Contexto y partes interesadas (4.1 y 4.2)
Además de los factores habituales, la norma pide tener en cuenta la legislación de privacidad aplicable, las decisiones de las autoridades de control y los compromisos contractuales con clientes que imponen condiciones sobre los datos. Los propios interesados —clientes, empleados, pacientes— son parte interesada, no solo los reguladores.
El papel en cada tratamiento
Una misma empresa suele ser responsable de las nóminas de su plantilla y encargada de los datos que le confían sus clientes. Esa distinción decide qué controles del Anexo A aplican y debe quedar clara antes de evaluar riesgos.
Alcance del sistema (4.3)
El alcance delimita tratamientos, sedes, sistemas y procesos incluidos, con sus interfaces con terceros. Un alcance que deja fuera justo el tratamiento de más riesgo resta credibilidad al certificado.
Lo que suele pedir el auditor
- Inventario de tratamientos con el papel de la organización en cada uno
- Lista de leyes, decisiones de autoridades y contratos que afectan a los datos
- Partes interesadas con sus expectativas de privacidad
- Declaración de alcance del PIMS documentada
Cómo cubrir el contexto en Kimobox
- 1Documenta el contexto del sistema de privacidad como un registro versionado más.
- 2Da de alta las partes interesadas y sus requisitos en una tabla con su revisión anual.
- 3Parte del registro de actividades de tratamiento para delimitar el alcance.
El alcance se apoya en el registro de actividades, no en una lista aparte que envejece sola.
Modelos y registros de ISO 27701 de este capítulo
- Modelo de inventario de datos personales ISO 27701 · Buena práctica
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- ISO/IEC 27701:2025 — Sistemas de gestión de la información de privacidad. Requisitos y orientación ISO/IEC · Segunda edición, octubre de 2025
- ISO/IEC 27701:2019 — Extensión de ISO/IEC 27001 e ISO/IEC 27002 para la gestión de la información de privacidad ISO/IEC · Primera edición, agosto de 2019; anulada en octubre de 2025
- Reglamento (UE) 2016/679, Reglamento General de Protección de Datos EUR-Lex · 27 de abril de 2016; aplicable desde el 25 de mayo de 2018
- ISO/IEC 27001:2022 — Sistemas de gestión de la seguridad de la información ISO/IEC · 25 de octubre de 2022