¿Qué requiere el control A.1.4.4?
La organización deberá garantizar y documentar que la información de identificación personal (IIP) sea tan precisa, completa y actualizada como sea necesario para los fines para los que se procesa, a lo largo de todo su ciclo de vida.
Este control se encuentra dentro del minimización de PII objetivo (A.1.4) y aborda una dimensión de la calidad de los datos que va más allá del volumen. Incluso si solo recopila la información de identificación personal mínima necesaria (A.1.4.2), esos datos deben seguir siendo adecuados para su propósito durante todo su ciclo de vida. La información personal inexacta puede conducir a decisiones erróneas, denegación de servicios o daños al individuo, particularmente donde toma de decisiones automatizada (A.1.3.11) esta involucrado.
¿Qué dicen las directrices de implementación?
El Anexo B (sección B.1.4.4) proporciona la siguiente orientación:
- Verificar la exactitud en el momento de la recogida — Implementar procedimientos para comprobar que la información de identificación personal sea precisa en el momento de la recopilación, tales como reglas de validación, comprobaciones de verificación y pasos de confirmación.
- Mantener la precisión durante el almacenamiento — Implementar procesos para mantener actualizada la información de identificación personal mientras está almacenada, incluyendo comprobaciones periódicas de la calidad de los datos y avisos de actualización.
- Permitir que los titulares de PII actualicen sus datos. — Proporcionar mecanismos accesibles para que las personas revisen y corrijan su propia información personal identificable, apoyando los derechos de rectificación en virtud de la ley. A.1.3.7 Acceso, corrección o supresión
- Defina “suficientemente preciso”. — Determinar qué nivel de exactitud es apropiado para cada propósito de procesamiento, reconociendo que diferentes propósitos pueden requerir diferentes niveles de precisión.
- Vea también A.1.4.3: Limitar el procesamiento para requisitos relacionados
- Vea también A.1.4.5: Objetivos de minimización de la información de identificación personal (PII) para requisitos relacionados
La clave reside en que la precisión depende del propósito. Una lista de correo para marketing puede tolerar un pequeño porcentaje de direcciones desactualizadas, pero un sistema de historiales médicos requiere una precisión casi perfecta. La organización debe definir y documentar el umbral de precisión para cada propósito de procesamiento.
¿Cómo se relaciona esto con el RGPD?
El control A.1.4.4 se asigna a GDPR Artículo 5, apartado 1, letra d), principio de exactitud: los datos personales deben ser exactos y, cuando sea necesario, mantenerse actualizados. Deben adoptarse todas las medidas razonables para garantizar que los datos personales inexactos, teniendo en cuenta los fines para los que se tratan, se supriman o rectifiquen sin demora.
Esta GDPR Este principio se pone en práctica directamente mediante los requisitos A.1.4.4 para los mecanismos de verificación, mantenimiento y corrección.
¿Cómo se relaciona esto con los principios de privacidad de la norma ISO 29100?
Este control apoya directamente el ISO 29100, principio de Precisión y calidadEste principio exige que la información personal identificable (IPI) procesada sea precisa, completa, actualizada, adecuada y pertinente para el fin previsto. Asimismo, exige que se garantice la fiabilidad de la IPI a lo largo de todo su ciclo de vida.
Comienza tu prueba gratuita
¿Quieres explorar?
Regístrese hoy para su prueba gratuita y pruebe todas las funciones de cumplimiento que ISMS.online tiene para ofrecer
¿Qué tipo de evidencia esperan los auditores?
Al evaluar el cumplimiento de A.1.4.4, los auditores generalmente buscarán lo siguiente:
- Política de calidad de datos — Una política documentada que defina los requisitos de precisión para cada categoría de información de identificación personal (PII), incluidos los umbrales de precisión aceptables para cada propósito.
- Controles de validación — Controles técnicos en los puntos de recogida (validación de formato, pasos de verificación, correos electrónicos de confirmación) que ayudan a garantizar la precisión desde el principio.
- Registros de revisión de la calidad de los datos — Evidencia de auditorías periódicas de calidad de datos, incluyendo las métricas utilizadas, los resultados obtenidos y las medidas correctivas adoptadas.
- Mecanismos de autoservicio — Evidencia de que los titulares de información personal identificable (PII) pueden acceder y corregir sus propios datos, como páginas de perfil de cuenta, formularios de solicitud de actualización o portales de clientes.
- Registros de rectificación — Registros de correcciones de exactitud realizadas, ya sean iniciadas por la organización o por los titulares de información personal identificable.
