Um anexo de controlos próprio
Na edição de 2019, os controlos apoiavam-se nos da ISO/IEC 27002 com acréscimos de privacidade. Na de 2025, o Anexo A é autónomo: agrupa os controlos consoante os aplique o responsável, o subcontratante ou ambos, e incorpora os controlos de segurança com impacto direto na privacidade.
O que abrangem
Para o responsável: condições de recolha e tratamento —finalidade, fundamento jurídico, consentimento, avaliação de impacto—, obrigações para com os titulares, privacidade desde a conceção e transferências. Para o subcontratante: acordos com o cliente, tratamento apenas segundo as suas instruções, subcontratantes ulteriores e comunicações a terceiros.
Anexo B e declaração de aplicabilidade
O Anexo B é o guia de implementação de cada controlo. Cada controlo do Anexo A é aplicado ou excluído com justificação na declaração de aplicabilidade (6.1.3): nenhum auditor espera que um subcontratante aplique os controlos do responsável, mas sim que o explique.
O que o auditor costuma pedir
- Qualidade da organização definida por tratamento
- Declaração de aplicabilidade que percorre todo o Anexo A
- Evidência da implementação de cada controlo aplicado
- Justificação de cada exclusão
Como tratar os controlos no Kimobox
- 1Carregue os controlos do Anexo A na declaração de aplicabilidade com o respetivo estado.
- 2Ligue cada controlo ao registo que o evidencia: tratamentos, direitos, contratos.
- 3Atribua um responsável e uma data de revisão a cada controlo aplicado.
Cada controlo do Anexo A aponta para o registo que o demonstra.
Modelos e registos deste capítulo (ISO 27701)
- Modelo de registo das atividades de tratamento ISO 27701 · Documento obrigatório
- Modelo de avaliação de impacto na privacidade ISO 27701 · Registo obrigatório
- Modelo de registo de consentimentos ISO 27701 · Registo obrigatório
- Modelo de registo de pedidos de exercício de direitos ISO 27701 · Registo obrigatório
- Modelo de registo de violações de dados pessoais ISO 27701 · Registo obrigatório
- Modelo de contrato de subcontratante ISO 27701 · Documento obrigatório
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- ISO/IEC 27701:2025 — Sistemas de gestão da informação de privacidade. Requisitos e orientações ISO/IEC · Segunda edição, outubro de 2025
- ISO/IEC 27701:2019 — Extensão da ISO/IEC 27001 e da ISO/IEC 27002 para a gestão da informação de privacidade ISO/IEC · Primeira edição, agosto de 2019; anulada em outubro de 2025
- Regulamento (UE) 2016/679, Regulamento Geral sobre a Proteção de Dados EUR-Lex · 27 de abril de 2016; aplicável desde 25 de maio de 2018
- ISO/IEC 27001:2022 — Sistemas de gestão da segurança da informação ISO/IEC · 25 de outubro de 2022