ISO 27701 – Cláusula 7.3 – Obligaciones con los directores de PII

ISO 27701 Cláusula 7.3.1 – Determinación y cumplimiento de obligaciones con los directores de PII

Objeto de la Cláusula 7.3.1

Las organizaciones necesitan primero establecer y luego documentar completamente sus legal, regulador y obligaciones con los directores de PII.

Orientación sobre la Cláusula 7.3.1

Las organizaciones deben proporcionar lo que ISO considera los "medios apropiados" para satisfacer las necesidades de los directores de PII, incluida documentación transparente y un punto de contacto designado.

NÓTESE BIEN. Los métodos de contacto deben ser idénticos a las formas en que la organización recopila la PII.

ISO 27701 Cláusula 7.3.2 – Determinación de información para directores de PII

Objeto de la Cláusula 7.3.2

Las organizaciones deben delinear y documentar la información que reciben los directores de PII, relacionada con el procesamiento de PII.

Orientación sobre la Cláusula 7.3.2

Las organizaciones deben delinear un conjunto categórico de requisitos que dicten cuándo se debe proporcionar información a los directores de PII y cuál es esa información, por ejemplo:

• El propósito de la PII que se recopila y procesa.
• Datos de contacto de la empresa.
• Cómo y dónde se obtuvo la PII.
• Requisitos contractuales y/o estatutarios.
• Cómo se puede eliminar el consentimiento.
• Transferencias de IIP.
• Cómo presentar una denuncia oficial.
• Cómo se toman las decisiones con respecto al procesamiento de la PII.
• Períodos de retención de PII.

ISO 27701 Cláusula 7.3.3 – Proporcionar información a los directores de PII

Objeto de la Cláusula 7.3.3

Las organizaciones deben proporcionar información "clara y accesible" que establezca quién es el controlador de la PII y cómo se procesa.

Orientación sobre la Cláusula 7.3.3

Toda la información debe proporcionarse sin errores y en un lenguaje que sea fácilmente comprensible (por ejemplo, sin jerga, no demasiado técnico) por las personas que tengan la capacidad de leerla (consulte la cláusula 27702 de ISO 7.3.2).

Cláusulas relevantes de ISO 27701

• ISO 27701 7.3.2

ISO 27701 Cláusula 7.3.4 – Proporcionar un mecanismo para modificar o retirar el consentimiento

Objeto de la Cláusula 7.3.4

A los sujetos de PII se les debe proporcionar un medio para retirar el consentimiento para la recopilación o el procesamiento de PII.

Orientación sobre la Cláusula 7.3.4

En un nivel básico, las organizaciones deben proporcionar un mecanismo que describa los derechos de cualquier director de PII que desee retirar el consentimiento, junto con instrucciones sobre cómo hacerlo que estén en consonancia con los métodos utilizados para recopilar PII (por ejemplo, correo electrónico, teléfono). .

Los responsables de la PII también deberían poder "modificar" el consentimiento, es decir, impedir que el responsable del tratamiento realice determinadas acciones, como eliminar la PII. Dichas solicitudes deben documentarse de conformidad con los procedimientos para la eliminación del consentimiento.

Las organizaciones deben comprometerse a publicar un tiempo de respuesta para todas las modificaciones o retiradas de solicitudes de consentimiento.

ISO 27701 Cláusula 7.3.5 – Proporcionar un mecanismo para modificar o retirar el consentimiento

Objeto de la Cláusula 7.3.5

A los directores de PII se les debe dar la capacidad de plantear objeciones sobre el procesamiento de su PII.

Orientación sobre la Cláusula 7.3.5

Las leyes varían de una región a otra, pero algunas jurisdicciones otorgan a los directores de PII el derecho a presentar una objeción con respecto al procesamiento de su PII.

Las organizaciones deben abordar esta función de dos maneras:

1. Documentando cualquier requisito legal o reglamentario relacionado con las objeciones específicas planteadas por los directores de PII.
2. Proporcionar a los directores información sobre cómo pueden objetar.

ISO 27701 Cláusula 7.3.6 – Acceso, Corrección y/o Eliminación

Objeto de la Cláusula 7.3.6

Las organizaciones deben redactar, documentar e implementar procedimientos que permitan a los directores de PII de la máquina, correcta y/o borrar su PII.

Orientación sobre la Cláusula 7.3.6

Los procedimientos deben incluir mecanismos a través de los cuales el director de PII pueda realizar la acción anterior, incluida la forma en que la organización debe informar al director si no se pueden realizar correcciones.

