LexAppliance

LexAppliance GRC

Multi-framework

Volver a artículos
Artículo 26Datos Sensibles

Tratamiento de datos sensibles

Queda prohibido el tratamiento de datos personales sensibles salvo que concurra alguna de las siguientes circunstancias: a) El titular haya dado su consentimiento explícito para el tratamiento de sus datos personales, especificándose claramente sus fines. b) El tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del titular en el ámbito del Derecho laboral y de la seguridad y protección social. c) El tratamiento es necesario para proteger intereses vitales del titular o de otra persona natural, en el supuesto de que el titular no esté capacitado, física o jurídicamente, para dar su consentimiento. d) El tratamiento se refiere a datos personales que el titular ha hecho manifiestamente públicos. e) El tratamiento se lo realiza por orden de autoridad judicial. f) El tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del titular. g) Cuando el tratamiento de los datos de salud se sujete a las disposiciones contenidas en la presente ley.

Controles del Anexo A de ISO 27001 relacionados4

Los 93 controles del Anexo A de ISO/IEC 27001:2022 tienen la misma numeración y título que ISO/IEC 27002:2022, que aporta la guía de implantación de cada uno. Los derechos de los titulares se cubren con 5.34 y, en detalle, con ISO 27701.

Justificación Técnica

La clasificación de información permite identificar y tratar adecuadamente los datos sensibles según su categoría especial.

Evidencias Sugeridas

Esquema de clasificación, Procedimiento para datos sensibles

Justificación Técnica

El etiquetado permite identificar visualmente los datos sensibles para su tratamiento especial.

Evidencias Sugeridas

Procedimiento de etiquetado, Ejemplos de etiquetas aplicadas

Justificación Técnica

El control de privacidad y PII incluye medidas específicas para el tratamiento de datos sensibles.

Evidencias Sugeridas

Procedimiento para datos sensibles, Controles adicionales para PII sensible

Justificación Técnica

El enmascaramiento de datos es especialmente importante para proteger datos sensibles en entornos de prueba o desarrollo.

Evidencias Sugeridas

Procedimiento de enmascaramiento, Datos anonimizados en ambiente de pruebas