¿Cuáles son los controles relacionados?
| Control | Relación |
|---|---|
| A.1.3.7 Acceso, corrección o supresión | Permite a las personas verificar y corregir su propia información personal identificable (PII). |
| A.1.3.11 Toma de decisiones automatizada | La precisión de los datos de entrada es fundamental para tomar decisiones automatizadas justas. |
| A.1.4.2 Recopilación de límites | Menos datos que gestionar significa un mantenimiento de precisión más sencillo. |
| A.1.4.8 Retención | Un menor tiempo de retención reduce el período durante el cual los datos pueden volverse inexactos. |
| A.1.4.10 Controles de transmisión PII | La integridad de los datos durante la transmisión protege la precisión. |
| A.1.2.9 Registros de procesamiento | Los registros de procesamiento deben reflejar los requisitos de precisión para cada actividad. |
¿Qué cambios se produjeron con respecto a la norma ISO 27701:2019?
Para un enfoque paso a paso, consulte el Transición de 2019 a 2025.
En la edición de 2019, la precisión y la calidad se abordaron en la Cláusula 7.4.3 (Precisión y calidad de la información de identificación personal). El control de 2025 mantiene el mismo requisito fundamental, pero añade un énfasis explícito en documentar la precisión a lo largo del “ciclo de vida” de la información de identificación personal. La guía de implementación en B.1.4.4 también está más estructurada, con una separación más clara entre las medidas de precisión en el momento de la recopilación y en el momento del almacenamiento. Véase la Tabla de correspondencias del Anexo F para el mapeo completo.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
¿Por qué elegir SGSI.online ¿Para gestionar la precisión y la calidad de la información de identificación personal?
SGSI.online Respalda el cumplimiento de sus obligaciones en materia de calidad de datos con herramientas prácticas integradas en su sistema de gestión de la privacidad:
- Marco de calidad de datos — Definir umbrales de precisión para cada categoría de información de identificación personal y propósito del procesamiento, creando un estándar documentado que los auditores puedan verificar.
- Revisar la programación — Configure revisiones periódicas de la calidad de los datos con recordatorios automatizados, garantizando que las comprobaciones de precisión se realicen según lo programado.
- Seguimiento de rectificación — Registre todas las solicitudes de corrección y las acciones tomadas, manteniendo el registro de auditoría que esperan los auditores.
- Controles vinculados — Vincule los requisitos de precisión con los derechos de acceso y corrección, las salvaguardas para la toma de decisiones automatizada y los calendarios de retención en un único sistema.
- Exportación de evidencia — Genere informes de calidad de datos y registros de rectificación como parte de su paquete de evidencia de certificación.
Preguntas Frecuentes
¿Qué significa en la práctica “tan preciso como sea necesario”?
La norma evita deliberadamente exigir la perfección. En cambio, la precisión debe ser proporcional a la finalidad. La dirección postal de un cliente utilizada para envíos de marketing puede tolerar pequeñas imprecisiones, mientras que los datos financieros del mismo cliente utilizados para decisiones crediticias requieren una precisión estricta. La organización debe documentar qué significa "suficientemente preciso" para cada finalidad de procesamiento e implementar controles proporcionales a ese umbral.
¿Cómo deben gestionar las organizaciones la información de identificación personal que sospechan que es inexacta?
Cuando se sospeche que los datos son inexactos, la organización deberá tomar las medidas necesarias para verificarlos, ya sea cotejándolos con una fuente fiable o contactando con el titular de los datos personales. Mientras se realiza la verificación, los datos deberán marcarse como no verificados y, en la medida de lo posible, se deberá suspender el procesamiento que dependa de su exactitud. Si el titular de los datos personales ha solicitado una rectificación, esta deberá tramitarse con prontitud conforme a los procedimientos de corrección establecidos.
¿Este control requiere validación automatizada de datos?
La norma no exige medidas técnicas específicas. Sin embargo, se recomienda encarecidamente la validación automatizada (verificación de formato, verificación de rango, detección de duplicados) como método práctico para garantizar la precisión a gran escala. La selección de controles debe ser proporcional al volumen y la sensibilidad de la información personal identificable (IPI) y a los requisitos de precisión para la finalidad del tratamiento.
Vea las reseñas de nuestros Guía de requisitos de evidencia de auditoría para las evidencias específicas que los auditores esperan en cuanto a la calidad de los datos y los controles de minimización.
