Tratamiento de datos sensibles
Se prohíbe el Tratamiento de datos sensibles, excepto cuando: a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización; b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización; c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular; d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial; e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares.
Controles del Anexo A de ISO 27001 relacionados4
Los 93 controles del Anexo A de ISO/IEC 27001:2022 tienen la misma numeración y título que ISO/IEC 27002:2022, que aporta la guía de implantación de cada uno. Los derechos de los titulares se cubren con 5.34 y, en detalle, con ISO 27701.
Justificación Técnica
La clasificación de información permite identificar y tratar adecuadamente los datos sensibles según su categoría especial.
Evidencias Sugeridas
Esquema de clasificación, Procedimiento para datos sensibles
Justificación Técnica
El etiquetado permite identificar visualmente los datos sensibles para su tratamiento especial.
Evidencias Sugeridas
Procedimiento de etiquetado, Ejemplos de etiquetas aplicadas
Justificación Técnica
El control de privacidad y PII incluye medidas específicas para el tratamiento de datos sensibles.
Evidencias Sugeridas
Procedimiento para datos sensibles, Controles adicionales para PII sensible
Justificación Técnica
El enmascaramiento de datos es especialmente importante para proteger datos sensibles en entornos de prueba o desarrollo.
Evidencias Sugeridas
Procedimiento de enmascaramiento, Datos anonimizados en ambiente de pruebas