Un annex de controls propi
A l'edició de 2019 els controls es recolzaven en els d'ISO/IEC 27002 amb afegits de privadesa. A la de 2025 l'annex A és autònom: agrupa els controls segons si els aplica el responsable, l'encarregat o tots dos, i incorpora els controls de seguretat amb impacte directe en la privadesa.
Què cobreixen
Per al responsable: condicions de recollida i tractament —finalitat, base jurídica, consentiment, avaluació d'impacte—, obligacions envers els interessats, privadesa des del disseny i transferències. Per a l'encarregat: acords amb el client, tractament només segons les seves instruccions, subencarregats i comunicacions a tercers.
Annex B i declaració d'aplicabilitat
L'annex B és la guia d'implantació de cada control. Cada control de l'annex A s'aplica o s'exclou amb justificació a la declaració d'aplicabilitat (6.1.3): cap auditor no espera que un encarregat apliqui els controls del responsable, però sí que ho expliqui.
El que sol demanar l'auditor
- Paper de l'organització definit per tractament
- Declaració d'aplicabilitat que recorre tot l'annex A
- Evidència d'implantació de cada control aplicat
- Justificació de cada exclusió
Com cobrir els controls a Kimobox
- 1Carrega els controls de l'annex A a la declaració d'aplicabilitat amb el seu estat.
- 2Enllaça cada control amb el registre que l'evidencia: tractaments, drets, contractes.
- 3Assigna un responsable i una data de revisió a cada control aplicat.
Cada control de l'annex A apunta al registre que el demostra.
Models i registres de ISO 27701 d'aquest capítol
- Model de registre d'activitats de tractament ISO 27701 · Document obligatori
- Model d'avaluació d'impacte en la privadesa ISO 27701 · Registre obligatori
- Model de registre de consentiments ISO 27701 · Registre obligatori
- Model de registre de sol·licituds de drets ISO 27701 · Registre obligatori
- Model de registre de bretxes de dades personals ISO 27701 · Registre obligatori
- Model de contracte d'encarregat del tractament ISO 27701 · Document obligatori