Evaluación de riesgos de privacidad (6.1.2)
El riesgo se mide sobre las personas cuyos datos se tratan, no solo sobre la empresa: una filtración de datos de salud pesa distinto que la de un directorio comercial. El método es libre, pero debe dar resultados coherentes y comparables cuando se repite.
Tratamiento y declaración de aplicabilidad (6.1.3)
Para cada riesgo se eligen controles, contrastándolos con el Anexo A, y se recoge en una declaración de aplicabilidad cuáles se aplican y por qué se excluyen los demás. Un encargado que nunca recoge datos de los interesados puede justificar la exclusión de controles pensados para el responsable.
Objetivos y cambios (6.2 y 6.3)
Los objetivos de privacidad deben ser medibles —por ejemplo, porcentaje de solicitudes respondidas en plazo— y tener plan, responsable y fecha. Los cambios en el sistema se planifican, no se improvisan.
Lo que suele pedir el auditor
- Metodología de evaluación de riesgos de privacidad documentada
- Resultado de la evaluación con propietario de cada riesgo
- Declaración de aplicabilidad con justificación de exclusiones
- Objetivos de privacidad con indicador y plan
Cómo cubrir la planificación en Kimobox
- 1Lleva la evaluación de riesgos en la matriz de riesgos, con propietario y tratamiento.
- 2Mantén la declaración de aplicabilidad como documento controlado enlazado a los riesgos.
- 3Mide los objetivos con indicadores que salen de los propios registros.
La declaración de aplicabilidad se puede compartir con la de ISO 27001 cuando ambos sistemas conviven.
Modelos y registros de ISO 27701 de este capítulo
- Modelo de evaluación de riesgos de privacidad ISO 27701 · Registro obligatorio
- Modelo de declaración de aplicabilidad ISO 27701 · Documento obligatorio
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- ISO/IEC 27701:2025 — Sistemas de gestión de la información de privacidad. Requisitos y orientación ISO/IEC · Segunda edición, octubre de 2025
- ISO/IEC 27701:2019 — Extensión de ISO/IEC 27001 e ISO/IEC 27002 para la gestión de la información de privacidad ISO/IEC · Primera edición, agosto de 2019; anulada en octubre de 2025
- Reglamento (UE) 2016/679, Reglamento General de Protección de Datos EUR-Lex · 27 de abril de 2016; aplicable desde el 25 de mayo de 2018
- ISO/IEC 27001:2022 — Sistemas de gestión de la seguridad de la información ISO/IEC · 25 de octubre de 2022