII pueden justificar controles específicos para los cuales el
La necesidad solo se hace evidente una vez que se ha analizado cuidadosamente la operación prevista. Una privacidad
La evaluación de riesgos puede ayudar a las organizaciones a identificar los riesgos específicos de violaciones de privacidad involucradas.
en una operación prevista.

Las organizaciones deben esforzarse por desarrollar sus controles de privacidad como parte de una política general de privacidad
por diseño ”, es decir, el cumplimiento de la privacidad debe tenerse en cuenta en la fase de diseño de
sistemas que procesan PII, en lugar de ser atornillados en una etapa posterior.

En lo que respecta a los controles de seguridad de la información, es importante tener en cuenta que no toda la PII
el procesamiento requiere el mismo nivel o tipo de protección. Las organizaciones deben distinguir entre PII
operaciones de procesamiento de acuerdo con los riesgos específicos que presentan para ayudar a determinar qué
controles de seguridad de la información son apropiadas en qué instancia. La gestión de riesgos es un método central
en este proceso, y la identificación de los controles de privacidad también debe ser una parte integral de un
marco de gestión de seguridad de la información de la organización.

© ISO / IEC 2011 - Todos los derechos reservados 13

[Link] 19/28
1/8/2021 ISO / IEC 29100 E
Página 20
ISO / IEC 29100: 2011 (E)

5 Los principios de privacidad de ISO / IEC 29100

5.1 Descripción general de los principios de privacidad

Los principios de privacidad descritos en este estándar se derivaron de principios existentes desarrollados por
varios estados, países y organizaciones internacionales. Este marco se centra en la
implementación de los principios de privacidad en los sistemas de TIC y el desarrollo de la gestión de la privacidad
sistemas a ser implementados dentro de los sistemas TIC de la organización. Estos principios de privacidad deben
Ser utilizado para guiar el diseño, desarrollo e implementación de políticas de privacidad y privacidad.
control S. Además, se pueden utilizar como línea de base en el seguimiento y medición de
desempeño, evaluación comparativa y auditoría aspectos de los programas de gestión de la privacidad en una
organización.

A pesar de las diferencias en factores sociales, culturales, legales y económicos que pueden limitar la aplicación de
estos principios en algunos contextos, la aplicación de todos los principios definidos en este Internacional
Se recomienda estándar. Las excepciones a estos principios deben ser limitadas.

Los siguientes principios de privacidad forman la base de esta Norma Internacional.

Tabla 3 - Los principios de privacidad de ISO / IEC 29100

1. Consentimiento y elección

2. Legitimidad y especificación de la finalidad

3. Limitación de la colección

4. Minimización de datos

5. Limitación de uso, retención y divulgación

6. Precisión y calidad

7. Apertura, transparencia y aviso

8. Participación y acceso individual

9. Responsabilidad

10. Seguridad de la información

11. Cumplimiento de la privacidad

5.2 Consentimiento y elección

Adherirse al principio de consentimiento significa:

- presentar al director de PII la opción de permitir o no el procesamiento de su PII, excepto

cuando el director de PII no pueda negar libremente el consentimiento o cuando la ley aplicable permita específicamente la
el procesamiento de la información de identificación personal sin el consentimiento de la persona física. la elección del director PII debe ser libre,
específico y con conocimiento;
- obtener el consentimiento de aceptación del director de PII para recopilar o procesar de otro modo PII sensible
excepto cuando la ley aplicable permite el procesamiento de información de identificación personal sensible sin que la persona natural
consentimiento;
- informar a los directores de PII, antes de obtener su consentimiento, acerca de sus derechos en virtud de la participación individual
y principio de acceso;
- proporcionar a los directores de PII, antes de obtener el consentimiento, la información indicada por la apertura,
la transparencia y la notificación principio; y
- Explicar a los directores de PII las implicaciones de otorgar o denegar el consentimiento.
Se deben tomar disposiciones para brindarles a los directores de PII la oportunidad de elegir cómo se maneja su PII
y permitir que un director de PII retire el consentimiento de manera fácil y gratuita. Esta solicitud debe tratarse en

