LexAppliance

LexAppliance GRC

Multi-framework

Volver a artículos
Artículo 6Datos Sensibles

Tratamiento de datos sensibles

Se prohíbe el Tratamiento de datos sensibles, excepto cuando: a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización; b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización; c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular; d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial; e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares.

Controles del Anexo A de ISO 27001 relacionados4

Los 93 controles del Anexo A de ISO/IEC 27001:2022 tienen la misma numeración y título que ISO/IEC 27002:2022, que aporta la guía de implantación de cada uno. Los derechos de los titulares se cubren con 5.34 y, en detalle, con ISO 27701.

Justificación Técnica

La clasificación de información permite identificar y tratar adecuadamente los datos sensibles según su categoría especial.

Evidencias Sugeridas

Esquema de clasificación, Procedimiento para datos sensibles

Justificación Técnica

El etiquetado permite identificar visualmente los datos sensibles para su tratamiento especial.

Evidencias Sugeridas

Procedimiento de etiquetado, Ejemplos de etiquetas aplicadas

Justificación Técnica

El control de privacidad y PII incluye medidas específicas para el tratamiento de datos sensibles.

Evidencias Sugeridas

Procedimiento para datos sensibles, Controles adicionales para PII sensible

Justificación Técnica

El enmascaramiento de datos es especialmente importante para proteger datos sensibles en entornos de prueba o desarrollo.

Evidencias Sugeridas

Procedimiento de enmascaramiento, Datos anonimizados en ambiente de pruebas