Models i registres · ISO 27701 · Apartat A.1
Model d'avaluació d'impacte en la privadesa ISO 27701
L'anàlisi a fons que es fa abans d'engegar un tractament d'alt risc: què es farà, si és necessari i proporcionat, què pot perjudicar les persones i com s'evita.
En una frase
L'avaluació d'impacte en la privadesa descriu el tractament i les seves finalitats, en valora la necessitat i la proporcionalitat, analitza els riscos per als drets i les llibertats dels interessats i fixa les mesures per afrontar-los, que és el contingut mínim de l'article 35.7 del RGPD; ISO/IEC 27701 la inclou entre els controls del responsable de la taula A.1.
- On ho demana la norma
- ISO 27701 · Apartat A.1 Es cita l'edició de 2025: els números del 4 al 10 són capítols; A.1, A.2 i A.3 són les taules de l'annex A amb els controls del responsable, de l'encarregat i comuns a tots dos.
- Tipus d'informació
- Registre obligatori Registre que cal conservar quan el tractament ho requereix (art. 35 RGPD; control de la taula A.1)
- Qui l'emplena
- El responsable del tractament, amb el delegat de protecció de dades L'encarregat hi col·labora aportant la informació que tingui (art. 28.3.f RGPD)
- Quan
- Abans d'iniciar el tractament I de nou quan canviï el risc (art. 35.11 RGPD)
- Quant de temps es conserva
- Mentre duri el tractament I el que l'organització decideixi després per poder demostrar que es va fer a temps
Què demana la norma
El que exigeix ISO 27701 i el que deixa al teu criteri
La norma demana al responsable que avaluï l'impacte en la privadesa quan un tractament nou o un canvi ho facin necessari, i que en conservi el resultat. El RGPD ho converteix en obligació quan és probable un risc alt per als drets i les llibertats, i cita com a casos l'avaluació sistemàtica amb efectes jurídics, el tractament a gran escala de categories especials i l'observació sistemàtica a gran escala de zones públiques.
L'article 35.7 fixa el contingut mínim i el 35.2 obliga a demanar l'assessorament del delegat de protecció de dades, si se n'ha designat. Si el risc residual continua sent alt, cal consultar l'autoritat de control abans de tractar (art. 36).
Que no sigui obligatòria no impedeix fer-la: moltes organitzacions l'apliquen de manera simplificada a qualsevol tractament nou, i convé deixar escrit per què es va decidir que no calia la completa.
Estructura
Camps que ha de tenir el model
- Descripció sistemàtica del tractament i de les seves finalitats
- Interès legítim perseguit, si és la base jurídica
- Avaluació de necessitat i proporcionalitat
- Riscos per als drets i les llibertats dels interessats
- Mesures previstes: garanties, seguretat i mecanismes de protecció
- Opinió del delegat de protecció de dades
- Opinió dels interessats, si es va demanar
- Risc residual i decisió: tractar, canviar o consultar l'autoritat
- Data, aprovació i propera revisió
Exemple
Exemple: control horari biomètric en una planta fictícia
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| Tractament | Registre de jornada amb empremta dactilar · Conserves Valldemar (fictícia), 140 treballadors |
| Necessitat | Es compara amb targeta i aplicació mòbil: totes dues compleixen la finalitat sense dades biomètriques |
| Riscos | Tractament de categories especials; filtració irreversible de plantilles biomètriques |
| Opinió del DPD | Desaconsella l'empremta per manca de proporcionalitat |
| Decisió | Es descarta la biometria i s'implanta targeta amb codi · 20 de gener de 2026 |
| Revisió | Quan es proposi qualsevol canvi en el sistema de fitxatge |
A l'auditoria
Errors que solen assenyalar els auditors
- L'avaluació es fa després de contractar i desplegar l'eina.
- Es limita a un qüestionari de seguretat sense analitzar ni la necessitat ni la proporcionalitat.
- No hi consta l'opinió del delegat de protecció de dades.
- No queda escrita la raó per la qual un tractament de risc no va necessitar una avaluació completa.
A Kimobox
Com es porta aquest registre a Kimobox
- 1L'alta d'un tractament nou passa per un flux que pregunta si requereix avaluació d'impacte.
- 2L'avaluació es documenta com a formulari amb l'aprovació del delegat i de la direcció.
- 3Les mesures acordades es converteixen en accions amb responsable, data i avís de retard.
Preguntes freqüents
El que ens pregunten abans de començar
Quan és obligatòria?
Quan és probable que un tractament comporti un risc alt per als drets i les llibertats de les persones (art. 35.1 RGPD). Les autoritats de control publiquen llistes de tractaments que la requereixen.
La fa l'encarregat?
No: l'obligació és del responsable. L'encarregat l'ajuda amb la informació sobre els seus mitjans i les seves mesures.
Porta els registres de ISO 27701 sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Avaluació d'impacte (EIPD)
Quan un tractament comporta un alt risc per als drets de les persones, el RGPD exigeix realitzar una…
Controls per a responsables i encarregats
L'annex A reuneix els controls de referència del PIMS per a responsables i encarregats; l'annex B, també…
Model de registre d'activitats de tractament ISO 27701
Què ha de recollir el registre d'activitats de tractament en un PIMS ISO 27701 i a l'art. 30 del RGPD…
Model d'inventari de dades personals ISO 27701
Com muntar un inventari de dades personals per a un PIMS ISO 27701: on són les dades, en quins sistemes, qui…
Fonts
D'on surt cada dada
Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.
- Reglament (UE) 2016/679, Reglament General de Protecció de Dades EUR-Lex · 27 d'abril de 2016; aplicable des del 25 de maig de 2018
- ISO/IEC 27701:2025 — Sistemes de gestió de la informació de privadesa. Requisits i orientació ISO/IEC · Segona edició, octubre de 2025