Un annex de controls propi
A l'edició de 2019 els controls es recolzaven en els d'ISO/IEC 27002 amb afegits de privadesa. A la de 2025 l'annex A és autònom: agrupa els controls segons si els aplica el responsable, l'encarregat o tots dos, i incorpora els controls de seguretat amb impacte directe en la privadesa.
Què cobreixen
Per al responsable: condicions de recollida i tractament —finalitat, base jurídica, consentiment, avaluació d'impacte—, obligacions envers els interessats, privadesa des del disseny i transferències. Per a l'encarregat: acords amb el client, tractament només segons les seves instruccions, subencarregats i comunicacions a tercers.
Annex B i declaració d'aplicabilitat
L'annex B és la guia d'implantació de cada control. Cada control de l'annex A s'aplica o s'exclou amb justificació a la declaració d'aplicabilitat (6.1.3): cap auditor no espera que un encarregat apliqui els controls del responsable, però sí que ho expliqui.
El que sol demanar l'auditor
- Paper de l'organització definit per tractament
- Declaració d'aplicabilitat que recorre tot l'annex A
- Evidència d'implantació de cada control aplicat
- Justificació de cada exclusió
Com cobrir els controls a Kimobox
- 1Carrega els controls de l'annex A a la declaració d'aplicabilitat amb el seu estat.
- 2Enllaça cada control amb el registre que l'evidencia: tractaments, drets, contractes.
- 3Assigna un responsable i una data de revisió a cada control aplicat.
Cada control de l'annex A apunta al registre que el demostra.
Models i registres de ISO 27701 d'aquest capítol
- Model de registre d'activitats de tractament ISO 27701 · Document obligatori
- Model d'avaluació d'impacte en la privadesa ISO 27701 · Registre obligatori
- Model de registre de consentiments ISO 27701 · Registre obligatori
- Model de registre de sol·licituds de drets ISO 27701 · Registre obligatori
- Model de registre de bretxes de dades personals ISO 27701 · Registre obligatori
- Model de contracte d'encarregat del tractament ISO 27701 · Document obligatori
D'on surt cada dada
Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.
- ISO/IEC 27701:2025 — Sistemes de gestió de la informació de privadesa. Requisits i orientació ISO/IEC · Segona edició, octubre de 2025
- ISO/IEC 27701:2019 — Extensió d'ISO/IEC 27001 i ISO/IEC 27002 per a la gestió de la informació de privadesa ISO/IEC · Primera edició, agost de 2019; anul·lada l'octubre de 2025
- Reglament (UE) 2016/679, Reglament General de Protecció de Dades EUR-Lex · 27 d'abril de 2016; aplicable des del 25 de maig de 2018
- ISO/IEC 27001:2022 — Sistemes de gestió de la seguretat de la informació ISO/IEC · 25 d'octubre de 2022