Riscos de privadesa i planificació

Avaluació de riscos de privadesa (6.1.2)

El risc es mesura sobre les persones les dades de les quals es tracten, no només sobre l'empresa: una filtració de dades de salut no pesa igual que la d'un directori comercial. El mètode és lliure, però ha de donar resultats coherents i comparables quan es repeteix.

Tractament i declaració d'aplicabilitat (6.1.3)

Per a cada risc es trien controls, contrastant-los amb l'annex A, i es recull en una declaració d'aplicabilitat quins s'apliquen i per què s'exclouen els altres. Un encarregat que mai no recull dades dels interessats pot justificar l'exclusió dels controls pensats per al responsable.

Objectius i canvis (6.2 i 6.3)

Els objectius de privadesa han de ser mesurables —per exemple, el percentatge de sol·licituds respostes dins del termini— i tenir pla, responsable i data. Els canvis en el sistema es planifiquen, no s'improvisen.

El que sol demanar l'auditor

• Metodologia d'avaluació de riscos de privadesa documentada
• Resultat de l'avaluació amb el propietari de cada risc
• Declaració d'aplicabilitat amb la justificació de les exclusions
• Objectius de privadesa amb indicador i pla

Com cobrir la planificació a Kimobox

1. 1Porta l'avaluació de riscos a la matriu de riscos, amb propietari i tractament.
2. 2Mantén la declaració d'aplicabilitat com a document controlat enllaçat als riscos.
3. 3Mesura els objectius amb indicadors que surten dels mateixos registres.

Models i registres de ISO 27701 d'aquest capítol

• Model d'avaluació de riscos de privadesa ISO 27701 · Registre obligatori
• Model de declaració d'aplicabilitat ISO 27701 · Document obligatori