Programari per a ISO 27701

ISO 27701 sense carpetes ni sorpreses

Tractaments, avaluacions d'impacte, drets dels interessats, bretxes i encarregats en un sistema de privadesa auditable i vinculat al RGPD.

Què és i en quina edició està

ISO/IEC 27701 és la norma internacional del sistema de gestió de la informació de privadesa (PIMS) per a responsables i encarregats del tractament de dades personals. La segona edició, d'octubre de 2025, anul·la la de 2019 i la converteix en una norma de sistema de gestió independent: ja no és una extensió d'ISO/IEC 27001 i es pot implantar i certificar sense aquesta, tot i que està pensada per integrar-se amb el sistema de seguretat de la informació i inclou una taula de correspondència amb el RGPD.

Contingut revisat el 17 d'octubre de 2026

Edició vigent: ISO/IEC 27701:2025 Segona edició, publicada l'octubre de 2025; anul·la i substitueix la de 2019
Canvi principal: Norma de sistema de gestió independent L'edició de 2019 es va redactar com a extensió d'ISO/IEC 27001 i ISO/IEC 27002
A qui s'adreça: Responsables i encarregats del tractament De qualsevol mida, públics, privats o sense ànim de lucre
Estructura: Capítols 4 a 10 i annexos A a F Annexos A (controls) i B (guia) normatius; C a F, correspondències amb ISO/IEC 29100, el RGPD, ISO/IEC 27018 i 29151, i l'edició de 2019
Relació amb el RGPD: Annex D informatiu Correspondència amb el Reglament (UE) 2016/679; el certificat no substitueix el compliment legal
Comitè: ISO/IEC JTC 1/SC 27 Seguretat de la informació, ciberseguretat i protecció de la privadesa

Control documental

Versions, aprovacions i difusió amb justificant de lectura.

Connectat al teu núvol documental

Publica i versiona documents connectant amb OneDrive, Google Drive o SharePoint, sense duplicar carpetes.

Auditories

Programa anual, checklists per norma i troballes vinculades a accions.

No conformitats

Causa arrel, acció, responsable, termini i verificació d'eficàcia.

Indicadors

Objectius per procés alimentats amb dades reals d'operació.

Requisits legals

Registre de requisits legals i d'un altre tipus, amb vigència i avaluació de compliment per norma.

Accions correctives

Causa arrel, acció, responsable, termini i verificació d'eficàcia enllaçats a la no conformitat.

Accions de millora

Oportunitats de millora amb responsable i seguiment, més enllà de corregir el que ja ha fallat.

Revisió per la direcció

Informe pregenerat amb indicadors, auditories i no conformitats a punt per a la reunió.

Tractaments i base jurídica

Cada activitat de tractament amb la seva finalitat, les categories de dades, els destinataris i el termini de supressió.

Drets dels interessats

Sol·licituds d'accés, supressió o oposició amb el termini d'un mes vigilat i la resposta registrada.

Bretxes de dades

Registre de cada bretxa amb la decisió de notificar i el rellotge de les 72 hores a la vista.

Encarregats del tractament

Contractes, subencarregats autoritzats i revisió periòdica de cada proveïdor que tracta dades per compte de l'empresa.

Requisits coberts

Què et resol per a ISO 27701

Registre d'activitats de tractament amb la seva base jurídica
Avaluació de riscos i d'impacte en la privadesa
Sol·licituds de drets ateses dins del termini
Registre i notificació de bretxes de dades personals
Contractes i control d'encarregats i subencarregats
Declaració d'aplicabilitat dels controls de privadesa

Normes cobertes

Tria la teva norma i mira què et resol

APPCC Anàlisi de perills i punts crítics Alimentària IATF 16949 Automoció Automoció SQAS2022 Avaluació química i logística Qualitat · química i logística UNE 19602 Compliance tributari Compliance · fiscal ENS Esquema Nacional de Seguretat Seguretat · sector públic ISO 22716 Fabricació cosmètica Qualitat · cosmètica UNE 73401 Garantia de qualitat nuclear Qualitat · nuclear ISO 14064 Gasos d'efecte hivernacle Medi ambient · petjada de carboni ISO 14001 Gestió ambiental Medi ambient ISO 27701 Gestió de la privadesa Ciberseguretat ISO 9001 Gestió de la qualitat Qualitat · tots els sectors Sostenibilitat Gestió de la sostenibilitat ESG ISO 20000 Gestió de serveis TI Qualitat · serveis TI SGE 21 Gestió ètica i responsable Responsabilitat social ISO 22000 Innocuïtat alimentària Alimentària ISO 15189 Laboratoris clínics Qualitat · sanitari ISO 17025 Laboratoris d'assaig i calibratge Qualitat · laboratoris BRCGS Norma global d'alimentació Alimentària ISO 13485 Productes sanitaris Sanitari RGPD Protecció de dades Legal · protecció de dades ISO 26000:2010 Responsabilitat social Responsabilitat social · guia IFS Food Seguretat alimentària Alimentària ISO 27001 Seguretat de la informació Ciberseguretat GMP+ Seguretat en pinsos Alimentària · pinsos ISO 45001 Seguretat i salut laboral PRL FSSC 22000 Sistema de gestió alimentària Alimentària ISO 19600 Sistemes de gestió de compliance Compliance · guia ISO 37301 Sistemes de gestió de compliance Compliance

Models i registres

Els registres de ISO 27701, explicats un a un

Quin apartat de ISO 27701 demana cada registre, quins camps necessita, un exemple emplenat i el que sol assenyalar l'auditor.

