Modelos y registros · ISO 27701 · Apartado 4.3 y 6.1.2
Modelo de inventario de datos personales ISO 27701
El mapa de dónde viven los datos personales: sistemas, ficheros, copias y proveedores. Sin él, la evaluación de riesgos y la respuesta a una solicitud de supresión se hacen a ciegas.
En una frase
El inventario de datos personales relaciona cada categoría de datos con los sistemas, ubicaciones, copias y proveedores donde se almacena y con quién puede acceder a ella; no es un registro que ISO/IEC 27701 nombre como tal, pero es la base práctica para delimitar el alcance (4.3), evaluar riesgos de privacidad (6.1.2) y localizar los datos de un interesado cuando ejerce un derecho.
- Dónde lo pide la norma
- ISO 27701 · Apartado 4.3 y 6.1.2 Se cita la edición de 2025: los números de 4 a 10 son capítulos; A.1, A.2 y A.3 son las tablas del Anexo A con los controles del responsable, del encargado y comunes a ambos.
- Tipo de información
- Buena práctica Buena práctica que apoya los apartados 4.3 y 6.1.2
- Quién lo rellena
- Sistemas, con los responsables de cada tratamiento Sistemas sabe dónde están los datos; el negocio sabe para qué
- Cuándo
- Al delimitar el alcance y en cada cambio de sistemas Se revisa junto con la evaluación de riesgos
- Cuánto se conserva
- Mientras exista el tratamiento Es un documento vivo: se actualiza y se guarda la versión anterior para poder enseñar cómo era en cada momento.
Qué pide la norma
Lo que exige ISO 27701 y lo que deja a tu criterio
La norma pide conocer los tratamientos y evaluar sus riesgos, pero no exige un inventario de datos con ese nombre. Lo que sí espera el auditor es que la organización sepa dónde están los datos personales que trata: es imposible justificar un control de acceso o un plazo de supresión sin saberlo.
Muchas organizaciones lo integran en el inventario de activos de ISO/IEC 27001, añadiendo una columna de datos personales. Es una solución válida si distingue categorías de datos y no solo sistemas.
Conviene incluir lo que se olvida: copias de seguridad, exportaciones a hojas de cálculo, buzones compartidos y entornos de pruebas con datos reales.
Estructura
Campos que debe tener el modelo
- Categoría de datos personales
- Tratamientos del registro de actividades que la usan
- Sistema, aplicación o soporte donde se almacena
- Ubicación física o región del proveedor
- Copias de seguridad y réplicas
- Perfiles con acceso
- Proveedor o encargado implicado
- Plazo de supresión y método de borrado
- Propietario del activo
Ejemplo
Ejemplo: datos de candidatos en una consultora ficticia
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Categoría | Currículos y datos de contacto de candidatos |
| Tratamiento | RAT-07 · Selección de personal |
| Dónde está | Portal de empleo contratado, buzón seleccion@ y carpeta compartida de RR. HH. |
| Copias | Copia diaria de la carpeta compartida, retenida 30 días |
| Acceso | Tres técnicas de selección y la dirección de RR. HH. |
| Encargado | Proveedor del portal de empleo, servidores en la UE |
| Supresión | Un año desde el fin del proceso, salvo consentimiento para futuras ofertas · Borrado en portal y carpeta; el buzón se purga cada trimestre |
| Propietario | Dirección de RR. HH. · Nubaria Consultores (ficticia) |
En la auditoría
Errores que suelen señalar los auditores
- El inventario lista servidores, pero no qué datos personales contiene cada uno.
- Se olvidan las copias de seguridad y las exportaciones a hojas de cálculo.
- El entorno de pruebas usa datos reales y no aparece en ningún sitio.
- No hay relación entre el inventario y el registro de actividades: dos listas que no cuadran.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1Las categorías de datos se enlazan con el inventario de activos y con el registro de actividades.
- 2Cada activo tiene propietario y clasificación, y su revisión queda programada.
- 3La localización del dato por interesado permite responder a una solicitud de derechos sin buscar a mano.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Es obligatorio?
No como documento con ese nombre. Es la forma práctica de cumplir lo que sí es obligatorio: delimitar el alcance, evaluar riesgos y localizar los datos para atender derechos y suprimirlos a tiempo.
¿Puede ser el mismo inventario de activos de ISO 27001?
Sí, siempre que añada la dimensión de privacidad: qué categorías de datos personales contiene cada activo y para qué tratamientos.
Lleva los registros de ISO 27701 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Contexto y alcance del PIMS
El sistema de privacidad empieza por saber qué datos personales se tratan, en calidad de qué —responsable…
Modelo de registro de actividades de tratamiento ISO 27701
Qué debe recoger el registro de actividades de tratamiento en un PIMS ISO 27701 y en el art. 30 del RGPD…
Modelo de evaluación de riesgos de privacidad ISO 27701
Cómo documentar la evaluación de riesgos de privacidad de ISO 27701: criterios, riesgo para las personas…
Modelo de declaración de aplicabilidad ISO 27701
Qué debe contener la declaración de aplicabilidad de un PIMS ISO 27701: controles del Anexo A, justificación…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- ISO/IEC 27701:2025 — Sistemas de gestión de la información de privacidad. Requisitos y orientación ISO/IEC · Segunda edición, octubre de 2025
- ISO/IEC 27001:2022 — Sistemas de gestión de la seguridad de la información ISO/IEC · 25 de octubre de 2022
- Reglamento (UE) 2016/679, Reglamento General de Protección de Datos EUR-Lex · 27 de abril de 2016; aplicable desde el 25 de mayo de 2018