Datos que nadie mapeó
Sin saber dónde están los datos personales y por dónde circulan, ninguna base legal se sostiene.
Consultoría
Privacidad de Datos
Privacidad que funciona en el día a día y se sostiene en la auditoría.
Adecuamos su empresa a la Ley General de Protección de Datos de Brasil (LGPD) y al RGPD con un enfoque práctico en gobernanza, procesos y controles. Y preparamos la base para un sistema de gestión de la privacidad certificable según la ISO/IEC 27701.
- LGPD
- RGPD
- ISO/IEC 27701:2025
- ISO/IEC 29100
El desafío
Privacidad que funciona en el día a día y se sostiene en la auditoría.
Adecuación que envejece
Cada mes surgen nuevos sistemas, proveedores y finalidades. Una adecuación sin rutina queda desactualizada rápidamente.
Titular, incidente y fiscalización
Las solicitudes de los titulares, los incidentes y la ANPD tienen plazos. La respuesta necesita un proceso, un responsable y un registro.
Cómo ayudamos
Frentes de trabajo
Adecuación de empresas
Objetivo
Adecuar la empresa a los requisitos de Privacidad y Protección de Datos, reduciendo los riesgos regulatorios y operativos y fortaleciendo la confianza del mercado. Estructuramos gobernanza, procesos y controles para el cumplimiento de la LGPD y el RGPD, y preparamos la base para evolucionar hacia un sistema de gestión de la privacidad alineado con la ISO/IEC 27701.
Lo que hacemos
LGPD: adecuación y operación
- Diagnóstico de madurez y priorización por riesgo.
- Mapeo de procesos y flujos de datos (inventario y registros).
- Bases legales, avisos de privacidad y gestión del consentimiento, cuando corresponda.
- Políticas, procedimientos y formaciones mínimas para el sostenimiento.
- Contratos y gestión de encargados del tratamiento y proveedores (cláusulas y controles).
- Transferencia internacional de datos personales.
- Apoyo en incidentes y plan de respuesta centrado en los datos personales.
RGPD: cumplimiento y evidencias
- Gap analysis y adecuaciones en principios, derechos y accountability.
- Estructuración de los registros y de la documentación exigida.
- Evaluación de las transferencias internacionales y de los controles asociados.
- Procesos de gobernanza y reporte para demostrar el cumplimiento.
ISO/IEC 27701: base para la certificación
- Definición del alcance e integración con la ISO 27001, cuando exista.
- Mapeo de controles, responsabilidades (responsable y encargado del tratamiento) y evidencias.
- Implementación de procesos y registros (privacy by design, evaluaciones y auditabilidad).
- Preparación para la auditoría interna y para la certificación.
Preparación para certificaciones
Objetivo
Preparar a la empresa para obtener la certificación ISO/IEC 27701, estructurando un Sistema de Gestión de la Privacidad (PIMS) con controles implementados y evidencias auditables, reduciendo el retrabajo y aumentando la previsibilidad de la auditoría externa. En la edición de 2025, el PIMS puede certificarse de forma independiente o integrado con el SGSI de la ISO/IEC 27001.
Lo que hacemos
Readiness y planificación
- Diagnóstico de madurez y gap analysis frente a los requisitos de la ISO/IEC 27701.
- Definición del alcance, el contexto, las partes interesadas y los límites del PIMS.
- Plan de trabajo con hitos, responsabilidades y priorización por riesgo.
Integración con la ISO/IEC 27001, cuando corresponda
- Alineación del PIMS con el SGSI existente (gobernanza, riesgo, documentación y evidencias).
- Mapeo de sinergias y controles compartidos para reducir duplicidades.
Controles, procesos y evidencias
- Estructuración de roles, responsabilidades y rituales de gobernanza.
- Políticas, normas y procedimientos de privacidad con trazas de evidencia.
- Registros y documentación esenciales (procesos, bases legales, terceros, incidentes y cambios).
- Pruebas de operación de los controles y ajustes para garantizar la consistencia.
Auditoría interna y preparación final
- Auditoría interna (o preauditoría) orientada a evidencias y muestreo.
- Plan de acciones correctivas y verificación de eficacia.
- Preparación del "audit pack" y apoyo en la relación con el auditor externo.
Gestión de Riesgos de Privacidad
Objetivo
Implementar y operar un proceso continuo de Gestión de Riesgos de Privacidad, reduciendo la exposición a sanciones e incidentes y fortaleciendo el cumplimiento de la LGPD y el RGPD. Estructuramos criterios, gobernanza y planes de tratamiento para los riesgos ligados a los datos personales en todo su ciclo de vida: recolección, uso, compartición, almacenamiento y eliminación.