14 © ISO / IEC 2011 - Todos los derechos reservados

Página 21
[Link] 20/28
1/8/2021 ISO / IEC 29100 E

ISO / IEC 29100: 2011 (E)

de acuerdo con la política de privacidad. Incluso si se retira el consentimiento, es posible que el controlador de PII deba retener ciertos
PII durante un período de tiempo para cumplir con las obligaciones legales o contractuales (por ejemplo, retención de datos,
responsabilidad). Cuando el procesamiento de la PII no se basa en el consentimiento, sino en otra base legal, la PII
director debe ser notificado cuando sea posible. Cuando el director PII tiene la capacidad de retirar el consentimiento y
ha optado por hacerlo, esta PII debe estar exenta de procesamiento para cualquier propósito que no sea legalmente obligatorio.

Para un controlador de PII, adherirse al principio de elección significa:

- proporcionar a los directores de PII información clara, prominente, fácilmente comprensible, accesible y asequible
mecanismos para ejercer la elección y dar consentimiento en relación con el procesamiento de su PII en el momento
de recolección, primer uso o tan pronto como sea posible a partir de entonces; y
- implementar las preferencias del director de PII según lo expresado en su consentimiento.

Además, se pueden definir disposiciones adicionales para el procesamiento de PII distintas del consentimiento (por ejemplo, la
ejecución de un contrato, el interés vital del principal de la PII o el cumplimiento de la ley).
La ley aplicable en algunos casos establece que el consentimiento del director de PII no constituye una
base legal suficiente para procesar la PII (por ejemplo, el consentimiento de un menor otorgado sin la autorización de un padre o tutor
aprobación). Además, se deben considerar requisitos adicionales sobre la transferencia de PII a nivel internacional.
Es responsabilidad del controlador de PII cumplir con estas disposiciones adicionales antes
procesamiento o transferencia de datos.

5.3 Legitimidad y especificación del propósito

Adherirse al principio de especificación y legitimidad del propósito significa:

- asegurarse de que el (los) propósito (s) cumple con la ley aplicable y se basa en una base legal permisible;
- comunicar el propósito (s) al director de PII antes del momento en que se recopila o utiliza la información
por primera vez con un nuevo propósito;
- utilizar un lenguaje para esta especificación que sea claro y se adapte apropiadamente a la
circunstancias; y
- si procede, dar explicaciones suficientes sobre la necesidad de procesar información personal confidencial.

Con respecto a la PII sensible, se pueden aplicar reglas más estrictas al propósito del procesamiento. Un propósito puede
requieren una base legal o una autorización específica de una autoridad de protección de datos o un gobierno
autoridad. Si el propósito (s) para el procesamiento de información de identificación personal no se ajusta a la ley aplicable, el procesamiento debe
no tener lugar.

5.4 Limitación de la colección

Adherirse al principio de limitación de la colección significa:

- limitar la recopilación de PII a lo que esté dentro de los límites de la ley aplicable y sea estrictamente necesario
para los fines especificados.

Las organizaciones no deben recopilar PII de forma indiscriminada. Tanto la cantidad como el tipo de PII recopilada
debe limitarse a lo que sea necesario para cumplir con el (los) propósito (s) (legítimo) especificado por la PII
controlador. Las organizaciones deben considerar cuidadosamente qué PII se necesitará para realizar una
propósito antes de proceder con la recopilación de PII. Las organizaciones deben documentar el tipo de PII
recopilados, así como su justificación para hacerlo como parte de sus políticas de manejo de información y
prácticas.

