¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a establecer el documento marco que orienta la gestión de privacidad de la información y protección de datos personales dentro de tu organización.
La Política de SGPI define cómo la empresa estructura y mantiene su sistema de gestión basado en ISO 27701: cuál es su alcance, qué factores internos y externos pueden afectarlo, quiénes participan, cómo se gestionan los riesgos, cómo se mide el desempeño y cómo se impulsan mejoras.
¿Qué tengo que hacer? 🚀
💡Este documento debe reflejar el contexto, estructura, procesos y prioridades reales de tu empresa.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Comprende el contexto de la organización.
Revisa si la empresa actúa como responsable y/o encargado de datos, o ambos, según sus actividades de tratamiento.
Completa el análisis del entorno y el análisis FODA utilizando únicamente factores reales que puedan impactar a tu organización.
Considera aspectos internos y externos, como cambios regulatorios, nuevos servicios, dependencia de proveedores, cambios tecnológicos, riesgos de ciberseguridad o necesidades de capacitación.
Identifica las partes interesadas y sus requisitos.
Revisa qué personas, áreas u organizaciones influyen o pueden verse afectadas por el SGPI, como Alta Dirección, colaboradores, clientes, proveedores, titulares de datos y autoridades.
Ajusta los requisitos de cada parte interesada a las obligaciones y expectativas reales que tienen o podrían tener sobre tu empresa al implementar un SGPI.
⚖️ Recomendación legal: Los requisitos de titulares, autoridades, clientes y proveedores pueden surgir de leyes, contratos o regulaciones sectoriales. Por eso, no deben quedar solo como expectativas generales, deben poder demostrarse mediante políticas, procedimientos, contratos o evidencias operativas.
Determina el alcance del SGPI.
Debes colocar el enunciado de alcance que trabajaste en la actividad Guía para la definición del alcance del SGPI en el apartado correspondiente donde se solicita dentro del template de esta política.
Recuerda que en este enunciado se identificaron los productos o servicios de tu empresa que deseas proteger o que serán el objeto de certificación, así como las áreas involucradas en ellos.
También deberás analizar los procesos operativos relevantes, el área responsable de cada uno, y las interacciones o dependencias que existan entre ellos.
Define también la ubicación física o lógica donde se desarrollan los procesos alcanzados, incluyendo oficinas, países, servidores o proveedores de nube, cuando corresponda.
💡Si un proceso queda fuera del alcance documental, pero en la práctica trata datos personales relevantes, la empresa seguirá asumiendo responsabilidades frente a titulares, clientes y autoridades.
Formaliza el SGPI, el liderazgo y los roles.
Verifica que la política establezca que la empresa implementa, mantiene y mejora continuamente el SGPI mediante los procesos necesarios.
Garantiza que las responsabilidades de la Alta Dirección, Comité de Privacidad y/o rol encargado de privacidad se encuentren correctamente asignadas.
Es muy importante que la Alta Dirección se comprometa a asignar recursos, aprobar documentos, apoyar la implementación del sistema y promover su mejora continua.
Verifica que la política general de privacidad refleje el compromiso de la empresa con los requisitos legales, contractuales y regulatorios aplicables.
Confirma que las políticas y procedimientos relevantes serán comunicados al personal y, cuando corresponda, a las partes interesadas.
Planifica las acciones para tratar riesgos y oportunidades.
Explica que la empresa planifica la gestión de riesgos y oportunidades considerando el contexto de la organización y las necesidades de las partes interesadas.
Define cómo se integrarán las acciones de tratamiento de riesgos dentro de los procesos del SGPI, y verifica que se establezca cómo será medida la efectividad de dichas acciones.
Esta sección funciona como una introducción general al enfoque de riesgos; el detalle se desarrolla en la Metodología de Gestión de Riesgos.
Evalúa los riesgos.
Verifica que la empresa haya definido criterios de aceptación y evaluación de riesgos.
La metodología debe permitir identificar, analizar y priorizar riesgos relacionados con la pérdida de privacidad, confidencialidad, integridad y disponibilidad de la información y los datos personales.
Asegúrate de que cada riesgo tenga un responsable, una evaluación de probabilidad e impacto, y un nivel de prioridad.
Recuerda que esta evaluación debe seguir los lineamientos de tu Metodología de Gestión de Riesgos, y dejar registro y evidencia de su aplicación en el módulo de Riesgos de la plataforma, en caso de que sea la herramienta de tu elección para esto.
⚖️ Recomendación legal: Cuando un riesgo afecte datos personales, no evalúes únicamente el impacto para la empresa. Considera también las posibles consecuencias para los titulares, como exposición de información, fraude, discriminación, pérdida de control sobre sus datos o afectación económica.
Define el tratamiento de los riesgos.
Utiliza los resultados de la evaluación para seleccionar la opción de tratamiento aplicable o más adecuada para cada riesgo.
Verifica que los controles seleccionados estén reflejados en la Declaración de Aplicabilidad, y que las inclusiones o exclusiones cuenten con una justificación coherente.
Documenta el plan de tratamiento, los responsables, las acciones previstas y los niveles de riesgo residual.
Asegúrate de que el plan de tratamiento y los riesgos residuales cuenten con la aprobación de los responsables que correspondan.
Define los objetivos de privacidad y su planificación.
