Un anexo de controles propio
En la edición de 2019 los controles se apoyaban en los de ISO/IEC 27002 con añadidos de privacidad. En la de 2025 el Anexo A es autónomo: agrupa los controles según los aplique el responsable, el encargado o ambos, e incorpora los controles de seguridad con impacto directo en la privacidad.
Qué cubren
Para el responsable: condiciones de recogida y tratamiento —finalidad, base jurídica, consentimiento, evaluación de impacto—, obligaciones hacia los interesados, privacidad desde el diseño y transferencias. Para el encargado: acuerdos con el cliente, tratamiento solo según sus instrucciones, subencargados y comunicaciones a terceros.
Anexo B y declaración de aplicabilidad
El Anexo B es la guía de implantación de cada control. Cada control del Anexo A se aplica o se excluye con justificación en la declaración de aplicabilidad (6.1.3): ningún auditor espera que un encargado aplique los controles del responsable, pero sí que lo explique.
Lo que suele pedir el auditor
- Papel de la organización definido por tratamiento
- Declaración de aplicabilidad que recorre todo el Anexo A
- Evidencia de implantación de cada control aplicado
- Justificación de cada exclusión
Cómo cubrir los controles en Kimobox
- 1Carga los controles del Anexo A en la declaración de aplicabilidad con su estado.
- 2Enlaza cada control con el registro que lo evidencia: tratamientos, derechos, contratos.
- 3Asigna un responsable y una fecha de revisión a cada control aplicado.
Cada control del Anexo A apunta al registro que lo demuestra.
Modelos y registros de ISO 27701 de este capítulo
- Modelo de registro de actividades de tratamiento ISO 27701 · Documento obligatorio
- Modelo de evaluación de impacto en la privacidad ISO 27701 · Registro obligatorio
- Modelo de registro de consentimientos ISO 27701 · Registro obligatorio
- Modelo de registro de solicitudes de derechos ISO 27701 · Registro obligatorio
- Modelo de registro de brechas de datos personales ISO 27701 · Registro obligatorio
- Modelo de contrato de encargado del tratamiento ISO 27701 · Documento obligatorio