Models i registres · ISO 27701 · Apartat 4.3 y 6.1.2
Model d'inventari de dades personals ISO 27701
El mapa d'on viuen les dades personals: sistemes, fitxers, còpies i proveïdors. Sense aquest mapa, l'avaluació de riscos i la resposta a una sol·licitud de supressió es fan a cegues.
En una frase
L'inventari de dades personals relaciona cada categoria de dades amb els sistemes, les ubicacions, les còpies i els proveïdors on s'emmagatzema i amb qui hi pot accedir; no és un registre que ISO/IEC 27701 anomeni com a tal, però és la base pràctica per delimitar l'abast (4.3), avaluar els riscos de privadesa (6.1.2) i localitzar les dades d'un interessat quan exerceix un dret.
- On ho demana la norma
- ISO 27701 · Apartat 4.3 y 6.1.2 Es cita l'edició de 2025: els números del 4 al 10 són capítols; A.1, A.2 i A.3 són les taules de l'annex A amb els controls del responsable, de l'encarregat i comuns a tots dos.
- Tipus d'informació
- Bona pràctica Bona pràctica que dona suport als apartats 4.3 i 6.1.2
- Qui l'emplena
- Sistemes, amb els responsables de cada tractament Sistemes sap on són les dades; el negoci sap per a què
- Quan
- En delimitar l'abast i a cada canvi de sistemes Es revisa juntament amb l'avaluació de riscos
- Quant de temps es conserva
- Mentre existeixi el tractament És un document viu: s'actualitza i es guarda la versió anterior per poder mostrar com era en cada moment.
Què demana la norma
El que exigeix ISO 27701 i el que deixa al teu criteri
La norma demana conèixer els tractaments i avaluar-ne els riscos, però no exigeix un inventari de dades amb aquest nom. El que sí que espera l'auditor és que l'organització sàpiga on són les dades personals que tracta: és impossible justificar un control d'accés o un termini de supressió sense saber-ho.
Moltes organitzacions l'integren a l'inventari d'actius d'ISO/IEC 27001, amb una columna de dades personals afegida. És una solució vàlida si distingeix categories de dades i no només sistemes.
Convé incloure el que s'oblida: còpies de seguretat, exportacions a fulls de càlcul, bústies compartides i entorns de proves amb dades reals.
Estructura
Camps que ha de tenir el model
- Categoria de dades personals
- Tractaments del registre d'activitats que la fan servir
- Sistema, aplicació o suport on s'emmagatzema
- Ubicació física o regió del proveïdor
- Còpies de seguretat i rèpliques
- Perfils amb accés
- Proveïdor o encarregat implicat
- Termini de supressió i mètode d'esborrat
- Propietari de l'actiu
Exemple
Exemple: dades de candidats en una consultora fictícia
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| Categoria | Currículums i dades de contacte de candidats |
| Tractament | RAT-07 · Selecció de personal |
| On és | Portal d'ocupació contractat, bústia seleccio@ i carpeta compartida de RH |
| Còpies | Còpia diària de la carpeta compartida, retinguda 30 dies |
| Accés | Tres tècniques de selecció i la direcció de RH |
| Encarregat | Proveïdor del portal d'ocupació, servidors a la UE |
| Supressió | Un any des del final del procés, llevat de consentiment per a ofertes futures · Esborrat al portal i a la carpeta; la bústia es purga cada trimestre |
| Propietari | Direcció de RH · Nubària Consultors (fictícia) |
A l'auditoria
Errors que solen assenyalar els auditors
- L'inventari llista servidors, però no quines dades personals conté cadascun.
- S'obliden les còpies de seguretat i les exportacions a fulls de càlcul.
- L'entorn de proves fa servir dades reals i no apareix enlloc.
- No hi ha relació entre l'inventari i el registre d'activitats: dues llistes que no quadren.
A Kimobox
Com es porta aquest registre a Kimobox
- 1Les categories de dades s'enllacen amb l'inventari d'actius i amb el registre d'activitats.
- 2Cada actiu té propietari i classificació, i la seva revisió queda programada.
- 3La localització de la dada per interessat permet respondre una sol·licitud de drets sense buscar a mà.
Preguntes freqüents
El que ens pregunten abans de començar
És obligatori?
No com a document amb aquest nom. És la manera pràctica de complir el que sí que és obligatori: delimitar l'abast, avaluar riscos i localitzar les dades per atendre drets i suprimir-les a temps.
Pot ser el mateix inventari d'actius d'ISO 27001?
Sí, sempre que hi afegeixi la dimensió de privadesa: quines categories de dades personals conté cada actiu i per a quins tractaments.
Porta els registres de ISO 27701 sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Context i abast del PIMS
El sistema de privadesa comença per saber quines dades personals es tracten, en qualitat de què…
Model de registre d'activitats de tractament ISO 27701
Què ha de recollir el registre d'activitats de tractament en un PIMS ISO 27701 i a l'art. 30 del RGPD…
Model d'avaluació de riscos de privadesa ISO 27701
Com documentar l'avaluació de riscos de privadesa d'ISO 27701: criteris, risc per a les persones…
Model de declaració d'aplicabilitat ISO 27701
Què ha de contenir la declaració d'aplicabilitat d'un PIMS ISO 27701: controls de l'annex A, justificació…
Fonts
D'on surt cada dada
Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.
- ISO/IEC 27701:2025 — Sistemes de gestió de la informació de privadesa. Requisits i orientació ISO/IEC · Segona edició, octubre de 2025
- ISO/IEC 27001:2022 — Sistemes de gestió de la seguretat de la informació ISO/IEC · 25 d'octubre de 2022
- Reglament (UE) 2016/679, Reglament General de Protecció de Dades EUR-Lex · 27 d'abril de 2016; aplicable des del 25 de maig de 2018