La ISO 27701 establece directrices claras para gestionar la privacidad de los datos personales y, dentro de su marco, define los roles de controlador y procesador.
Estas funciones son centrales para garantizar la protección de la información. En países como Chile, México y Colombia, donde las leyes de protección de datos se encuentran en modernización, comprender esta diferencia permite aplicar la norma en coherencia con los marcos legales locales.
Qué significa controlador en el marco de la ISO 27701
El controlador es la entidad que decide sobre el tratamiento de los datos personales. Define las finalidades y los medios de la recolección y uso de la información.
- En Chile, la Ley 19.628 reconoce como responsable a quien decide sobre los datos personales.
- En México, la LFPDPPP señala que el responsable decide el tratamiento de los datos y debe emitir el aviso de privacidad y garantizar los derechos ARCO, mientras que el encargado solo los trata siguiendo sus instrucciones.
- En Colombia, la Ley 1581 de 2012 establece al responsable como quien toma las decisiones sobre las bases de datos.
En todos los casos, el controlador conserva la obligación de asegurar la legalidad, transparencia y seguridad en el tratamiento de la información.
Qué significa procesador en el marco de la ISO 27701
El procesador es la entidad que ejecuta el tratamiento de los datos siguiendo instrucciones del controlador.
- En Chile se reconoce como encargado a quien actúa bajo órdenes del responsable.
- En México, la LFPDPPP define al encargado como quien trata datos conforme a instrucciones del responsable.
- En Colombia, la normativa distingue claramente al encargado, señalando que solo puede tratar los datos para los fines autorizados.
El procesador debe aplicar controles técnicos y organizativos que respalden la seguridad y demuestren cumplimiento frente al controlador.
Relación entre controlador y procesador en la ISO 27701
La ISO 27701 establece requisitos diferenciados para ambos roles. El controlador debe implementar políticas, evaluaciones de riesgo y reportar con transparencia. El procesador debe ejecutar medidas de seguridad y garantizar trazabilidad en el tratamiento.
Este esquema se integra con la ISO 27001, lo que facilita a las organizaciones de Chile, México y Colombia cumplir con regulaciones nacionales y marcos internacionales como el GDPR.
Cumplimiento normativo en Chile, México y Colombia
La aplicación de la norma fortalece la capacidad de cumplir con legislaciones locales:
- Chile: Ley 19.628, en proceso de actualización hacia un modelo con sanciones más estrictas.
- México: LFPDPPP, que regula los avisos de privacidad y los derechos ARCO.
- Colombia: Ley 1581 de 2012 y Decreto 1377 de 2013, que fijan principios y deberes sobre el tratamiento de datos.
Aunque no reemplaza la legislación, la norma ofrece un marco verificable para demostrar cumplimiento en auditorías y procesos regulatorios.
Derechos de los titulares de datos
La protección de datos no se limita a los roles de controlador y procesador. Los derechos de los titulares son el eje central de todas las legislaciones de la región.
- En Chile, el proyecto de reforma de la Ley 19.628 refuerza los derechos de acceso, rectificación, cancelación y oposición.
- En México, los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) son exigibles por ley.
- En Colombia, el habeas data garantiza a las personas conocer, actualizar y rectificar la información que se tenga sobre ellas.
La ISO 27701 se alinea con estos derechos al exigir que las organizaciones documenten procesos para responder a solicitudes de los titulares y mantengan evidencia de su cumplimiento.
Comparativa entre controlador y procesador en ISO 27701
| Aspecto | Controlador | Procesador |
| Función principal | Define la finalidad y los medios del tratamiento de los datos personales. | Ejecuta el tratamiento siguiendo instrucciones. |
| Ejemplo práctico | Banco que decide qué datos recopilar y con qué fin. | Proveedor de nube que almacena los datos del banco. |
| Marco en la región | Responsable (Chile, Ley 19.628; México, LFPDPPP; Colombia, Ley 1581). | Encargado según cada ley nacional, bajo supervisión del responsable. |
Beneficios de implementar ISO 27701
Las organizaciones que implementan esta norma pueden:
- Diferenciar claramente roles y responsabilidades.
- Reducir riesgos legales y sancionatorios.
- Integrar la privacidad en sus sistemas de gestión de seguridad.
- Generar confianza entre clientes, socios y autoridades.
Este marco ofrece valor a empresas de sectores regulados en la región, como banca, salud, educación y servicios digitales.
Responsabilidad compartida en la gestión de datos
La identificación de los roles de controlador y procesador, además de entender qué es la ISO 27701, es importante para cumplir con las exigencias de privacidad en Chile, México y Colombia.
Esta norma aporta un marco verificable que ayuda a estructurar políticas y prácticas de protección de datos coherentes con regulaciones locales e internacionales. Su aplicación permite demostrar responsabilidad y generar confianza en el manejo de la información personal.
Sabemos que la privacidad de datos puede volverse compleja, por eso en Hackmetrix trabajamos contigo para traducir la ISO 27701 en acciones concretas. Juntos definimos roles, responsabilidades y un plan de cumplimiento que se adapte a tu organización. ¡Contáctanos hoy!
