Modelos y registros · ISO 27701 · Apartado 6.1.3
Modelo de declaración de aplicabilidad ISO 27701
El documento que el auditor abre primero: recorre todos los controles del Anexo A y dice cuáles se aplican, por qué, y en qué estado están.
En una frase
La declaración de aplicabilidad de ISO/IEC 27701 enumera los controles del Anexo A, indica cuáles se aplican y cuáles se excluyen con su justificación y el estado de implantación de cada uno, porque el apartado 6.1.3 pide contrastar los controles elegidos para tratar los riesgos de privacidad con los del Anexo A y dejar constancia de esa decisión.
- Dónde lo pide la norma
- ISO 27701 · Apartado 6.1.3 Se cita la edición de 2025: los números de 4 a 10 son capítulos; A.1, A.2 y A.3 son las tablas del Anexo A con los controles del responsable, del encargado y comunes a ambos.
- Tipo de información
- Documento obligatorio Documento que hay que mantener actualizado (6.1.3)
- Quién lo rellena
- Responsable del PIMS La aprueba la dirección o quien tenga la autoridad asignada en 5.3
- Cuándo
- Tras cada evaluación de riesgos Y siempre que cambien el alcance, el papel de la organización o los controles
- Cuánto se conserva
- Mientras exista el tratamiento Es un documento vivo: se actualiza y se guarda la versión anterior para poder enseñar cómo era en cada momento.
Qué pide la norma
Lo que exige ISO 27701 y lo que deja a tu criterio
Tras evaluar los riesgos, la norma pide seleccionar los controles necesarios para tratarlos y compararlos con el Anexo A para no dejar fuera ninguno necesario. La declaración de aplicabilidad recoge el resultado: qué controles se incluyen, por qué, si están implantados y por qué se excluyen los demás.
El papel de la organización pesa mucho: un encargado puede justificar la exclusión de los controles de la tabla A.1 en los tratamientos que hace por cuenta de clientes, y un responsable que no usa encargados tendrá poco que aplicar de la tabla A.2. La exclusión debe razonarse, no presumirse.
Si la organización tiene también ISO/IEC 27001, puede mantener dos declaraciones o una integrada; lo que no puede es que se contradigan.
Estructura
Campos que debe tener el modelo
- Identificador y nombre de cada control del Anexo A
- Tabla a la que pertenece: A.1, A.2 o A.3
- Aplica o no aplica
- Justificación de la inclusión: riesgo, requisito legal o contractual
- Justificación de la exclusión
- Estado de implantación
- Evidencia o registro asociado
- Responsable del control
- Versión, fecha y aprobación
Ejemplo
Ejemplo: tres líneas de la declaración de un proveedor ficticio de software de nóminas
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Organización | Nominalia Cloud, S. L. (ficticia) · Encargado para sus clientes y responsable para su plantilla |
| Control de consentimiento (A.1) | Aplica solo al boletín comercial propio · Implantado · Evidencia: registro de consentimientos |
| Control de tratamiento según instrucciones del cliente (A.2) | Aplica · Implantado · Evidencia: contratos de encargado y procedimiento de instrucciones |
| Control de gestión de incidentes (A.3) | Aplica · Implantado · Evidencia: registro de brechas compartido con el SGSI |
| Exclusión ejemplo | Controles de A.1 sobre información a interesados en los datos de nóminas de clientes: no aplica, el cliente es el responsable |
| Versión | v3 · 2 de mayo de 2026 · Aprobada por la dirección general |
En la auditoría
Errores que suelen señalar los auditores
- Se excluyen bloques enteros de controles con la frase «no aplica» sin justificación.
- La declaración no cuadra con la evaluación de riesgos: controles aplicados que no tratan ningún riesgo y riesgos sin control.
- Sigue la numeración de la edición de 2019 tras la transición.
- Se marca como implantado un control sin ninguna evidencia que enseñar.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1Los controles del Anexo A se cargan como una tabla versionada con su estado y responsable.
- 2Cada control se enlaza con los riesgos que trata y con el registro que lo evidencia.
- 3La declaración es un documento controlado: cada versión queda aprobada y fechada.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Se puede usar la declaración de aplicabilidad de ISO 27001?
Puede integrarse, pero no basta tal cual: el Anexo A de ISO/IEC 27701 tiene controles de privacidad para responsables y encargados que no están en ISO/IEC 27001.
¿Qué pasa si se excluye un control necesario?
Es una de las no conformidades más habituales en certificación: si el riesgo o el RGPD lo hacen necesario, la exclusión no se sostiene.
Lleva los registros de ISO 27701 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Riesgos de privacidad y planificación
Evaluar los riesgos de privacidad (6.1.2), tratarlos con una declaración de aplicabilidad (6.1.3) y fijar…
Modelo de registro de actividades de tratamiento ISO 27701
Qué debe recoger el registro de actividades de tratamiento en un PIMS ISO 27701 y en el art. 30 del RGPD…
Modelo de inventario de datos personales ISO 27701
Cómo montar un inventario de datos personales para un PIMS ISO 27701: dónde están los datos, en qué…
Modelo de evaluación de riesgos de privacidad ISO 27701
Cómo documentar la evaluación de riesgos de privacidad de ISO 27701: criterios, riesgo para las personas…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- ISO/IEC 27701:2025 — Sistemas de gestión de la información de privacidad. Requisitos y orientación ISO/IEC · Segunda edición, octubre de 2025
- ISO/IEC 27001:2022 — Sistemas de gestión de la seguridad de la información ISO/IEC · 25 de octubre de 2022