Contesto e parti interessate (4.1 e 4.2)
Oltre ai fattori consueti, la norma chiede di considerare la legislazione sulla privacy applicabile, le decisioni delle autorità di controllo e gli impegni contrattuali con i clienti che impongono condizioni sui dati. Gli stessi interessati —clienti, dipendenti, pazienti— sono parti interessate, non solo i regolatori.
Il ruolo in ogni trattamento
Una stessa azienda è di solito titolare delle buste paga del proprio personale e responsabile dei dati che le affidano i clienti. Questa distinzione decide quali controlli dell’Appendice A si applicano e va chiarita prima di valutare i rischi.
Campo di applicazione del sistema (4.3)
Il campo di applicazione delimita trattamenti, sedi, sistemi e processi inclusi, con le interfacce verso terzi. Un campo che lascia fuori proprio il trattamento più rischioso toglie credibilità al certificato.
Cosa chiede di solito l’auditor
- Inventario dei trattamenti con il ruolo dell’organizzazione in ciascuno
- Elenco di leggi, decisioni delle autorità e contratti che riguardano i dati
- Parti interessate con le loro aspettative in materia di privacy
- Dichiarazione documentata del campo di applicazione del PIMS
Come coprire il contesto in Kimobox
- 1Documenta il contesto del sistema privacy come un’altra registrazione con versioni.
- 2Registra le parti interessate e i loro requisiti in una tabella con revisione annuale.
- 3Parti dal registro delle attività di trattamento per delimitare il campo di applicazione.
Il campo di applicazione poggia sul registro delle attività, non su un elenco a parte che invecchia da solo.
Modelli e registrazioni ISO 27701 di questo capitolo
- Modello di inventario dei dati personali ISO 27701 · Buona pratica
Da dove arriva ogni dato
Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.
- ISO/IEC 27701:2025 — Sistemi di gestione delle informazioni sulla privacy. Requisiti e linee guida ISO/IEC · Seconda edizione, ottobre 2025
- ISO/IEC 27701:2019 — Estensione della ISO/IEC 27001 e della ISO/IEC 27002 per la gestione delle informazioni sulla privacy ISO/IEC · Prima edizione, agosto 2019; ritirata nell’ottobre 2025
- Regolamento (UE) 2016/679, Regolamento generale sulla protezione dei dati (GDPR) EUR-Lex · 27 aprile 2016; applicabile dal 25 maggio 2018
- ISO/IEC 27001:2022 — Sistemi di gestione per la sicurezza delle informazioni ISO/IEC · 25 ottobre 2022