Lo que hacemos
Estructura y gobernanza
- Definición del alcance, los roles (DPO, áreas de negocio, TI y Jurídico) y los rituales de revisión.
- Criterios de riesgo: impacto en el titular, probabilidad, criticidad, apetito y tolerancia.
- Indicadores y reporte ejecutivo (KPI y KRI) para la toma de decisiones.
Identificación y evaluación de riesgos
- Mapeo de los tratamientos de datos y de los puntos críticos (internos y de terceros).
- Evaluación de riesgos por proceso, sistema, proyecto y proveedor.
- Priorización por criticidad y definición del backlog de remediación.
Tratamiento y monitoreo
- Planes de tratamiento con responsables, plazos y evidencias.
- Gestión de excepciones, aceptaciones y cambios con trazabilidad.
- Revisiones periódicas y verificación de la eficacia de las acciones.
Evaluaciones de impacto: EIPD y LIA
- Realización y estandarización de la EIPD (evaluación de impacto en la protección de datos) para los tratamientos de mayor riesgo.
- LIA, cuando corresponda, para fundamentar el interés legítimo y los controles mitigadores.
- Plantillas, criterios y trazas de evidencia para la auditoría y la accountability.
DPO as a Service
Objetivo
Garantizar el sostenimiento continuo del programa de Privacidad de Datos, con gobernanza, rutinas operativas y evidencias consistentes, actuando como DPO as a Service para reducir riesgos, atender las exigencias regulatorias y apoyar a las áreas de negocio en el tratamiento correcto de los datos personales.
Lo que hacemos
Operación y gobernanza
- Rutinas, rituales y reporte ejecutivo (KPI, KRI y estado del programa).
- Creación y mantenimiento del Comité de Privacidad de Datos Personales.
- Orientación a las áreas sobre bases legales, minimización, conservación y comunicaciones de datos.
- Gestión de las solicitudes de los titulares (DSAR): flujo, plazos, registros y respuesta.
- Apoyo en incidentes de privacidad: clasificación, evidencias, comunicación y lecciones aprendidas.
- EIPD, LIA y privacy by design en nuevos proyectos y cambios.
- Gestión de terceros: due diligence, cláusulas contractuales y controles operativos.
- Mantenimiento de la documentación y de las evidencias (inventarios, políticas, registros y auditabilidad).
- Interlocución con la ANPD (Agencia Nacional de Protección de Datos de Brasil) y con los titulares de los datos.
Auditorías
Objetivo
Evaluar, con independencia y evidencias, la adherencia de la empresa a los requisitos de la ISO/IEC 27701, verificando la eficacia de los controles y la consistencia de la documentación y de las rutinas de privacidad. El foco está en identificar brechas, reducir riesgos y preparar a la empresa para las auditorías externas, con un plan de acción claro y trazable.
Lo que hacemos
Planificación de la auditoría
- Definición del alcance, los criterios, el muestreo y la agenda.
- Revisión del contexto, los roles, los procesos y las evidencias disponibles.
Ejecución y pruebas de controles
- Entrevistas y validación de los controles en operación (procesos, registros y trazas).
- Verificación de la documentación: políticas, procedimientos, inventarios, evaluaciones y contratos.
- Verificación de las evidencias de rutina (terceros, cambios, incidentes y solicitudes de los titulares).
Informe y priorización
- Informe con no conformidades, observaciones y oportunidades de mejora.
- Priorización por riesgo y criticidad, con recomendaciones prácticas de corrección.
Acciones correctivas y seguimiento
- Plan de acción con responsables y plazos.
- Verificación de eficacia (nueva prueba) y apoyo en la preparación final para la auditoría externa.
Referencias
Normas, leyes y marcos que orientan el trabajo y las evidencias.
- LGPD
- Ley 13.709/2018, la Ley General de Protección de Datos Personales de Brasil, y las resoluciones de la ANPD.
- RGPD
- Reglamento (UE) 2016/679, para los tratamientos vinculados a la Unión Europea.
- ISO/IEC 27701:2025
- Requisitos del Sistema de Gestión de la Privacidad de la Información (PIMS). Certificable, de forma independiente o junto con la ISO/IEC 27001.
- ISO/IEC 29100
- Marco de privacidad con los principios de base.
Formación relacionada
Para el equipo que operará el programa después del proyecto.
En Galáxia
Los sistemas de la Galáxia que sostienen este trabajo después de la consultoría, con el mismo método.
Solicitud de propuesta
¿Analizamos los datos personales de su empresa?
Cuéntenos su escenario, ya sea una adecuación inicial, una revisión, una certificación o el sostenimiento. Le respondemos con un primer diseño del alcance.
cyber@cyberconsulting.com.br