Un controlador de PII puede desear recopilar PII adicional para fines distintos a la provisión de un
servicio particular solicitado por el director de PII (por ejemplo, para fines de marketing directo). Dependiendo de
la jurisdicción, dicha información adicional solo puede recopilarse con el consentimiento de la PII
principal. También es posible que la recopilación de cierta información sea un mandato de la ley aplicable.
Siempre que sea posible, el director de PII debe tener la capacidad de elegir si proporcionar o no
dicha información. El director de PII también debe ser informado claramente del hecho de que su respuesta a
tales solicitudes de información adicional pueden ser opcionales.

© ISO / IEC 2011 - Todos los derechos reservados 15

Página 22

[Link] 21/28
1/8/2021 ISO / IEC 29100 E
ISO / IEC 29100: 2011 (E)

5.5 Minimización de datos

La minimización de datos está estrechamente relacionada con el principio de "limitación de la recopilación", pero va más allá.
Mientras que "limitación de recopilación" se refiere a la recopilación de datos limitados en relación con el
Con este propósito, la "minimización de datos" minimiza estrictamente el procesamiento de la PII.

Adherirse al principio de minimización de datos significa diseñar e implementar el procesamiento de datos

procedimientos y sistemas de TIC de tal manera que:

- minimizar la PII que se procesa y el número de partes interesadas en la privacidad y personas a las que PII
se divulga o que tienen acceso a ella;
- Garantizar la adopción de un principio de "necesidad de saber", es decir, se debe dar acceso solo a la PII que es
necesario para el desempeño de sus funciones oficiales en el marco del propósito legítimo de la PII
Procesando;
- utilizar u ofrecer como opciones predeterminadas, siempre que sea posible, interacciones y transacciones que no impliquen
la identificación de los directores de PII, reducir la observabilidad de su comportamiento y limitar la vinculabilidad de
la PII recopilada; y
- Eliminar y botar PII cada vez que el propósito para el procesamiento de información de identificación personal ha expirado, no hay legal
requisitos para conservar la PII o siempre que sea práctico hacerlo.

5.6 Limitación de uso, retención y divulgación

Adherirse al principio de limitación de uso, retención y divulgación significa:

- limitar el uso, la retención y la divulgación (incluida la transferencia) de PII a lo que sea necesario para
para cumplir con fines específicos, explícitos y legítimos;
- limitar el uso de PII a los fines especificados por el controlador de PII antes de la recopilación, a menos que un
la ley aplicable exige explícitamente un propósito diferente;
- retener PII solo el tiempo que sea necesario para cumplir con los propósitos establecidos y, a partir de entonces, destruir de forma segura
o anonimizarlo; y
- bloquear (es decir, archivar, proteger y eximir la PII de un procesamiento posterior) cualquier PII cuando y para
siempre que los propósitos establecidos hayan expirado, pero donde la retención sea requerida por las leyes aplicables.

Cuando la PII se transfiere internacionalmente, el controlador de PII debe estar al tanto de cualquier
requisitos nacionales o locales específicos de las transferencias transfronterizas.

5.7 Precisión y calidad

Cumplir con el principio de precisión y calidad significa:

- Asegurarse de que la PII procesada sea precisa, completa y actualizada (a menos que exista una base legítima
para mantener datos desactualizados), adecuados y relevantes para el propósito de uso;
- Asegurar la confiabilidad de la PII recopilada de una fuente que no sea del principal de PII antes de que sea
procesado;
- verificar, a través de los medios adecuados, la validez y corrección de las afirmaciones realizadas por la PII
principal antes de realizar cualquier cambio en la PII (para garantizar que los cambios se realicen correctamente
autorizado), cuando proceda;
- establecer procedimientos de recopilación de PII para ayudar a garantizar la precisión y la calidad; y
- establecer mecanismos de control para comprobar periódicamente la precisión y calidad de los datos recogidos y almacenados
PII.

