La protección de datos personales se ha convertido en un aspecto clave para organizaciones que gestionan información de clientes, trabajadores, proveedores y otras partes interesadas.
En Perú, las empresas deben considerar las obligaciones establecidas por la Ley N.° 29733, Ley de Protección de Datos Personales, y su Reglamento vigente. Al mismo tiempo, necesitan implementar medidas que permitan proteger la confidencialidad, integridad y disponibilidad de la información que gestionan.
En este contexto, ISO/IEC 27001:2022 proporciona un marco internacional para implementar un Sistema de Gestión de Seguridad de la Información (SGSI) basado en la identificación, evaluación y tratamiento de riesgos.
Pero ¿cómo pueden integrarse la seguridad de la información y la protección de datos personales dentro de una misma estrategia de gestión?
Este será el tema central de nuestro próximo webinar de QUAMA.
¿Qué relación existe entre ISO 27001 y la protección de datos personales?
Aunque tienen alcances diferentes, la ISO 27001 y la protección de datos personales comparten un objetivo fundamental: gestionar adecuadamente la información y reducir los riesgos asociados a su uso, almacenamiento, acceso y transferencia.
ISO/IEC 27001 establece los requisitos para implementar, mantener y mejorar continuamente un SGSI, ayudando a las organizaciones a gestionar los riesgos relacionados con la información que poseen o procesan.
Esto puede involucrar información como:
- Datos de clientes.
- Información de trabajadores.
- Bases de datos comerciales.
- Información financiera.
- Contratos y documentos internos.
- Credenciales de acceso.
- Información proporcionada por terceros.
Cuando estos activos contienen datos personales, la gestión de seguridad debe complementarse con las obligaciones legales correspondientes.
Protección de datos personales en Perú: ¿qué deben considerar las organizaciones?
La Ley de Protección de Datos Personales en Perú establece obligaciones para las organizaciones que realizan tratamiento de datos personales.
Además, el nuevo Reglamento de la Ley N.° 29733, aprobado mediante el Decreto Supremo N.° 016-2024-JUS, se encuentra vigente desde el 31 de marzo de 2025 y desarrolla las obligaciones aplicables al tratamiento y protección de estos datos.
Por ello, las organizaciones necesitan analizar no solo cómo recopilan y utilizan la información, sino también:
- Quién puede acceder a ella.
- Dónde se encuentra almacenada.
- Cómo se comparte.
- Qué terceros tienen acceso.
- Qué medidas de seguridad existen.
- Cómo se respondería ante un incidente o una brecha de seguridad.
Una gestión inadecuada puede generar riesgos operativos, legales y reputacionales.
¿Cómo puede ISO 27001 fortalecer la protección de datos personales?
Implementar ISO 27001 en Perú permite establecer una metodología estructurada para identificar activos de información, evaluar amenazas y vulnerabilidades y definir controles de seguridad según el nivel de riesgo.
Un SGSI puede ayudar a fortalecer aspectos como:
- Gestión de accesos y privilegios.
- Seguridad de sistemas y dispositivos.
- Gestión de proveedores.
- Protección y respaldo de información.
- Respuesta ante incidentes.
- Gestión de riesgos de seguridad.
- Concientización del personal.
- Mejora continua de los controles implementados.
ISO/IEC 27001 aborda la seguridad desde un enfoque integral que involucra personas, procesos y tecnología.
Sin embargo, contar con un SGSI no significa automáticamente cumplir con todas las obligaciones legales relacionadas con los datos personales. La clave está en integrar ambos enfoques.
Seguridad de la información y cumplimiento: ¿por qué deben gestionarse juntos?
Muchas organizaciones gestionan la ciberseguridad, la seguridad de la información y la protección de datos como temas independientes.
Esto puede generar controles duplicados, responsabilidades poco claras o incluso brechas que no han sido identificadas.
Integrar la seguridad de la información y el cumplimiento permite relacionar:
- Los activos de información.
- Los datos personales tratados.
- Los riesgos asociados.
- Los requisitos legales aplicables.
- Los controles de seguridad.
- Las responsabilidades dentro de la organización.
De esta manera, la protección de datos deja de gestionarse únicamente como una obligación documental y pasa a formar parte de la gestión de riesgos de la organización.
¿Tu organización está preparada para proteger adecuadamente los datos personales?
Algunas preguntas pueden ayudar a identificar posibles brechas:
- ¿Sabes qué áreas de tu organización manejan datos personales?
- ¿Tienes identificado quién puede acceder a esa información?
- ¿Los accesos son retirados cuando una persona cambia de puesto o deja la organización?
- ¿Tus proveedores cuentan con controles adecuados para proteger la información que reciben?
- ¿Existe un procedimiento para responder ante una filtración o pérdida de información?
- ¿Tus colaboradores conocen cómo actuar frente a un posible incidente de seguridad?
Si alguna de estas preguntas no tiene una respuesta clara, puede existir una brecha entre la gestión de seguridad de la información y el cumplimiento de protección de datos.
Participa en nuestro webinar sobre ISO 27001 y protección de datos personales
En nuestro webinar “ISO 27001 y protección de datos personales: cómo integrar la seguridad de la información y el cumplimiento” abordaremos cómo las organizaciones pueden conectar los requisitos de seguridad de la información con la gestión y protección de datos personales.
Durante la sesión revisaremos:
- La relación entre ISO 27001 y protección de datos personales.
- Cómo identificar riesgos asociados al tratamiento de información.
- Qué papel cumple un Sistema de Gestión de Seguridad de la Información (SGSI).
- Cómo integrar controles de seguridad con requisitos de cumplimiento.
- Principales aspectos que las organizaciones deben evaluar para fortalecer la protección de sus datos.
- Recomendaciones para avanzar hacia una gestión de seguridad más estructurada.
Será una sesión dirigida a profesionales responsables de seguridad de la información, sistemas, cumplimiento, riesgos, protección de datos, procesos y sistemas de gestión.
Inscríbete y fortalece la seguridad de la información de tu organización
La protección de datos personales no depende únicamente de herramientas tecnológicas. Requiere identificar riesgos, establecer responsabilidades y aplicar controles adecuados en toda la organización.
Participa en este webinar de QUAMA y conoce cómo integrar ISO 27001, seguridad de la información y protección de datos personales dentro de una gestión orientada al riesgo y al cumplimiento.
Inscríbete gratuitamente y reserva tu participación en el webinar.
