Modelos e registos · ISO 27701 · Cláusula 6.1.3
Modelo de declaração de aplicabilidade ISO 27701
O documento que o auditor abre primeiro: percorre todos os controlos do Anexo A e diz quais se aplicam, porquê e em que estado estão.
Numa frase
A declaração de aplicabilidade da ISO/IEC 27701 enumera os controlos do Anexo A, indica quais se aplicam e quais se excluem, com a respetiva justificação, e o estado de implementação de cada um, porque a secção 6.1.3 pede que os controlos escolhidos para tratar os riscos de privacidade sejam confrontados com os do Anexo A e que essa decisão fique registada.
- Onde a norma o exige
- ISO 27701 · Cláusula 6.1.3 Cita-se a edição de 2025: os números de 4 a 10 são capítulos; A.1, A.2 e A.3 são as tabelas do Anexo A com os controlos do responsável pelo tratamento, do subcontratante e comuns a ambos.
- Tipo de informação
- Documento obrigatório Documento a manter atualizado (6.1.3)
- Quem o preenche
- Responsável do PIMS É aprovada pela gestão de topo ou por quem tenha a autoridade atribuída em 5.3
- Quando
- Depois de cada avaliação de riscos E sempre que mudem o âmbito, a qualidade da organização ou os controlos
- Durante quanto tempo se conserva
- Enquanto existir o tratamento É um documento vivo: atualiza-se e guarda-se a versão anterior para poder mostrar como era em cada momento.
O que a norma exige
O que o referencial ISO 27701 exige e o que fica ao seu critério
Depois de avaliar os riscos, a norma pede que se selecionem os controlos necessários para os tratar e que se comparem com o Anexo A para não deixar de fora nenhum que seja necessário. A declaração de aplicabilidade regista o resultado: que controlos se incluem, porquê, se estão implementados e porque se excluem os restantes.
A qualidade em que a organização atua pesa muito: um subcontratante pode justificar a exclusão dos controlos da tabela A.1 nos tratamentos que efetua por conta de clientes, e um responsável que não recorre a subcontratantes terá pouco a aplicar da tabela A.2. A exclusão tem de ser fundamentada, não presumida.
Se a organização também tiver a ISO/IEC 27001, pode manter duas declarações ou uma integrada; o que não pode é que se contradigam.
Estrutura
Campos que o modelo deve ter
- Identificador e nome de cada controlo do Anexo A
- Tabela a que pertence: A.1, A.2 ou A.3
- Aplica-se ou não se aplica
- Justificação da inclusão: risco, requisito legal ou contratual
- Justificação da exclusão
- Estado de implementação
- Evidência ou registo associado
- Responsável pelo controlo
- Versão, data e aprovação
Exemplo
Exemplo: três linhas da declaração de um fornecedor fictício de software de processamento salarial
Empresa, pessoas e números fictícios: o exemplo serve apenas para mostrar como fica um registo bem preenchido.
| Campo | Conteúdo |
|---|---|
| Organização | Nominalia Cloud, Lda. (fictícia) · Subcontratante para os clientes e responsável pelo tratamento para os seus trabalhadores |
| Controlo de consentimento (A.1) | Aplica-se apenas à newsletter comercial própria · Implementado · Evidência: registo de consentimentos |
| Controlo de tratamento segundo as instruções do cliente (A.2) | Aplica-se · Implementado · Evidência: contratos de subcontratação e procedimento de instruções |
| Controlo de gestão de incidentes (A.3) | Aplica-se · Implementado · Evidência: registo de violações de dados partilhado com o SGSI |
| Exemplo de exclusão | Controlos da A.1 sobre informação aos titulares nos dados salariais dos clientes: não se aplicam, o cliente é o responsável pelo tratamento |
| Versão | v3 · 2 de maio de 2026 · Aprovada pela direção-geral |
Na auditoria
Erros que os auditores costumam apontar
- Excluem-se blocos inteiros de controlos com a frase «não aplicável», sem justificação.
- A declaração não bate certo com a avaliação de riscos: controlos aplicados que não tratam nenhum risco e riscos sem controlo.
- Mantém a numeração da edição de 2019 depois da transição.
- Um controlo é dado como implementado sem nenhuma evidência para mostrar.
No Kimobox
Como se gere este registo no Kimobox
- 1Os controlos do Anexo A são carregados como uma tabela com controlo de versões, com o seu estado e responsável.
- 2Cada controlo fica ligado aos riscos que trata e ao registo que o evidencia.
- 3A declaração é um documento controlado: cada versão fica aprovada e datada.
Perguntas frequentes
O que nos perguntam antes de começar
Pode usar-se a declaração de aplicabilidade da ISO 27001?
Pode ser integrada, mas não chega tal como está: o Anexo A da ISO/IEC 27701 tem controlos de privacidade para responsáveis pelo tratamento e subcontratantes que não existem na ISO/IEC 27001.
O que acontece se se excluir um controlo necessário?
É uma das não conformidades mais habituais na certificação: se o risco ou o RGPD o tornam necessário, a exclusão não se sustenta.
Faça a gestão dos registos do referencial ISO 27701 sem modelos avulsos
Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.
Continue a explorar
Páginas relacionadas
Riscos de privacidade e planeamento
Avaliar os riscos de privacidade (6.1.2), tratá-los com uma declaração de aplicabilidade (6.1.3) e fixar…
Modelo de registo das atividades de tratamento ISO 27701
O que deve conter o registo das atividades de tratamento num PIMS ISO 27701 e no art. 30.º do RGPD: campos…
Modelo de inventário de dados pessoais ISO 27701
Como montar um inventário de dados pessoais para um PIMS ISO 27701: onde estão os dados, em que sistemas…
Modelo de avaliação de riscos de privacidade ISO 27701
Como documentar a avaliação de riscos de privacidade da ISO 27701: critérios, risco para as pessoas…
Fontes
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- ISO/IEC 27701:2025 — Sistemas de gestão da informação de privacidade. Requisitos e orientações ISO/IEC · Segunda edição, outubro de 2025
- ISO/IEC 27001:2022 — Sistemas de gestão da segurança da informação ISO/IEC · 25 de outubro de 2022