Contexto y partes interesadas (4.1 y 4.2)
Además de los factores habituales, la norma pide tener en cuenta la legislación de privacidad aplicable, las decisiones de las autoridades de control y los compromisos contractuales con clientes que imponen condiciones sobre los datos. Los propios interesados —clientes, empleados, pacientes— son parte interesada, no solo los reguladores.
El papel en cada tratamiento
Una misma empresa suele ser responsable de las nóminas de su plantilla y encargada de los datos que le confían sus clientes. Esa distinción decide qué controles del Anexo A aplican y debe quedar clara antes de evaluar riesgos.
Alcance del sistema (4.3)
El alcance delimita tratamientos, sedes, sistemas y procesos incluidos, con sus interfaces con terceros. Un alcance que deja fuera justo el tratamiento de más riesgo resta credibilidad al certificado.
Lo que suele pedir el auditor
- Inventario de tratamientos con el papel de la organización en cada uno
- Lista de leyes, decisiones de autoridades y contratos que afectan a los datos
- Partes interesadas con sus expectativas de privacidad
- Declaración de alcance del PIMS documentada
Cómo cubrir el contexto en Kimobox
- 1Documenta el contexto del sistema de privacidad como un registro versionado más.
- 2Da de alta las partes interesadas y sus requisitos en una tabla con su revisión anual.
- 3Parte del registro de actividades de tratamiento para delimitar el alcance.
El alcance se apoya en el registro de actividades, no en una lista aparte que envejece sola.
Modelos y registros de ISO 27701 de este capítulo
- Modelo de inventario de datos personales ISO 27701 · Buena práctica