Planificació i control operacional (8.1)
Els criteris fixats a la planificació s'apliquen en el dia a dia: un tractament nou passa per la seva avaluació abans d'engegar i un proveïdor nou no rep dades sense contracte. Els processos externalitzats també es controlen.
Avaluació i tractament de riscos en marxa (8.2 i 8.3)
L'avaluació es repeteix a intervals planificats i quan hi ha canvis significatius: una aplicació nova, una transferència a un altre país, una fusió. Cal conservar els resultats de cada avaluació i de cada pla de tractament.
On entra l'annex A
A la pràctica, l'operació és on viuen els controls: registre de tractaments, avaluacions d'impacte, atenció de drets, contractes amb encarregats. S'expliquen al capítol dedicat a l'annex A.
El que sol demanar l'auditor
- Procediment d'alta de tractaments nous amb avaluació prèvia
- Resultats datats de les avaluacions de riscos
- Plans de tractament amb l'estat d'execució
- Control de processos i proveïdors externs
Com cobrir l'operació a Kimobox
- 1Munta l'alta d'un tractament com un flux amb avaluació i aprovació.
- 2Programa la revisió periòdica de riscos amb avisos de venciment.
- 3Controla els encarregats des del portal de proveïdors.
Cap tractament nou no arrenca sense que el flux hagi passat per la seva avaluació.
D'on surt cada dada
Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.
- ISO/IEC 27701:2025 — Sistemes de gestió de la informació de privadesa. Requisits i orientació ISO/IEC · Segona edició, octubre de 2025
- ISO/IEC 27701:2019 — Extensió d'ISO/IEC 27001 i ISO/IEC 27002 per a la gestió de la informació de privadesa ISO/IEC · Primera edició, agost de 2019; anul·lada l'octubre de 2025
- Reglament (UE) 2016/679, Reglament General de Protecció de Dades EUR-Lex · 27 d'abril de 2016; aplicable des del 25 de maig de 2018
- ISO/IEC 27001:2022 — Sistemes de gestió de la seguretat de la informació ISO/IEC · 25 d'octubre de 2022