Un’appendice di controlli propria
Nell’edizione 2019 i controlli si appoggiavano a quelli della ISO/IEC 27002 con aggiunte sulla privacy. In quella del 2025 l’Appendice A è autonoma: raggruppa i controlli a seconda che li applichi il titolare, il responsabile o entrambi, e incorpora i controlli di sicurezza con un impatto diretto sulla privacy.
Che cosa coprono
Per il titolare: condizioni di raccolta e trattamento —finalità, base giuridica, consenso, valutazione d’impatto—, obblighi verso gli interessati, privacy fin dalla progettazione e trasferimenti. Per il responsabile: accordi con il cliente, trattamento solo secondo le sue istruzioni, sub-responsabili e comunicazioni a terzi.
Appendice B e dichiarazione di applicabilità
L’Appendice B è la guida all’attuazione di ciascun controllo. Ogni controllo dell’Appendice A si applica o si esclude con giustificazione nella dichiarazione di applicabilità (6.1.3): nessun auditor si aspetta che un responsabile applichi i controlli del titolare, ma che lo spieghi sì.
Cosa chiede di solito l’auditor
- Ruolo dell’organizzazione definito per ciascun trattamento
- Dichiarazione di applicabilità che copre tutta l’Appendice A
- Evidenza dell’attuazione di ogni controllo applicato
- Giustificazione di ogni esclusione
Come coprire i controlli in Kimobox
- 1Carica i controlli dell’Appendice A nella dichiarazione di applicabilità con il loro stato.
- 2Collega ogni controllo alla registrazione che lo dimostra: trattamenti, diritti, contratti.
- 3Assegna un responsabile e una data di revisione a ogni controllo applicato.
Ogni controllo dell’Appendice A rimanda alla registrazione che lo dimostra.
Modelli e registrazioni ISO 27701 di questo capitolo
- Modello di registro delle attività di trattamento ISO 27701 · Documento obbligatorio
- Modello di valutazione d’impatto sulla privacy ISO 27701 · Registrazione obbligatoria
- Modello di registro dei consensi ISO 27701 · Registrazione obbligatoria
- Modello di registro delle richieste di esercizio dei diritti ISO 27701 · Registrazione obbligatoria
- Modello di registro delle violazioni dei dati personali ISO 27701 · Registrazione obbligatoria
- Modello di contratto di responsabile del trattamento ISO 27701 · Documento obbligatorio
Da dove arriva ogni dato
Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.
- ISO/IEC 27701:2025 — Sistemi di gestione delle informazioni sulla privacy. Requisiti e linee guida ISO/IEC · Seconda edizione, ottobre 2025
- ISO/IEC 27701:2019 — Estensione della ISO/IEC 27001 e della ISO/IEC 27002 per la gestione delle informazioni sulla privacy ISO/IEC · Prima edizione, agosto 2019; ritirata nell’ottobre 2025
- Regolamento (UE) 2016/679, Regolamento generale sulla protezione dei dati (GDPR) EUR-Lex · 27 aprile 2016; applicabile dal 25 maggio 2018
- ISO/IEC 27001:2022 — Sistemi di gestione per la sicurezza delle informazioni ISO/IEC · 25 ottobre 2022