Models i registres · ISO 27701 · Apartat 6.1.2 y 8.2

Model d'avaluació de riscos de privadesa ISO 27701

L'anàlisi que decideix quins controls calen: què pot sortir malament amb les dades personals, quin dany faria a les persones i qui s'ocupa de cada risc.

En una frase

L'avaluació de riscos de privadesa identifica els riscos associats al tractament de dades personals, n'estima la probabilitat i les conseqüències per a les persones i l'organització, els compara amb els criteris d'acceptació i n'assigna un propietari a cadascun, perquè els apartats 6.1.2 i 8.2 d'ISO/IEC 27701:2025 demanen definir el procés, aplicar-lo a intervals planificats i conservar-ne els resultats.

Contingut revisat el 17 d'octubre de 2026

On ho demana la norma: ISO 27701 · Apartat 6.1.2 y 8.2 Es cita l'edició de 2025: els números del 4 al 10 són capítols; A.1, A.2 i A.3 són les taules de l'annex A amb els controls del responsable, de l'encarregat i comuns a tots dos.
Tipus d'informació: Registre obligatori Informació documentada que cal conservar (6.1.2 i 8.2)
Qui l'emplena: Responsable del PIMS, amb els propietaris dels tractaments El delegat de protecció de dades assessora; el propietari accepta el risc residual
Quan: A intervals planificats i davant de canvis significatius Habitualment una revisió anual i una altra cada vegada que entra un tractament o un sistema nou
Quant de temps es conserva: El fixa l'organització Ni la norma ni el RGPD donen un termini per al registre en si; el principi de limitació del termini de conservació (art. 5.1.e RGPD) obliga a justificar el que es triï.

Què demana la norma

El que exigeix ISO 27701 i el que deixa al teu criteri

La norma demana definir un procés d'avaluació de riscos de privadesa amb criteris d'acceptació i d'avaluació, que doni resultats coherents i comparables, i aplicar-lo per identificar, analitzar i valorar els riscos amb el seu propietari. El mètode —qualitatiu, per matriu, per escenaris— el tria l'organització.

L'avaluació es repeteix a intervals planificats i quan hi ha canvis significatius (8.2), i cal conservar tant la descripció del procés com els resultats de cada avaluació.

El que és propi de la privadesa és mirar el dany a les persones, no només a l'empresa. El RGPD apunta en la mateixa direcció quan demana mesures apropiades al risc per als drets i les llibertats (arts. 24 i 32).

Llegeix-ho en context: Riscos de privadesa i planificació, a l'Acadèmia de ISO 27701

Estructura

Camps que ha de tenir el model

Tractament o actiu avaluat
Escenari de risc: què pot passar i per què
Conseqüències per als interessats i per a l'organització
Probabilitat i nivell d'impacte segons els criteris
Nivell de risc resultant i comparació amb el criteri d'acceptació
Propietari del risc
Opció de tractament i controls de l'annex A associats
Risc residual i acceptació per part del propietari
Data d'avaluació i propera revisió

Exemple

Exemple: risc al portal de clients d'una clínica fictícia

Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.

Camp	Contingut
Tractament	RAT-02 · Cites i resultats al portal de pacients · Clínica Ter (fictícia)
Escenari	Accés d'un tercer als resultats d'anàlisis per reutilització de contrasenyes
Conseqüències	Revelació de dades de salut: dany alt per al pacient; notificació de bretxa i pèrdua de confiança
Valoració	Probabilitat mitjana × impacte alt = risc alt (criteri d'acceptació: mitjà)
Propietari	Direcció mèdica
Tractament	Mitigar: doble factor obligatori i avís d'accés per correu
Risc residual	Baix · Acceptat per la direcció mèdica el 9 d'abril de 2026
Revisió	Abril de 2027 o abans si canvia el portal

A l'auditoria

Errors que solen assenyalar els auditors

Es reutilitza l'avaluació de seguretat d'ISO 27001 sense valorar l'impacte sobre les persones.
Els criteris d'acceptació no estan escrits i cada avaluador puntua a la seva manera.
Cap risc no té propietari fora del departament de sistemes.
L'avaluació no es va repetir després d'incorporar un proveïdor de núvol que tracta dades de salut.
El risc residual no l'ha acceptat ningú amb autoritat.

A Kimobox

Com es porta aquest registre a Kimobox

1Els riscos es registren a la matriu de riscos amb propietari, valoració i tractament.
2Cada risc s'enllaça amb el tractament del registre d'activitats i amb els controls de la declaració d'aplicabilitat.
3La revisió periòdica queda programada amb avís de venciment.
4Les bretxes i les no conformitats relacionades alimenten el mapa de riscos.

Preguntes freqüents

El que ens pregunten abans de començar

És el mateix que l'avaluació d'impacte del RGPD?

No. L'avaluació de riscos cobreix tots els tractaments de l'abast i alimenta el sistema; l'avaluació d'impacte de l'article 35 és una anàlisi en profunditat, obligatòria només quan un tractament pot comportar un risc alt. La primera sol assenyalar quan cal la segona.

Es pot combinar amb la d'ISO 27001?

Sí, amb una mateixa metodologia i criteris ampliats per valorar el dany a les persones. El que no val és suposar que un risc de seguretat baix per a l'empresa és baix per a l'interessat.

Porta els registres de ISO 27701 sense plantilles soltes

Et mostrem el mòdul funcionant amb dades semblants a les teves.

Demanar una demo

Continua explorant

Pàgines relacionades

Fonts

D'on surt cada dada

Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.

ISO/IEC 27701:2025 — Sistemes de gestió de la informació de privadesa. Requisits i orientació ISO/IEC · Segona edició, octubre de 2025
Reglament (UE) 2016/679, Reglament General de Protecció de Dades EUR-Lex · 27 d'abril de 2016; aplicable des del 25 de maig de 2018
ISO/IEC 27001:2022 — Sistemes de gestió de la seguretat de la informació ISO/IEC · 25 d'octubre de 2022