Context i parts interessades (4.1 i 4.2)
A més dels factors habituals, la norma demana tenir en compte la legislació de privadesa aplicable, les decisions de les autoritats de control i els compromisos contractuals amb clients que imposen condicions sobre les dades. Els mateixos interessats —clients, empleats, pacients— són part interessada, no només els reguladors.
El paper en cada tractament
Una mateixa empresa sol ser responsable de les nòmines de la seva plantilla i encarregada de les dades que li confien els clients. Aquesta distinció decideix quins controls de l'annex A s'apliquen i ha de quedar clara abans d'avaluar riscos.
Abast del sistema (4.3)
L'abast delimita els tractaments, les seus, els sistemes i els processos inclosos, amb les seves interfícies amb tercers. Un abast que deixa fora precisament el tractament de més risc resta credibilitat al certificat.
El que sol demanar l'auditor
- Inventari de tractaments amb el paper de l'organització en cadascun
- Llista de lleis, decisions d'autoritats i contractes que afecten les dades
- Parts interessades amb les seves expectatives de privadesa
- Declaració d'abast del PIMS documentada
Com cobrir el context a Kimobox
- 1Documenta el context del sistema de privadesa com un registre versionat més.
- 2Dona d'alta les parts interessades i els seus requisits en una taula amb revisió anual.
- 3Parteix del registre d'activitats de tractament per delimitar l'abast.
L'abast es recolza en el registre d'activitats, no en una llista a part que envelleix tota sola.
Models i registres de ISO 27701 d'aquest capítol
- Model d'inventari de dades personals ISO 27701 · Bona pràctica