¿Cuál es la diferencia entre ISO/IEC 27701 Lead Implementer y Lead Auditor?

ISO/IEC 27701 Lead Implementer y Lead Auditor certifican dos funciones opuestas dentro de la misma disciplina de gestión de la privacidad. El Lead Implementer se encarga de construir y operar un Sistema de Gestión de la Información de Privacidad (PIMS): definir el alcance, mapear el tratamiento de datos personales, asignar las responsabilidades de responsable y encargado del tratamiento, e integrar los controles de privacidad en el SGSI existente conforme a ISO/IEC 27001.

El Lead Auditor, en cambio, evalúa un PIMS de forma independiente. Siguiendo la metodología de auditoría de la norma ISO 19011, el auditor planifica la auditoría, recopila evidencias, comprueba si los controles funcionan según lo previsto e informa de la conformidad o no conformidad respecto a los requisitos de ISO/IEC 27701. El auditor no diseña ni corrige el sistema; su función es aportar una evaluación objetiva.

La distinción práctica es de construcción frente a verificación. Los implementadores necesitan competencias de diseño y operación. Los auditores necesitan competencias de evaluación, como el muestreo, la realización de entrevistas, la revisión de evidencias y el juicio imparcial. Las dos certificaciones son complementarias, pero corresponden a trayectorias profesionales distintas y no deben considerarse intercambiables.

Ambas son certificaciones PECB de cinco días alineadas con ISO/IEC 27701 como extensión de ISO/IEC 27001. Muchos profesionales de la privacidad acaban obteniendo las dos con el tiempo, pero una misma persona no debería implantar y luego auditar el mismo PIMS, porque comprometería la independencia del auditor.