Contexto e partes interessadas (4.1 e 4.2)
Além dos fatores habituais, a norma pede que se tenham em conta a legislação de privacidade aplicável, as decisões das autoridades de controlo e os compromissos contratuais com clientes que impõem condições sobre os dados. Os próprios titulares —clientes, trabalhadores, doentes— são partes interessadas, não apenas os reguladores.
A qualidade em cada tratamento
A mesma empresa é muitas vezes responsável pelo processamento salarial dos seus trabalhadores e subcontratante dos dados que os clientes lhe confiam. Essa distinção determina que controlos do Anexo A se aplicam e deve ficar clara antes de se avaliarem riscos.
Âmbito do sistema (4.3)
O âmbito delimita os tratamentos, instalações, sistemas e processos incluídos, com as respetivas interfaces com terceiros. Um âmbito que deixa de fora precisamente o tratamento de maior risco tira credibilidade ao certificado.
O que o auditor costuma pedir
- Inventário de tratamentos com a qualidade da organização em cada um
- Lista de leis, decisões de autoridades e contratos que afetam os dados
- Partes interessadas com as suas expectativas de privacidade
- Declaração de âmbito do PIMS documentada
Como tratar o contexto no Kimobox
- 1Documente o contexto do sistema de privacidade como mais um registo com controlo de versões.
- 2Registe as partes interessadas e os seus requisitos numa tabela com revisão anual.
- 3Parta do registo das atividades de tratamento para delimitar o âmbito.
O âmbito assenta no registo das atividades, não numa lista à parte que envelhece sozinha.
Modelos e registos deste capítulo (ISO 27701)
- Modelo de inventário de dados pessoais ISO 27701 · Boa prática
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- ISO/IEC 27701:2025 — Sistemas de gestão da informação de privacidade. Requisitos e orientações ISO/IEC · Segunda edição, outubro de 2025
- ISO/IEC 27701:2019 — Extensão da ISO/IEC 27001 e da ISO/IEC 27002 para a gestão da informação de privacidade ISO/IEC · Primeira edição, agosto de 2019; anulada em outubro de 2025
- Regulamento (UE) 2016/679, Regulamento Geral sobre a Proteção de Dados EUR-Lex · 27 de abril de 2016; aplicável desde 25 de maio de 2018
- ISO/IEC 27001:2022 — Sistemas de gestão da segurança da informação ISO/IEC · 25 de outubro de 2022