Un anexo de controles propio
En la edición de 2019 los controles se apoyaban en los de ISO/IEC 27002 con añadidos de privacidad. En la de 2025 el Anexo A es autónomo: agrupa los controles según los aplique el responsable, el encargado o ambos, e incorpora los controles de seguridad con impacto directo en la privacidad.
Qué cubren
Para el responsable: condiciones de recogida y tratamiento —finalidad, base jurídica, consentimiento, evaluación de impacto—, obligaciones hacia los interesados, privacidad desde el diseño y transferencias. Para el encargado: acuerdos con el cliente, tratamiento solo según sus instrucciones, subencargados y comunicaciones a terceros.
Anexo B y declaración de aplicabilidad
El Anexo B es la guía de implantación de cada control. Cada control del Anexo A se aplica o se excluye con justificación en la declaración de aplicabilidad (6.1.3): ningún auditor espera que un encargado aplique los controles del responsable, pero sí que lo explique.
Lo que suele pedir el auditor
- Papel de la organización definido por tratamiento
- Declaración de aplicabilidad que recorre todo el Anexo A
- Evidencia de implantación de cada control aplicado
- Justificación de cada exclusión
Cómo cubrir los controles en Kimobox
- 1Carga los controles del Anexo A en la declaración de aplicabilidad con su estado.
- 2Enlaza cada control con el registro que lo evidencia: tratamientos, derechos, contratos.
- 3Asigna un responsable y una fecha de revisión a cada control aplicado.
Cada control del Anexo A apunta al registro que lo demuestra.
Modelos y registros de ISO 27701 de este capítulo
- Modelo de registro de actividades de tratamiento ISO 27701 · Documento obligatorio
- Modelo de evaluación de impacto en la privacidad ISO 27701 · Registro obligatorio
- Modelo de registro de consentimientos ISO 27701 · Registro obligatorio
- Modelo de registro de solicitudes de derechos ISO 27701 · Registro obligatorio
- Modelo de registro de brechas de datos personales ISO 27701 · Registro obligatorio
- Modelo de contrato de encargado del tratamiento ISO 27701 · Documento obligatorio
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- ISO/IEC 27701:2025 — Sistemas de gestión de la información de privacidad. Requisitos y orientación ISO/IEC · Segunda edición, octubre de 2025
- ISO/IEC 27701:2019 — Extensión de ISO/IEC 27001 e ISO/IEC 27002 para la gestión de la información de privacidad ISO/IEC · Primera edición, agosto de 2019; anulada en octubre de 2025
- Reglamento (UE) 2016/679, Reglamento General de Protección de Datos EUR-Lex · 27 de abril de 2016; aplicable desde el 25 de mayo de 2018
- ISO/IEC 27001:2022 — Sistemas de gestión de la seguridad de la información ISO/IEC · 25 de octubre de 2022