Veure tots els models i registres de ISO 27701

Vocabulari

Els termes, dits amb precisió

PIMS: Sistema de gestió de la informació de privadesa: el conjunt de polítiques, processos, controls i registres amb què una organització governa les dades personals que tracta i demostra que ho fa bé.
Responsable del tractament: Qui decideix per a què i com es tracten les dades personals. La norma l'anomena PII controller i li dedica un grup propi de controls.
Encarregat del tractament: Qui tracta dades personals per compte del responsable i seguint les seves instruccions, com un proveïdor de nòmines o d'allotjament. A la norma, PII processor.
Informació d'identificació personal (PII): Terme que fa servir la norma per al que el RGPD anomena dades personals: qualsevol informació que identifica o pot identificar una persona física.
Avaluació d'impacte (EIPD): Anàlisi prèvia d'un tractament que pot comportar un risc alt per a les persones, amb les mesures per reduir-lo. El RGPD l'exigeix en aquests casos a l'article 35.
Declaració d'aplicabilitat: Document que enumera els controls de l'annex A, indica quins s'apliquen i justifica els exclosos. És la peça que uneix l'avaluació de riscos amb el que realment es fa.

Preguntes freqüents

El que ens pregunten abans de començar

En quina edició està la norma?

La versió vigent és ISO/IEC 27701:2025. Quan l'organisme publica una edició nova s'obre un període de transició; un cop acabat, els certificats emesos contra l'anterior deixen de ser vàlids.

Serveix si ja estem certificats?

Sí. Es carrega el sistema actual —processos, documents, registres, historial d'auditories— i es manté viu des del primer dia. No cal redissenyar res ni tornar a començar el cicle de certificació.

L'auditor accepta registres digitals?

Sí, sempre que siguin traçables, estiguin controlats i es pugui demostrar qui va fer què i quan. Cap norma exigeix paper; el que exigeixen totes és evidència fiable, i un registre electrònic ben controlat la dona millor que una carpeta.

Es pot combinar amb altres normes?

Sí, i és el recomanable. L'estructura comuna de l'Annex SL permet un sistema integrat que comparteix mapa de processos, control documental, auditories internes, no conformitats i indicadors entre ISO 27701 i la resta, deixant separat només allò específic de cadascuna.

Quant es triga a tenir el sistema a punt per auditar?

Depèn del punt de partida. Una organització que ja treballa amb procediments escrits sol estar-hi en dos o tres mesos; una que parteix de zero necessita més temps, i el coll d'ampolla gairebé mai és l'eina sinó la disponibilitat de les persones que coneixen els processos.

Què passa amb la documentació que ja tenim?

Es migra. Els procediments, formats i registres existents es carreguen amb la seva versió i el seu aprovador, de manera que l'històric no es perd i el sistema arrenca amb la memòria que ja tenia l'organització.

Pot entrar l'auditor a mirar directament?

Sí. Se li dona un accés de només lectura amb l'abast que es decideixi i una data de caducitat. És més còmode per a totes dues parts que preparar una carpeta amb captures i exportacions.

Quina diferència hi ha entre una no conformitat major i una menor?

La major compromet la capacitat del sistema per complir un requisit —absència total d'un procés exigit, incompliment sistemàtic o fallada amb impacte en el producte— i sol impedir la certificació fins que es tanca. La menor és una fallada puntual que es corregeix amb un pla d'acció.

Els indicadors es calculen sols?

Sí, a partir de les dades que generen els mateixos processos. És la diferència entre un quadre de comandament que reflecteix el que passa i un full de càlcul que algú omple la setmana abans de la revisió per la direcció.

Serveix per a diversos centres de treball o societats?

Sí. El model és multiempresa i multicentre: es comparteix el que tingui sentit compartir i se separa el que sigui propi de cada emplaçament, inclòs l'abast del certificat si difereix entre ells.

Prepara la teva auditoria de ISO 27701

Et mostrem el mòdul funcionant amb dades semblants a les teves.

Demanar una demo

Continua explorant

Pàgines relacionades

Programari per a ISO 27701 — Gestió de la privadesa

Kimobox és un programari per a ISO 27701 que digitalitza els requisits de la norma: registre d'activitats de tractament amb la seva base jurídica, avaluació de riscos i d'impacte en la privadesa, sol·licituds de drets ateses dins del termini, registre i notificació de bretxes de dades personals, amb traçabilitat completa i evidència disponible per a l'auditor.

La plataforma permet mantenir un sistema integrat de gestió que combina ISO 27701 amb altres normes ISO i protocols sectorials, compartint mapa de processos, control documental, auditories internes, no conformitats i indicadors.