Estos objetivos deben estar alineados también con los objetivos o metas propias del negocio, de manera que la privacidad se integre en las operaciones de la empresa.
Los objetivos deben ser medibles y estar vinculados con las métricas e indicadores del SGPI.
Considera los resultados de la evaluación y los planes de tratamiento de riesgos al definir o actualizar los objetivos.
Verifica que los objetivos estén documentados, sean comunicados y se actualicen cuando sea necesario.
La Metodología de Indicadores de Privacidad de la Información te ayuda a definir qué se medirá, con qué recursos, quién será responsable y cómo se evaluarán los resultados. Y los registros de las mediciones, sus resultados, fechas, acciones correctivas, etcétera quedan en el Listado de Métricas e Indicadores.
Te recomendamos también leer nuestro artículo Definición de objetivos y métricas para un sistema de gestión para ayudarte a completar esta parte de tu política.
Planifica los cambios del SGPI.
Define que cualquier cambio relevante al SGPI debe realizarse de manera planificada.
Verifica que los cambios sean aprobados por la Alta Dirección cuando corresponda, y comunicados a las áreas o partes interesadas afectadas.
Considera cambios como la incorporación de un nuevo servicio, proveedor, sistema, tratamiento de datos, requisito legal, proceso operativo o modificación relevante de la infraestructura tecnológica.
Revisa los lineamientos de soporte y documentación.
Confirma que la empresa cuente con recursos, presupuesto, competencias, capacitación y medios de comunicación suficientes para operar el SGPI.
Verifica que las personas con funciones relevantes reciban capacitación y conozcan su contribución al sistema.
Revisa que las comunicaciones internas y externas se gestionen correctamente.
Asegúrate de que la información documentada del SGPI tenga responsables de elaboración, revisión y aprobación.
Verifica que los documentos cuenten con identificación, control de cambios, almacenamiento adecuado, acceso controlado, retención y disposición cuando corresponda.
Define cómo opera el SGPI.
Asegúrate de que las actividades operativas estén vinculadas con los objetivos de privacidad, los riesgos identificados y los controles normativos seleccionados.
Confirma que la empresa implementa los planes de tratamiento de riesgos y conserva evidencia de los controles aplicados.
Define cómo se mide, audita y revisa el sistema de gestión.
Revisa que la empresa mida y evalúe el desempeño de la privacidad de la información y la efectividad del SGPI.
Verifica que se defina qué se medirá, qué método se utilizará, quién será responsable de la medición y quién analizará los resultados.
Confirma que las actividades de medición estén vinculadas con la Metodología de Indicadores de Privacidad de la Información y el Listado de Métricas e Indicadores.
Asegúrate de que exista un programa de auditoría interna con frecuencia, alcance, criterios, métodos, responsables y evidencia de ejecución.
Revisa que la Alta Dirección realice revisiones periódicas del SGPI mediante minutas de sesión de Comité de Privacidad.
Incluye los elementos de la revisión por la dirección.
La revisión debe considerar los acuerdos de sesiones anteriores, cambios internos o externos relevantes, necesidades de las partes interesadas y resultados de auditorías.
También debe incluir no conformidades, acciones correctivas, métricas, cumplimiento de objetivos, retroalimentación, riesgos, estado de los planes de tratamiento y oportunidades de mejora.
Las decisiones adoptadas deben quedar documentadas en minutas de sesión de Comité de Privacidad.
Vincula la política con la mejora continua.
Ante una no conformidad, la empresa debe controlarla, corregirla, analizar sus causas, implementar acciones y verificar su efectividad.
El detalle de cada hallazgo, causa raíz, responsable y fecha de cierre debe registrarse en el Plan de Tratamiento de Acciones Correctivas y de Mejora.
Asegúrate de que las acciones correctivas sean proporcionales al incumplimiento detectado.
Completa el versionado del documento.
Al finalizar, completa la tabla de versionado indicando quién elaboró la política, quién la aprobó, la fecha de aprobación y la clasificación de la información.
Nuestro template cuenta con los lineamientos generales del SGPI, y está estructurado utilizando el mismo orden que llevan las cláusulas normativas. Esto para facilitar su comprensión y equivalencia con las evidencias de cumplimiento. Recuerda que debe reflejar la realidad de tu empresa y ser coherente con el resto de la documentación del sistema.
💡 Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Antes de aprobar la política, valida su contenido con la Alta Dirección, Tecnología, Recursos Humanos, Operaciones y Legal o Privacidad, cualquier otra que consideres relevante o que esté alcanzada por el SGPI, para confirmar que la información refleje la operación real.
Evita dejar ejemplos genéricos dentro del análisis del entorno externo, del FODA, partes interesadas, objetivos o alcance. Conserva únicamente aquello que la empresa pueda demostrar y aplicar.
Revisa que cada documento mencionado en esta política exista, esté vigente y tenga el mismo nombre utilizado o de referencia, dentro del contenido.
Conserva evidencia de las revisiones de la Alta Dirección, especialmente las minutas donde se aprueban recursos, acciones de mejora, aceptación de riesgos o cambios relevantes al SGPI.
Revisa esta política cuando existan cambios significativos en el modelo de negocio, nuevos tratamientos de datos personales, incorporación de proveedores relevantes, modificaciones regulatorias o cambios importantes en la infraestructura tecnológica.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.