Models i registres · ISO 27701 · Apartat A.1 y A.2
Model de registre d'activitats de tractament ISO 27701
La peça central del sistema de privadesa: quines dades es tracten, per a què, de qui, amb qui es comparteixen i quant de temps es guarden, tractament per tractament.
En una frase
El registre d'activitats de tractament descriu, per a cada tractament, la finalitat, les categories d'interessats i de dades, els destinataris, les transferències internacionals, els terminis de supressió i les mesures de seguretat, perquè l'article 30 del RGPD l'exigeix al responsable i a l'encarregat i ISO/IEC 27701 el recull entre els controls de les taules A.1 i A.2.
- On ho demana la norma
- ISO 27701 · Apartat A.1 y A.2 Es cita l'edició de 2025: els números del 4 al 10 són capítols; A.1, A.2 i A.3 són les taules de l'annex A amb els controls del responsable, de l'encarregat i comuns a tots dos.
- Tipus d'informació
- Document obligatori Document que cal mantenir actualitzat (art. 30 RGPD; controls de les taules A.1 i A.2)
- Qui l'emplena
- El responsable de cada tractament, amb el delegat de protecció de dades Qui coneix el procés el descriu; el delegat o el responsable del PIMS revisa que sigui complet
- Quan
- Abans d'iniciar un tractament i a cada canvi Una eina nova, un proveïdor nou o una finalitat nova obliguen a revisar-lo
- Quant de temps es conserva
- Mentre existeixi el tractament És un document viu: s'actualitza i es guarda la versió anterior per poder mostrar com era en cada moment.
Què demana la norma
El que exigeix ISO 27701 i el que deixa al teu criteri
La norma demana al responsable i a l'encarregat que mantinguin un registre dels tractaments que duen a terme, amb prou detall per gestionar-los i demostrar-ho. No fixa la plantilla: el que exigeix és que el registre sigui complet, estigui al dia i el conegui qui decideix sobre cada tractament.
El RGPD concreta el contingut mínim: l'article 30.1 per al responsable i el 30.2 per a l'encarregat, que registra les categories de tractaments que fa per compte de cada client. Ha de constar per escrit, també en format electrònic, i posar-se a disposició de l'autoritat de control si ho sol·licita.
L'article 30.5 eximeix les organitzacions de menys de 250 empleats llevat que el tractament comporti risc, no sigui ocasional o inclogui categories especials de dades. A la pràctica gairebé cap empresa amb plantilla pròpia no en queda exempta, perquè les nòmines no són ocasionals.
Estructura
Camps que ha de tenir el model
- Nom i contacte del responsable i, si escau, del delegat de protecció de dades
- Paper de l'organització: responsable, corresponsable o encarregat
- Finalitat del tractament i base jurídica
- Categories d'interessats i de dades personals
- Categories de destinataris, inclosos els encarregats
- Transferències internacionals i garanties aplicades
- Terminis previstos de supressió
- Descripció general de les mesures de seguretat
- Sistemes o aplicacions que donen suport al tractament
- Data de l'última revisió i qui la va fer
Exemple
Exemple: tractament de nòmines en una empresa fictícia
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| Tractament | RAT-04 · Gestió de nòmines · Tallers Segre Nord, S. L. (fictícia) |
| Paper | Responsable del tractament |
| Finalitat i base jurídica | Pagament de salaris i obligacions de Seguretat Social i fiscals · Execució del contracte de treball i obligació legal |
| Interessats i dades | 86 empleats · Identificatives, bancàries, retributives, situació familiar a efectes fiscals |
| Destinataris | Assessoria laboral externa (encarregada, contracte EN-2026-03), Seguretat Social, Agència Tributària, entitat bancària |
| Transferències | No n'hi ha |
| Supressió | Durant la relació laboral i després mentre durin els terminis de prescripció aplicables |
| Mesures | Accés restringit a dues persones d'administració, doble factor, xifratge de l'enviament a l'assessoria |
| Revisió | 12 de març de 2026 · Responsable del PIMS |
A l'auditoria
Errors que solen assenyalar els auditors
- El registre es va fer una vegada i no recull les eines incorporades després.
- Es descriu la base jurídica com a «consentiment» en tractaments laborals que es basen en el contracte o en la llei.
- L'encarregat copia el registre de responsable i no distingeix els tractaments que fa per compte de cada client.
- Els terminis de supressió diuen «els legalment establerts» sense concretar-ne cap.
- Els encarregats que apareixen al registre no tenen contracte vigent.
A Kimobox
Com es porta aquest registre a Kimobox
- 1Cada tractament és una fitxa del registre d'activitats amb el seu responsable i la seva data de revisió.
- 2L'alta d'una eina o d'un proveïdor nous llança un flux que obliga a revisar els tractaments afectats.
- 3Els destinataris s'enllacen amb els proveïdors i el seu contracte d'encarregat.
- 4L'historial de versions permet mostrar com era el registre en qualsevol data.
Preguntes freqüents
El que ens pregunten abans de començar
El registre d'activitats és el mateix que l'inventari de dades?
No exactament. El registre descriu tractaments —per a què es fan servir les dades— amb el contingut que fixa l'article 30. L'inventari baixa a on són les dades: sistemes, fitxers, còpies. El primer és obligatori; el segon és una bona pràctica que alimenta l'avaluació de riscos.
S'ha de publicar?
El RGPD no ho exigeix: cal posar-lo a disposició de l'autoritat de control quan el demani. Algunes lleis nacionals n'imposen la publicació als organismes públics.
Cada quant es revisa?
Sempre que canviï un tractament i, a més, amb una revisió periòdica planificada, normalment anual, que l'auditor de la norma comprovarà en la seva mostra.
Porta els registres de ISO 27701 sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Registre d'activitats de tractament
El registre d'activitats de tractament (RAT) és l'inventari obligatori de tots els tractaments de dades que…
Controls per a responsables i encarregats
L'annex A reuneix els controls de referència del PIMS per a responsables i encarregats; l'annex B, també…
Model d'inventari de dades personals ISO 27701
Com muntar un inventari de dades personals per a un PIMS ISO 27701: on són les dades, en quins sistemes, qui…
Model d'avaluació de riscos de privadesa ISO 27701
Com documentar l'avaluació de riscos de privadesa d'ISO 27701: criteris, risc per a les persones…
Fonts
D'on surt cada dada
Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.
- Reglament (UE) 2016/679, Reglament General de Protecció de Dades EUR-Lex · 27 d'abril de 2016; aplicable des del 25 de maig de 2018
- ISO/IEC 27701:2025 — Sistemes de gestió de la informació de privadesa. Requisits i orientació ISO/IEC · Segona edició, octubre de 2025