No conformidad y acción correctiva (10.2)
La norma pide reaccionar, analizar la causa, actuar si hace falta y revisar la eficacia, conservando evidencia de todo ello. Una brecha es un incidente; si revela que un control no funcionaba, también es una no conformidad.
Mejora continua (10.1)
La mejora se demuestra con tendencias: menos solicitudes vencidas, menos tiempo hasta decidir si se notifica una brecha, más encargados revisados a tiempo.
Ejemplo
Una gestoría ficticia detecta en auditoría interna que tres solicitudes de acceso se respondieron a los 40 días. La causa: llegaban a un buzón genérico sin responsable. La acción: un formulario único con plazo y aviso. A los seis meses, todas en plazo.
Lo que suele pedir el auditor
- Registro de no conformidades con causa y acción
- Verificación de eficacia fechada
- Relación entre brechas, hallazgos y acciones
- Tendencias de los indicadores en la revisión por la dirección
Cómo cubrir la mejora en Kimobox
- 1Abre la no conformidad desde la brecha, la auditoría o la solicitud vencida.
- 2Exige la causa raíz antes de pasar a la acción correctiva.
- 3Programa la verificación de eficacia en una fecha posterior.
La causa raíz es obligatoria: no se cierra una no conformidad solo con la corrección.
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- ISO/IEC 27701:2025 — Sistemas de gestión de la información de privacidad. Requisitos y orientación ISO/IEC · Segunda edición, octubre de 2025
- ISO/IEC 27701:2019 — Extensión de ISO/IEC 27001 e ISO/IEC 27002 para la gestión de la información de privacidad ISO/IEC · Primera edición, agosto de 2019; anulada en octubre de 2025
- Reglamento (UE) 2016/679, Reglamento General de Protección de Datos EUR-Lex · 27 de abril de 2016; aplicable desde el 25 de mayo de 2018
- ISO/IEC 27001:2022 — Sistemas de gestión de la seguridad de la información ISO/IEC · 25 de octubre de 2022