Models i registres · ISO 27701 · Apartat A.3

Model de registre de bretxes de dades personals ISO 27701

Tota bretxa de dades personals es documenta, tant si es notifica com si no. El registre és el que demostra que es va valorar a temps i que la decisió estava raonada.

En una frase

El registre de bretxes de dades personals documenta cada violació de seguretat que afecti dades personals amb els fets, els efectes i les mesures correctives, i la decisió raonada de notificar o no l'autoritat en 72 hores, perquè l'article 33.5 del RGPD obliga a documentar-les totes i ISO/IEC 27701 n'integra la gestió en els controls comuns de la taula A.3.

Contingut revisat el 17 d'octubre de 2026

On ho demana la norma: ISO 27701 · Apartat A.3 Es cita l'edició de 2025: els números del 4 al 10 són capítols; A.1, A.2 i A.3 són les taules de l'annex A amb els controls del responsable, de l'encarregat i comuns a tots dos.
Tipus d'informació: Registre obligatori Registre que cal conservar (art. 33.5 RGPD; controls de gestió d'incidents de la taula A.3)
Qui l'emplena: Responsable del PIMS, amb sistemes i el delegat Qui detecta la bretxa la comunica immediatament pel canal establert
Quan: Des del primer avís El rellotge de les 72 hores comença quan es té constància de la bretxa
Quant de temps es conserva: El fixa l'organització Ni la norma ni el RGPD donen un termini per al registre en si; el principi de limitació del termini de conservació (art. 5.1.e RGPD) obliga a justificar el que es triï.

Què demana la norma

El que exigeix ISO 27701 i el que deixa al teu criteri

La norma demana gestionar els incidents de seguretat amb la seva dimensió de privadesa: detectar si afecten dades personals, valorar les conseqüències per a les persones i complir les obligacions de notificació. L'encarregat ha d'avisar el seu client sense dilació indeguda (art. 33.2 RGPD).

El responsable notifica l'autoritat de control sense dilació i, si és possible, en 72 hores des que en té constància, llevat que sigui improbable un risc per als drets i les llibertats (art. 33.1). Si el risc és alt, també es comunica als interessats (art. 34).

L'article 33.5 exigeix documentar qualsevol bretxa —fets, efectes i mesures—, incloses les que no es notifiquen. Aquesta documentació és la que permet a l'autoritat verificar el compliment.

Llegeix-ho en context: Controls per a responsables i encarregats, a l'Acadèmia de ISO 27701

Estructura

Camps que ha de tenir el model

Número, data i hora de detecció i de constància
Descripció del que ha passat i tipus: confidencialitat, integritat o disponibilitat
Categories i nombre aproximat d'interessats i de registres
Conseqüències probables per a les persones
Mesures adoptades i proposades per mitigar-ne els efectes
Valoració del risc i decisió de notificar, amb el seu motiu
Data de notificació a l'autoritat i referència
Comunicació als interessats, si escau
No conformitat o acció correctiva oberta

Exemple

Exemple: correu enviat amb els destinataris a la vista en una acadèmia fictícia

Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.

Camp	Contingut
Número i data	BR-2026-004 · 10 de març de 2026, 11:20 (constància a les 11:45)
Descripció	Enviament a 312 alumnes amb les adreces al camp «Per a» · Confidencialitat
Dades afectades	Adreces de correu electrònic de 312 alumnes adults
Conseqüències	Exposició d'adreces entre alumnes; sense dades sensibles
Mesures	Missatge de disculpa demanant que s'esborri el correu; enviaments massius només des de la plataforma de butlletins
Decisió	No es notifica: risc improbable per als drets i les llibertats · Raonament del DPD arxivat
Acció	NC-2026-011 oberta per bloquejar enviaments de més de 20 destinataris des del correu personal · Acadèmia Lumen (fictícia)

A l'auditoria

Errors que solen assenyalar els auditors

Només es registren les bretxes notificades.
No consta l'hora en què se'n va tenir constància, de manera que no es pot demostrar el termini.
La decisió de no notificar no té cap motiu escrit.
El contracte amb l'encarregat no fixa com i quan ha d'avisar.
La bretxa es tanca sense acció correctiva tot i que revela un control que no funcionava.

A Kimobox

Com es porta aquest registre a Kimobox

1Les bretxes es registren com a incidents amb la seva classificació i l'hora de constància.
2El sistema mostra el temps que queda fins a les 72 hores i avisa els responsables.
3La decisió de notificar queda al mateix registre amb la seva justificació.
4Des de la bretxa s'obre la no conformitat amb causa arrel obligatòria.

Preguntes freqüents

El que ens pregunten abans de començar

S'han de notificar totes les bretxes?

No. Es notifiquen les que probablement suposen un risc per als drets i les llibertats; però totes es documenten (art. 33.5 RGPD).

Què passa si no s'arriba a les 72 hores?

Es notifica igualment, explicant els motius del retard (art. 33.1). La informació es pot donar per fases si no és completa (art. 33.4).

Porta els registres de ISO 27701 sense plantilles soltes

Et mostrem el mòdul funcionant amb dades semblants a les teves.

Demanar una demo

Continua explorant

Pàgines relacionades

Fonts

D'on surt cada dada

Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.

Reglament (UE) 2016/679, Reglament General de Protecció de Dades EUR-Lex · 27 d'abril de 2016; aplicable des del 25 de maig de 2018
ISO/IEC 27701:2025 — Sistemes de gestió de la informació de privadesa. Requisits i orientació ISO/IEC · Segona edició, octubre de 2025
ISO/IEC 27001:2022 — Sistemes de gestió de la seguretat de la informació ISO/IEC · 25 d'octubre de 2022