Modelli e registrazioni · ISO 27701 · Punto 6.1.3

Modello di dichiarazione di applicabilità ISO 27701

Il documento che l’auditor apre per primo: passa in rassegna tutti i controlli dell’Appendice A e dice quali si applicano, perché e a che punto sono.

In una frase

La dichiarazione di applicabilità della ISO/IEC 27701 elenca i controlli dell’Appendice A, indica quali si applicano e quali si escludono con la relativa giustificazione e lo stato di attuazione di ciascuno, perché il punto 6.1.3 chiede di confrontare i controlli scelti per trattare i rischi privacy con quelli dell’Appendice A e di lasciare traccia di questa decisione.

Contenuto revisionato il 17 ottobre 2026

Dove lo richiede la norma: ISO 27701 · Punto 6.1.3 Si cita l’edizione 2025: i numeri da 4 a 10 sono capitoli; A.1, A.2 e A.3 sono le tabelle dell’Appendice A con i controlli del titolare, del responsabile e comuni a entrambi.
Tipo di informazione: Documento obbligatorio Documento da mantenere aggiornato (6.1.3)
Chi lo compila: Responsabile del PIMS La approva la direzione o chi ha l’autorità assegnata al punto 5.3
Quando: Dopo ogni valutazione dei rischi E ogni volta che cambiano il campo di applicazione, il ruolo dell’organizzazione o i controlli
Per quanto tempo si conserva: Finché esiste il trattamento È un documento vivo: si aggiorna e si conserva la versione precedente per poter mostrare com’era in ogni momento.

Che cosa richiede la norma

Che cosa impone la norma ISO 27701 e che cosa lascia alla sua discrezione

Dopo la valutazione dei rischi, la norma chiede di selezionare i controlli necessari per trattarli e di confrontarli con l’Appendice A per non tralasciarne nessuno necessario. La dichiarazione di applicabilità riporta il risultato: quali controlli si includono, perché, se sono attuati e perché si escludono gli altri.

Il ruolo dell’organizzazione pesa molto: un responsabile può giustificare l’esclusione dei controlli della tabella A.1 nei trattamenti svolti per conto dei clienti, e un titolare che non si avvale di responsabili avrà poco da applicare della tabella A.2. L’esclusione va motivata, non presunta.

Se l’organizzazione ha anche la ISO/IEC 27001, può mantenere due dichiarazioni o una integrata; ciò che non può accadere è che si contraddicano.

Lo legga nel contesto: Rischi privacy e pianificazione, nell’Academy ISO 27701

Struttura

Campi che il modello deve contenere

Identificativo e nome di ogni controllo dell’Appendice A
Tabella di appartenenza: A.1, A.2 o A.3
Applicabile o non applicabile
Giustificazione dell’inclusione: rischio, requisito legale o contrattuale
Giustificazione dell’esclusione
Stato di attuazione
Evidenza o registrazione associata
Responsabile del controllo
Versione, data e approvazione

Esempio

Esempio: tre righe della dichiarazione di un fornitore fittizio di software paghe

Azienda, persone e cifre inventate: l’esempio mostra soltanto come si presenta una registrazione compilata correttamente.

Campo	Contenuto
Organizzazione	Paghe Cloud S.r.l. (fittizia) · Responsabile per i suoi clienti e titolare per il proprio personale
Controllo sul consenso (A.1)	Si applica solo alla newsletter commerciale propria · Attuato · Evidenza: registro dei consensi
Controllo sul trattamento secondo le istruzioni del cliente (A.2)	Si applica · Attuato · Evidenza: contratti di responsabile e procedura per le istruzioni
Controllo sulla gestione degli incidenti (A.3)	Si applica · Attuato · Evidenza: registro delle violazioni condiviso con il SGSI
Esempio di esclusione	Controlli A.1 sull’informativa agli interessati per i dati delle buste paga dei clienti: non applicabili, il titolare è il cliente
Versione	v3 · 2 maggio 2026 · Approvata dalla direzione generale

In audit

Errori che gli auditor rilevano più spesso

Si escludono interi blocchi di controlli con la formula «non applicabile» senza giustificazione.
La dichiarazione non torna con la valutazione dei rischi: controlli applicati che non trattano alcun rischio e rischi senza controllo.
Segue ancora la numerazione dell’edizione 2019 dopo la transizione.
Si segna come attuato un controllo senza alcuna evidenza da mostrare.

In Kimobox

Come si gestisce questa registrazione in Kimobox

1I controlli dell’Appendice A si caricano come una tabella con versioni, con stato e responsabile.
2Ogni controllo è collegato ai rischi che tratta e alla registrazione che lo dimostra.
3La dichiarazione è un documento controllato: ogni versione resta approvata e datata.

Domande frequenti

Cosa ci chiedono prima di iniziare

Si può usare la dichiarazione di applicabilità della ISO 27001?

Si può integrare, ma così com’è non basta: l’Appendice A della ISO/IEC 27701 contiene controlli privacy per titolari e responsabili che nella ISO/IEC 27001 non ci sono.

Che cosa succede se si esclude un controllo necessario?

È una delle non conformità più frequenti in certificazione: se il rischio o il GDPR lo rendono necessario, l’esclusione non regge.

Gestisca le registrazioni ISO 27701 senza modelli sparsi

Le mostriamo il modulo in funzione con dati simili ai suoi.

Richiedi una demo

Continua a esplorare

Pagine correlate

Fonti

Da dove arriva ogni dato

Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.

ISO/IEC 27701:2025 — Sistemi di gestione delle informazioni sulla privacy. Requisiti e linee guida ISO/IEC · Seconda edizione, ottobre 2025
ISO/IEC 27001:2022 — Sistemi di gestione per la sicurezza delle informazioni ISO/IEC · 25 ottobre 2022