Este principio es particularmente importante en los casos en que los datos podrían usarse para otorgar o denegar una
beneficio significativo para la persona física o en el que datos inexactos podrían resultar en
daño significativo a la persona física.

dieciséis © ISO / IEC 2011 - Todos los derechos reservados

Página 23

[Link] 22/28
1/8/2021 ISO / IEC 29100 E
ISO / IEC 29100: 2011 (E)

5.8 Apertura, transparencia y aviso

Adherirse al principio de apertura, transparencia y aviso significa:

- proporcionar a los directores de PII información clara y fácilmente accesible sobre las políticas del controlador de PII,
procedimientos y prácticas con respecto al procesamiento de PII;
- Incluir en las notificaciones el hecho de que se está procesando PII, el propósito para el que se realiza, los tipos
de las partes interesadas en la privacidad a quienes se podría divulgar la PII, y la identidad del controlador de PII
incluida información sobre cómo ponerse en contacto con el controlador de PII;
- divulgar las opciones y los medios ofrecidos por el controlador de PII a los directores de PII con el propósito de
limitar el procesamiento de, y para acceder, corregir y eliminar su información; y
- dar aviso a los directores de PII cuando ocurren cambios importantes en los procedimientos de manejo de PII.

La transparencia, incluida la información general sobre la lógica subyacente al procesamiento de la PII, puede ser
requerido, en particular, si el procesamiento implica una decisión que afecte al principal de PII. Intimidad
Las partes interesadas que procesan la PII deben proporcionar información específica sobre sus políticas y prácticas.
relacionados con la gestión de PII fácilmente disponibles para el público. Todas las obligaciones contractuales que
El procesamiento de la PII de impacto debe documentarse y comunicarse internamente, según corresponda. Ellos
también debe comunicarse externamente en la medida en que esas obligaciones no sean confidenciales.

Además, el propósito del procesamiento de la PII debe ser lo suficientemente detallado para permitir la
Principal de PII para comprender:

- la PII especificada requerida para el propósito especificado;

- el propósito especificado para la recopilación de PII;
- el procesamiento especificado (incluidos los mecanismos de recopilación, comunicación y almacenamiento);
- los tipos de personas físicas autorizadas que accederán a la PII y a las que se puede enviar la PII
transferido; y
- los requisitos especificados de retención y eliminación de datos de PII.

5.9 Participación y acceso individual

Adherirse al principio de participación y acceso individual significa:

- dar a los directores de PII la capacidad de acceder y revisar su PII, siempre que su identidad sea lo primero
autenticado con un nivel apropiado de seguridad y dicho acceso no está prohibido por las
ley;
- permitir que los directores de PII impugnen la precisión y la integridad de la PII y la modifiquen,
corregido o eliminado según corresponda y sea posible en el contexto específico;
- proporcionar cualquier enmienda, corrección o eliminación a los procesadores de PII y terceros a quienes personal
se han divulgado datos, cuando se conocen; y
- establecer procedimientos que permitan a los directores de PII ejercer estos derechos de una manera simple, rápida y eficiente
manera, que no implica demoras o costos indebidos.

El controlador de PII debe aplicar los controles adecuados para garantizar que los directores de PII accedan estrictamente a sus
propia PII y no la de otros directores de PII, a menos que la persona física que accede esté actuando bajo
autoridad en nombre de un director de PII que no puede ejercer su derecho de acceso. Ley aplicable
puede otorgar a la persona física el derecho a acceder, revisar y oponerse al procesamiento de la PII
bajo ciertas circunstancias. Cuando un desafío no se resuelve a satisfacción del natural
persona, la organización debe registrar el contenido del desafío no resuelto. Cuándo
apropiado, la existencia del desafío no resuelto debe transmitirse a los procesadores de PII y
otros terceros que tengan acceso a la información en cuestión.

