Modelos y registros · ISO 27701 · Apartado A.1
Modelo de registro de consentimientos ISO 27701
La prueba de que cada persona dijo que sí, a qué dijo que sí y cuándo, y de que su retirada se respetó. Sin registro, el consentimiento no se puede demostrar.
En una frase
El registro de consentimientos guarda, por cada interesado, el momento, el medio, la finalidad aceptada, la versión del texto informativo y la eventual retirada, porque el artículo 7.1 del RGPD obliga al responsable a poder demostrar el consentimiento cuando es la base del tratamiento e ISO/IEC 27701 recoge su obtención y registro entre los controles de la tabla A.1.
- Dónde lo pide la norma
- ISO 27701 · Apartado A.1 Se cita la edición de 2025: los números de 4 a 10 son capítulos; A.1, A.2 y A.3 son las tablas del Anexo A con los controles del responsable, del encargado y comunes a ambos.
- Tipo de información
- Registro obligatorio Registro que hay que conservar cuando el tratamiento se basa en el consentimiento (art. 7.1 RGPD; tabla A.1)
- Quién lo rellena
- El sistema que recoge el consentimiento Marketing o el área que lo pide responde de que el texto sea correcto
- Cuándo
- En el momento en que se da o se retira Automáticamente, no por anotación posterior
- Cuánto se conserva
- Mientras dure el tratamiento y el plazo para demostrarlo Lo fija la organización según los plazos de prescripción de posibles reclamaciones
Qué pide la norma
Lo que exige ISO 27701 y lo que deja a tu criterio
La norma pide al responsable determinar cuándo necesita el consentimiento, obtenerlo y poder demostrarlo. Solo aplica a los tratamientos cuya base jurídica es el consentimiento: muchos se apoyan en el contrato, una obligación legal o el interés legítimo, y pedir un consentimiento innecesario confunde.
El RGPD exige que el consentimiento sea libre, específico, informado e inequívoco, que retirarlo sea tan fácil como darlo (art. 7.3) y que, si se pide en un documento con otros asuntos, se distinga claramente (art. 7.2).
El registro debe permitir saber qué texto vio la persona: si la cláusula cambia, hay que conservar su versión anterior.
Estructura
Campos que debe tener el modelo
- Identificación del interesado
- Finalidad o finalidades aceptadas, por separado
- Fecha, hora y canal
- Versión del texto informativo mostrado
- Forma de la declaración: casilla, firma, acción afirmativa
- Retirada: fecha y canal
- Tratamientos y sistemas afectados por la retirada
Ejemplo
Ejemplo: boletín comercial de una tienda en línea ficticia
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Interesada | Cliente n.º 48213 · Tienda Brezo (ficticia) |
| Finalidad | Envío de boletín con ofertas (casilla separada de la compra) |
| Fecha y canal | 14 de febrero de 2026, 19:42 · Formulario de registro web |
| Texto | Cláusula informativa v2.1 |
| Retirada | 3 de julio de 2026 · Enlace de baja del boletín · Baja aplicada en la plataforma de envíos el mismo día |
En la auditoría
Errores que suelen señalar los auditores
- Casillas premarcadas o consentimiento agrupado con la aceptación de las condiciones.
- No se conserva qué versión de la cláusula aceptó cada persona.
- La retirada se anota, pero el proveedor de envíos sigue mandando correos.
- Se pide consentimiento para tratamientos que ya tienen otra base jurídica.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1Los formularios guardan el consentimiento con su fecha, su canal y la versión del texto como documento controlado.
- 2La retirada lanza un flujo con las tareas para cada sistema afectado y su fecha de cierre.
- 3El registro de auditoría deja constancia de quién cambió qué y cuándo.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Hace falta consentimiento para todo?
No. Es una de las seis bases jurídicas del artículo 6 del RGPD. Si el tratamiento se apoya en el contrato o en la ley, no hay consentimiento que registrar.
¿Basta con un registro del sistema de correo?
Si guarda quién, cuándo, para qué y con qué texto, y también la retirada, puede bastar. Lo que no vale es una lista de direcciones sin trazabilidad.
Lleva los registros de ISO 27701 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Controles para responsables y encargados
El Anexo A reúne los controles de referencia del PIMS para responsables y encargados; el Anexo B, también…
Modelo de registro de actividades de tratamiento ISO 27701
Qué debe recoger el registro de actividades de tratamiento en un PIMS ISO 27701 y en el art. 30 del RGPD…
Modelo de inventario de datos personales ISO 27701
Cómo montar un inventario de datos personales para un PIMS ISO 27701: dónde están los datos, en qué…
Modelo de evaluación de riesgos de privacidad ISO 27701
Cómo documentar la evaluación de riesgos de privacidad de ISO 27701: criterios, riesgo para las personas…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- Reglamento (UE) 2016/679, Reglamento General de Protección de Datos EUR-Lex · 27 de abril de 2016; aplicable desde el 25 de mayo de 2018
- ISO/IEC 27701:2025 — Sistemas de gestión de la información de privacidad. Requisitos y orientación ISO/IEC · Segunda edición, octubre de 2025