Tratamiento de datos sensibles
Queda prohibido el tratamiento de datos personales sensibles salvo que concurra alguna de las siguientes circunstancias: a) El titular haya dado su consentimiento explícito para el tratamiento de sus datos personales, especificándose claramente sus fines. b) El tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del titular en el ámbito del Derecho laboral y de la seguridad y protección social. c) El tratamiento es necesario para proteger intereses vitales del titular o de otra persona natural, en el supuesto de que el titular no esté capacitado, física o jurídicamente, para dar su consentimiento. d) El tratamiento se refiere a datos personales que el titular ha hecho manifiestamente públicos. e) El tratamiento se lo realiza por orden de autoridad judicial. f) El tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del titular. g) Cuando el tratamiento de los datos de salud se sujete a las disposiciones contenidas en la presente ley.
Controles del Anexo A de ISO 27001 relacionados4
Los 93 controles del Anexo A de ISO/IEC 27001:2022 tienen la misma numeración y título que ISO/IEC 27002:2022, que aporta la guía de implantación de cada uno. Los derechos de los titulares se cubren con 5.34 y, en detalle, con ISO 27701.
Justificación Técnica
La clasificación de información permite identificar y tratar adecuadamente los datos sensibles según su categoría especial.
Evidencias Sugeridas
Esquema de clasificación, Procedimiento para datos sensibles
Justificación Técnica
El etiquetado permite identificar visualmente los datos sensibles para su tratamiento especial.
Evidencias Sugeridas
Procedimiento de etiquetado, Ejemplos de etiquetas aplicadas
Justificación Técnica
El control de privacidad y PII incluye medidas específicas para el tratamiento de datos sensibles.
Evidencias Sugeridas
Procedimiento para datos sensibles, Controles adicionales para PII sensible
Justificación Técnica
El enmascaramiento de datos es especialmente importante para proteger datos sensibles en entornos de prueba o desarrollo.
Evidencias Sugeridas
Procedimiento de enmascaramiento, Datos anonimizados en ambiente de pruebas