Valutazione dei rischi privacy (6.1.2)
Il rischio si misura sulle persone i cui dati vengono trattati, non solo sull’azienda: una fuga di dati sanitari pesa diversamente da quella di una rubrica commerciale. Il metodo è libero, ma deve dare risultati coerenti e confrontabili quando viene ripetuto.
Trattamento e dichiarazione di applicabilità (6.1.3)
Per ogni rischio si scelgono i controlli, confrontandoli con l’Appendice A, e si riporta in una dichiarazione di applicabilità quali si applicano e perché si escludono gli altri. Un responsabile che non raccoglie mai dati dagli interessati può giustificare l’esclusione dei controlli pensati per il titolare.
Obiettivi e modifiche (6.2 e 6.3)
Gli obiettivi privacy devono essere misurabili —per esempio, la percentuale di richieste evase nei termini— e avere piano, responsabile e scadenza. Le modifiche al sistema si pianificano, non si improvvisano.
Cosa chiede di solito l’auditor
- Metodologia documentata di valutazione dei rischi privacy
- Esito della valutazione con il titolare di ciascun rischio
- Dichiarazione di applicabilità con la giustificazione delle esclusioni
- Obiettivi privacy con indicatore e piano
Come coprire la pianificazione in Kimobox
- 1Gestisci la valutazione dei rischi nella matrice dei rischi, con titolare e trattamento.
- 2Mantieni la dichiarazione di applicabilità come documento controllato collegato ai rischi.
- 3Misura gli obiettivi con indicatori che derivano dalle registrazioni stesse.
La dichiarazione di applicabilità si può condividere con quella della ISO 27001 quando i due sistemi convivono.
Modelli e registrazioni ISO 27701 di questo capitolo
- Modello di valutazione dei rischi per la privacy ISO 27701 · Registrazione obbligatoria
- Modello di dichiarazione di applicabilità ISO 27701 · Documento obbligatorio
Da dove arriva ogni dato
Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.
- ISO/IEC 27701:2025 — Sistemi di gestione delle informazioni sulla privacy. Requisiti e linee guida ISO/IEC · Seconda edizione, ottobre 2025
- ISO/IEC 27701:2019 — Estensione della ISO/IEC 27001 e della ISO/IEC 27002 per la gestione delle informazioni sulla privacy ISO/IEC · Prima edizione, agosto 2019; ritirata nell’ottobre 2025
- Regolamento (UE) 2016/679, Regolamento generale sulla protezione dei dati (GDPR) EUR-Lex · 27 aprile 2016; applicabile dal 25 maggio 2018
- ISO/IEC 27001:2022 — Sistemi di gestione per la sicurezza delle informazioni ISO/IEC · 25 ottobre 2022