Operación del PIMS

Planificación y control operacional (8.1)

Los criterios fijados en la planificación se aplican en el día a día: un nuevo tratamiento pasa por su evaluación antes de arrancar y un proveedor nuevo no recibe datos sin contrato. Los procesos externalizados también se controlan.

Evaluación y tratamiento de riesgos en marcha (8.2 y 8.3)

La evaluación se repite a intervalos planificados y cuando hay cambios significativos: una aplicación nueva, una transferencia a otro país, una fusión. Hay que conservar los resultados de cada evaluación y de cada plan de tratamiento.

Dónde entra el Anexo A

En la práctica, la operación es donde viven los controles: registro de tratamientos, evaluaciones de impacto, atención de derechos, contratos con encargados. Se explican en el capítulo dedicado al Anexo A.

Lo que suele pedir el auditor

• Procedimiento de alta de nuevos tratamientos con evaluación previa
• Resultados de evaluaciones de riesgos fechados
• Planes de tratamiento con estado de ejecución
• Control de procesos y proveedores externos

Cómo cubrir la operación en Kimobox

1. 1Monta el alta de un tratamiento como un flujo con evaluación y aprobación.
2. 2Programa la revisión periódica de riesgos con avisos de vencimiento.
3. 3Controla a los encargados desde el portal de proveedores.

De dónde sale cada dato

Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.

1. ISO/IEC 27701:2025 — Sistemas de gestión de la información de privacidad. Requisitos y orientación ISO/IEC · Segunda edición, octubre de 2025
2. ISO/IEC 27701:2019 — Extensión de ISO/IEC 27001 e ISO/IEC 27002 para la gestión de la información de privacidad ISO/IEC · Primera edición, agosto de 2019; anulada en octubre de 2025
3. Reglamento (UE) 2016/679, Reglamento General de Protección de Datos EUR-Lex · 27 de abril de 2016; aplicable desde el 25 de mayo de 2018
4. ISO/IEC 27001:2022 — Sistemas de gestión de la seguridad de la información ISO/IEC · 25 de octubre de 2022