Context i parts interessades (4.1 i 4.2)
A més dels factors habituals, la norma demana tenir en compte la legislació de privadesa aplicable, les decisions de les autoritats de control i els compromisos contractuals amb clients que imposen condicions sobre les dades. Els mateixos interessats —clients, empleats, pacients— són part interessada, no només els reguladors.
El paper en cada tractament
Una mateixa empresa sol ser responsable de les nòmines de la seva plantilla i encarregada de les dades que li confien els clients. Aquesta distinció decideix quins controls de l'annex A s'apliquen i ha de quedar clara abans d'avaluar riscos.
Abast del sistema (4.3)
L'abast delimita els tractaments, les seus, els sistemes i els processos inclosos, amb les seves interfícies amb tercers. Un abast que deixa fora precisament el tractament de més risc resta credibilitat al certificat.
El que sol demanar l'auditor
- Inventari de tractaments amb el paper de l'organització en cadascun
- Llista de lleis, decisions d'autoritats i contractes que afecten les dades
- Parts interessades amb les seves expectatives de privadesa
- Declaració d'abast del PIMS documentada
Com cobrir el context a Kimobox
- 1Documenta el context del sistema de privadesa com un registre versionat més.
- 2Dona d'alta les parts interessades i els seus requisits en una taula amb revisió anual.
- 3Parteix del registre d'activitats de tractament per delimitar l'abast.
L'abast es recolza en el registre d'activitats, no en una llista a part que envelleix tota sola.
Models i registres de ISO 27701 d'aquest capítol
- Model d'inventari de dades personals ISO 27701 · Bona pràctica
D'on surt cada dada
Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.
- ISO/IEC 27701:2025 — Sistemes de gestió de la informació de privadesa. Requisits i orientació ISO/IEC · Segona edició, octubre de 2025
- ISO/IEC 27701:2019 — Extensió d'ISO/IEC 27001 i ISO/IEC 27002 per a la gestió de la informació de privadesa ISO/IEC · Primera edició, agost de 2019; anul·lada l'octubre de 2025
- Reglament (UE) 2016/679, Reglament General de Protecció de Dades EUR-Lex · 27 d'abril de 2016; aplicable des del 25 de maig de 2018
- ISO/IEC 27001:2022 — Sistemes de gestió de la seguretat de la informació ISO/IEC · 25 d'octubre de 2022