© ISO / IEC 2011 - Todos los derechos reservados 17

Página 24
ISO / IEC 29100: 2011 (E)

[Link] 23/28
1/8/2021 ISO / IEC 29100 E

5.10 Responsabilidad

La tramitación de la PII conlleva un deber de diligencia y la adopción de medidas concretas y prácticas para
su protección. Adherirse al principio de responsabilidad significa:

- documentar y comunicar, según corresponda, todas las políticas, procedimientos y prácticas relacionados con la privacidad;
- asignar a un individuo específico dentro de la organización (que a su vez podría delegar en otros en el
organización según corresponda) la tarea de implementar las políticas, procedimientos y
prácticas;
- al transferir PII a terceros, asegurarse de que el tercero destinatario estará obligado a proporcionar una
nivel equivalente de protección de la privacidad a través de medios contractuales o de otro tipo, como internos obligatorios
políticas (la ley aplicable puede contener requisitos adicionales con respecto a las transferencias internacionales de datos);
- proporcionar formación adecuada al personal del responsable del tratamiento de la PII que tendrá acceso a la PII;
- establecer procedimientos internos eficientes de tratamiento y reparación de quejas para que los utilicen los directores de PII;
- informar a los directores de PII sobre las violaciones de la privacidad que pueden ocasionarles un daño sustancial (a menos que
prohibido, por ejemplo, mientras se trabaja con las fuerzas del orden), así como las medidas tomadas para su resolución;
- notificar a todas las partes interesadas relevantes en la privacidad sobre las violaciones de la privacidad según lo requerido en algunas jurisdicciones
(por ejemplo, las autoridades de protección de datos) y dependiendo del nivel de riesgo;
- permitir a un principal de PII agraviado el acceso a sanciones y / o recursos apropiados y efectivos,
como rectificación, cancelación o restitución si se ha producido una violación de la privacidad; y
- considerando procedimientos de compensación para situaciones en las que será difícil o imposible
devolver el estado de privacidad de la persona física a una posición como si nada hubiera ocurrido.

Las medidas para remediar una violación de la privacidad deben ser proporcionales a los riesgos asociados con la
incumplimiento, pero deben implementarse lo más rápido posible (a menos que se prohíba lo contrario, por ejemplo,
interferencia con una investigación legal).

Establecer procedimientos de reparación es una parte importante del establecimiento de la rendición de cuentas. La reparación proporciona
un medio para que el director de PII responsabilice al controlador de PII por el uso indebido de PII. La restitución es una
forma de reparación que implica proporcionar una compensación al principal de PII agraviado. Esto es
importante no solo en la situación de robo de identidad, daño a la reputación o uso indebido de la PII, sino también
donde se han cometido errores al modificar o cambiar la PII respectiva.

Cuando existen procesos de reparación, los directores de PII pueden sentirse más seguros al iniciar una
transacción porque el riesgo percibido para la persona física con respecto al resultado es
efectivamente reducido. Para algunos servicios, la reparación es más fácil de lograr (por ejemplo, pérdida financiera) que para
otros (por ejemplo, una identidad robada, daño a la imagen o reputación de la persona física), donde el
la capacidad de cuantificar y compensar la pérdida podría ser algo más difícil. La reparación funciona mejor cuando
basado en la transparencia y la honestidad. Los tipos de medidas de reparación requeridos pueden regirse por ley.

5.11 Seguridad de la información

Adherirse al principio de seguridad de la información significa:

- proteger la PII bajo su autoridad con controles apropiados a nivel operativo, funcional y estratégico
nivel para garantizar la integridad, confidencialidad y disponibilidad de la PII, y protegerla contra riesgos tales
como acceso no autorizado, destrucción, uso, modificación, divulgación o pérdida en la totalidad de su
ciclo vital;
- elegir procesadores de PII que brinden garantías suficientes con respecto a los aspectos organizativos, físicos y
controles técnicos para el procesamiento de PII y asegurar el cumplimiento de estos controles;
- basar estos controles en los requisitos legales aplicables, los estándares de seguridad, los resultados de
evaluaciones de riesgos de seguridad como se describe en ISO 31000, y los resultados de un análisis de costo / beneficio;
- implementar controles en proporción a la probabilidad y severidad de las posibles consecuencias, el
la sensibilidad de la PII, el número de directores de PII que podrían verse afectados y el contexto en el que se
retenida;