Las organizaciones deben comprometerse a publicar un tiempo de respuesta para todas las solicitudes de acceso, corrección o eliminación.

Es de vital importancia comunicar cualquier solicitud de este tipo a terceros a los que se haya transferido PII (consulte la cláusula 27701 de ISO 7.3.7).

La capacidad de un director de PII para solicitar correcciones o eliminaciones está dictada por la jurisdicción en la que opera la organización. Como tal, las empresas deben mantenerse al tanto de cualquier cambio legal o regulatorio que rija sus obligaciones hacia la PII.

Cláusulas relevantes de ISO 27701

• ISO 27701 7.3.7

ISO 27701 Cláusula 7.3.7 – Obligaciones de los controladores de PII de informar a terceros

Objeto de la Cláusula 7.3.7

De vez en cuando, puede surgir la necesidad de compartir PII con terceros (utilizando los canales adecuados).

Las organizaciones deben informar a dichas empresas sobre cualquier solicitud de modificación, retirada de consentimiento u objeciones relacionadas con cualquier PII que haya sido compartida.

Orientación sobre la Cláusula 7.3.7

Las organizaciones deben utilizar los canales técnicos adecuados para garantizar que los terceros sean informados de forma rápida y precisa, y de acuerdo con los requisitos legales o reglamentarios regionales.

Cuando sea posible, las organizaciones deben delegar esta función a una persona dedicada y tomar medidas para garantizar que dichas solicitudes hayan sido reconocidas.

ISO 27701 Cláusula 7.3.8 – Proporcionar copia de la PII procesada

Objeto de la Cláusula 7.3.8

Es de vital importancia que las organizaciones puedan proporcionar, previa solicitud, una copia de cualquier PII que haya sido procesada.

Orientación sobre la Cláusula 7.3.8

ISO exige que las organizaciones proporcionen una copia de la PII en un formato fácil de usar al que el director de la PII pueda acceder fácilmente.

Las organizaciones deben tener mucho cuidado para garantizar que cualquier información proporcionada se relacione únicamente al director de PII que lo solicitó.

Las leyes de identificación de PII varían de una región a otra, pero si la PII se ha sometido a un proceso de desidentificación, las organizaciones no deben intentar volver a identificarla, a menos que así lo exija la ley.

Las organizaciones también deberían explorar métodos para transferir la PII. directamente a otra organización, si así se le solicita.

ISO 27701 Cláusula 7.3.9 – Manejo de solicitudes

Objeto de la Cláusula 7.3.9

Las organizaciones deben cumplir con un conjunto concreto de procedimientos que rigen cómo deben responder a las solicitudes de los directores de PII.

Orientación sobre la Cláusula 7.3.9

Las solicitudes pueden variar desde (pero no se limitan a) una copia de la PII o la presentación de una queja, y deben procesarse dentro de un tiempo de respuesta publicado que tenga en cuenta la naturaleza de la solicitud.

Dependiendo de la jurisdicción, las organizaciones también pueden cobrar una tarifa de gestión, pero esto suele limitarse a solicitudes excesivas o repetitivas.

ISO 27701 Cláusula 7.3.10 – Toma de decisiones automatizada

Objeto de la Cláusula 7.3.10

Las organizaciones deben abordar cualquier obligación legal con los directores de PII que se relacionen con el procesamiento automatizado de PII.

Orientación sobre la Cláusula 7.3.10

Las organizaciones deben tener en cuenta las variaciones jurisdiccionales en la toma de decisiones automatizada con respecto a la PII, más específicamente, permitir que los directores de la PII objeten y soliciten intervención humana en lugar de procedimientos automatizados.

Artículos de apoyo del RGPD

Varios elementos de la cláusula 27701 de ISO 7.3 son aplicables en el Reino Unido. GDPR legislación. Eche un vistazo a la siguiente tabla para ver las referencias correspondientes.

Cómo ayuda ISMS.online

La plataforma ISMS.online ofrece asistencia integrada en cada etapa y nuestro enfoque de implementación 'Adoptar, Adaptar, Agregar' a ISO 27701, para hacer el proceso mucho más fácil.

También se beneficiará de una variedad de funciones que le permitirán ahorrar tiempo.

Si por alguna razón experimenta falta de confianza, capacidad o impulso para tomar medidas durante su camino hacia la norma ISO 27701, podemos poner a disposición nuestro equipo de expertos internos o recomendarle a uno de nuestros socios de confianza para impulsar sus esfuerzos.

Descubre más por reservar una demostración.