Deber de protección desde el diseño y por defecto
Con la finalidad de cumplir los principios y los derechos de los titulares establecidos en esta ley, el responsable debe aplicar medidas técnicas y organizativas adecuadas desde el diseño con anterioridad y durante el tratamiento de los datos personales. Las medidas a aplicar deberán tener en consideración el estado de la técnica; los costos de implementación; la naturaleza, ámbito, contexto y fines del tratamiento de datos; así como los riesgos asociados a dicha actividad. Asimismo, el responsable de datos deberá aplicar medidas técnicas y organizativas para garantizar que, por defecto, sólo sean objeto de tratamiento los datos personales específicos y estrictamente necesarios para dicha actividad. Para ello, se tendrá en consideración el número de datos recogidos, la extensión del tratamiento, el plazo de conservación y su accesibilidad.
Controles del Anexo A de ISO 27001 relacionados5
Los 93 controles del Anexo A de ISO/IEC 27001:2022 tienen la misma numeración y título que ISO/IEC 27002:2022, que aporta la guía de implantación de cada uno. Los derechos de los titulares se cubren con 5.34 y, en detalle, con ISO 27701.
Justificación Técnica
Las políticas definen los principios de protección desde el diseño que deben aplicarse en toda la organización.
⚡ Acción Requerida para TI (Enfoque Informático)
Para dar cumplimiento al Principio de Juridicidad, el área de TI debe formalizar, documentar y publicar la Directriz General de Seguridad, asegurando que existan políticas explícitas sobre el ciclo de vida y protección de los datos personales.
Evidencias Sugeridas
Política que incluya requisitos de privacidad desde el diseño
Justificación Técnica
El desarrollo seguro implementa la protección de datos desde el diseño en el ciclo de vida del software.
Evidencias Sugeridas
Procedimiento de desarrollo seguro, Requisitos de privacidad en desarrollo
Justificación Técnica
Los requisitos de seguridad de aplicaciones incluyen requisitos de privacidad por defecto.
Evidencias Sugeridas
Especificaciones de requisitos de privacidad, Checklist de seguridad
Justificación Técnica
La arquitectura segura incorpora principios de protección de datos desde el diseño del sistema.
Evidencias Sugeridas
Documentación de arquitectura con consideraciones de privacidad
Justificación Técnica
La codificación segura previene vulnerabilidades que podrían comprometer datos personales.
Evidencias Sugeridas
Estándares de codificación, Revisiones de código