18 © ISO / IEC 2011 - Todos los derechos reservados

Página 25
ISO / IEC 29100: 2011 (E)

[Link] 24/28
1/8/2021 ISO / IEC 29100 E

- limitar el acceso a la PII a aquellas personas que requieran dicho acceso para desempeñar sus funciones, y limitar el
acceder esas personas solo tienen que acceder a la PII a la que necesitan acceder para realizar su
deberes;
- resolución de riesgos y vulnerabilidades que se descubren mediante auditorías y evaluaciones de riesgos de privacidad
procesos; y
- someter los controles a revisiones y reevaluaciones periódicas en una gestión de riesgos de seguridad en curso
proceso.

5.12 Cumplimiento de la privacidad

Adherirse al principio de cumplimiento de la privacidad significa:

- verificar y demostrar que el procesamiento cumple con la protección de datos y la protección de la privacidad
requisitos mediante la realización periódica de auditorías utilizando auditores internos o auditores externos de confianza;
- disponer de controles internos adecuados y mecanismos de supervisión independientes que garanticen
cumplimiento de la ley de privacidad pertinente y de sus políticas de seguridad, protección de datos y privacidad y
procedimientos; y
- desarrollar y mantener evaluaciones de riesgo de privacidad con el fin de evaluar si el programa y
Las iniciativas de prestación de servicios que involucran el procesamiento de PII cumplen con la protección de datos y la privacidad.
requisitos.

La ley aplicable puede establecer que una o más autoridades de supervisión sean responsables de monitorear
cumplimiento de la ley de protección de datos aplicable. En esos casos, adherirse al cumplimiento de la privacidad
principio también significa cooperar con estas autoridades supervisoras y observar sus directrices
y solicitudes.

© ISO / IEC 2011 - Todos los derechos reservados 19

Página 26
ISO / IEC 29100: 2011 (E)

[Link] 25/28
1/8/2021 ISO / IEC 29100 E

Anexo A
(informativo)

Correspondencia entre los conceptos ISO / IEC 29100 y los conceptos ISO / IEC 27000

Para facilitar el uso de la familia de Normas Internacionales ISO / IEC 27000 en el contexto específico de
privacidad e integrar conceptos de privacidad en el contexto ISO / IEC 27000, la siguiente tabla presenta las relaciones
entre sus principales conceptos:

Tabla A.1 - Coincidencia de conceptos de ISO / IEC 29100 con conceptos de ISO / IEC 27000

Conceptos ISO / IEC 29100 Correspondencia con conceptos ISO / IEC 27000

Interesado en la privacidad Interesado

PII Activo de información

Violación de la privacidad Incidente de seguridad de la información

Control de privacidad Control

Riesgo de privacidad Riesgo

Gestión de riesgos de privacidad Gestión de riesgos

Requisitos de protección de la privacidad Objetivos de control

20 © ISO / IEC 2011 - Todos los derechos reservados

Página 27
ISO / IEC 29100: 2011 (E)

[Link] 26/28
1/8/2021 ISO / IEC 29100 E

Bibliografía

[1] Guía ISO 73, Gestión de riesgos - Vocabulario

[2] ISO 31000, Gestión de riesgos: principios y directrices

[3] ISO / IEC JTC 1 / SC 27 WG 5 Documento permanente 2 (WG 5 SD2) - Documentos oficiales de privacidad
Referencias , disponibles en [Link]

© ISO / IEC 2011 - Todos los derechos reservados 21

Página 28
ISO / IEC 29100: 2011 (E)

[Link] 27/28
1/8/2021 ISO / IEC 29100 E

ICS 35.040
Precio basado en 21 páginas

© ISO / IEC 2011 - Todos los derechos reservados

[Link] 28/28