Modelos y registros · ISO 27701 · Apartado A.3

Modelo de registro de brechas de datos personales ISO 27701

Toda brecha de datos personales se documenta, se notifique o no. El registro es lo que demuestra que se valoró a tiempo y que la decisión estaba razonada.

En una frase

El registro de brechas de datos personales documenta cada violación de seguridad que afecte a datos personales con sus hechos, sus efectos y las medidas correctivas, y la decisión razonada de notificar o no a la autoridad en 72 horas, porque el artículo 33.5 del RGPD obliga a documentarlas todas e ISO/IEC 27701 integra su gestión en los controles comunes de la tabla A.3.

Contenido revisado el 17 de octubre de 2026

Dónde lo pide la norma: ISO 27701 · Apartado A.3 Se cita la edición de 2025: los números de 4 a 10 son capítulos; A.1, A.2 y A.3 son las tablas del Anexo A con los controles del responsable, del encargado y comunes a ambos.
Tipo de información: Registro obligatorio Registro que hay que conservar (art. 33.5 RGPD; controles de gestión de incidentes de la tabla A.3)
Quién lo rellena: Responsable del PIMS, con sistemas y el delegado Quien detecta la brecha la comunica de inmediato por el canal establecido
Cuándo: Desde el primer aviso El reloj de las 72 horas empieza cuando se tiene constancia de la brecha
Cuánto se conserva: Lo fija la organización Ni la norma ni el RGPD dan un plazo para el registro en sí; el principio de limitación del plazo de conservación (art. 5.1.e RGPD) obliga a justificar el que se elija.

Qué pide la norma

Lo que exige ISO 27701 y lo que deja a tu criterio

La norma pide gestionar los incidentes de seguridad con su dimensión de privacidad: detectar si afectan a datos personales, valorar las consecuencias para las personas y cumplir las obligaciones de notificación. El encargado debe avisar a su cliente sin dilación indebida (art. 33.2 RGPD).

El responsable notifica a la autoridad de control sin dilación y, si es posible, en 72 horas desde que tiene constancia, salvo que sea improbable un riesgo para los derechos y libertades (art. 33.1). Si el riesgo es alto, también se comunica a los interesados (art. 34).

El artículo 33.5 exige documentar cualquier brecha —hechos, efectos y medidas—, incluidas las que no se notifican. Esa documentación es la que permite a la autoridad verificar el cumplimiento.

Léelo en contexto: Controles para responsables y encargados, en la Academia de ISO 27701

Estructura

Campos que debe tener el modelo

Número, fecha y hora de detección y de constancia
Descripción de lo ocurrido y tipo: confidencialidad, integridad o disponibilidad
Categorías y número aproximado de interesados y de registros
Consecuencias probables para las personas
Medidas adoptadas y propuestas para mitigar los efectos
Valoración del riesgo y decisión de notificar, con su motivo
Fecha de notificación a la autoridad y referencia
Comunicación a los interesados, si procede
No conformidad o acción correctiva abierta

Ejemplo

Ejemplo: correo enviado con destinatarios a la vista en una academia ficticia

Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.

Campo	Contenido
Número y fecha	BR-2026-004 · 10 de marzo de 2026, 11:20 (constancia a las 11:45)
Descripción	Envío a 312 alumnos con las direcciones en el campo «Para» · Confidencialidad
Datos afectados	Direcciones de correo electrónico de 312 alumnos adultos
Consecuencias	Exposición de direcciones entre alumnos; sin datos sensibles
Medidas	Mensaje de disculpa pidiendo borrar el correo; envíos masivos solo desde la plataforma de boletines
Decisión	No se notifica: riesgo improbable para los derechos y libertades · Razonamiento del DPD archivado
Acción	NC-2026-011 abierta para bloquear envíos de más de 20 destinatarios desde el correo personal · Academia Lumen (ficticia)

En la auditoría

Errores que suelen señalar los auditores

Solo se registran las brechas notificadas.
No consta la hora en que se tuvo constancia, así que no se puede demostrar el plazo.
La decisión de no notificar no tiene motivo escrito.
El contrato con el encargado no fija cómo y cuándo debe avisar.
La brecha se cierra sin acción correctiva aunque revela un control que no funcionaba.

En Kimobox

Cómo se lleva este registro en Kimobox

1Las brechas se registran como incidentes con su clasificación y la hora de constancia.
2El sistema muestra el tiempo restante hasta las 72 horas y avisa a los responsables.
3La decisión de notificar queda en el mismo registro con su justificación.
4Desde la brecha se abre la no conformidad con causa raíz obligatoria.

Preguntas frecuentes

Lo que nos preguntan antes de empezar

¿Hay que notificar todas las brechas?

No. Se notifican las que probablemente suponen un riesgo para los derechos y libertades; pero todas se documentan (art. 33.5 RGPD).

¿Qué pasa si no se llega a las 72 horas?

Se notifica igualmente, explicando los motivos del retraso (art. 33.1). La información puede darse por fases si no está completa (art. 33.4).

Lleva los registros de ISO 27701 sin plantillas sueltas

Te enseñamos el módulo funcionando con datos parecidos a los tuyos.

Pedir una demo

Sigue explorando

Páginas relacionadas

Fuentes

De dónde sale cada dato

Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.

Reglamento (UE) 2016/679, Reglamento General de Protección de Datos EUR-Lex · 27 de abril de 2016; aplicable desde el 25 de mayo de 2018
ISO/IEC 27701:2025 — Sistemas de gestión de la información de privacidad. Requisitos y orientación ISO/IEC · Segunda edición, octubre de 2025
ISO/IEC 27001:2022 — Sistemas de gestión de la seguridad de la información ISO/IEC · 25 de octubre de 2022