Models i registres · ISO 27701
Models i registres d'ISO 27701
Nou registres que sostenen un sistema de privadesa: quin apartat de la norma o quin article del RGPD els demana, quins camps porten i com en queda un de ben emplenat.
En una frase
ISO/IEC 27701 no imposa formularis, però un sistema de privadesa certificable ha de conservar l'avaluació de riscos de privadesa (6.1.2 i 8.2), la declaració d'aplicabilitat (6.1.3) i l'evidència dels controls de l'annex A que apliqui; diversos d'aquests registres —activitats de tractament, bretxes, contractes d'encarregat, prova del consentiment— són a més obligacions directes del RGPD, de manera que un mateix registre serveix a l'auditor i a l'autoritat de control.
- Edició
- ISO/IEC 27701:2025 Norma de sistema de gestió independent des d'octubre de 2025
- Registres del sistema
- Capítols 6 a 10 Riscos, declaració d'aplicabilitat, auditories, revisió per la direcció i no conformitats
- Registres de l'annex A
- Segons la declaració d'aplicabilitat Cada control aplicat necessita la seva evidència; els exclosos, la seva justificació
- Obligacions legals
- Arts. 7, 28, 30, 33 i 35 del RGPD Consentiment, encarregats, registre d'activitats, bretxes i avaluació d'impacte
- Format
- Lliure, per escrit L'art. 30.3 del RGPD admet expressament el format electrònic
Índex
Models i registres de ISO 27701
Es cita l'edició de 2025: els números del 4 al 10 són capítols; A.1, A.2 i A.3 són les taules de l'annex A amb els controls del responsable, de l'encarregat i comuns a tots dos.
Registre d'activitats de tractament
Què ha de recollir el registre d'activitats de tractament en un PIMS ISO 27701 i a l'art. 30 del RGPD…
Inventari de dades personals
Com muntar un inventari de dades personals per a un PIMS ISO 27701: on són les dades, en quins sistemes, qui…
Avaluació de riscos de privadesa
Com documentar l'avaluació de riscos de privadesa d'ISO 27701: criteris, risc per a les persones…
Declaració d'aplicabilitat
Què ha de contenir la declaració d'aplicabilitat d'un PIMS ISO 27701: controls de l'annex A, justificació…
Avaluació d'impacte en la privadesa
Què ha de contenir una avaluació d'impacte en la privadesa segons ISO 27701 i l'art. 35 del RGPD…
Registre de consentiments
Com registrar els consentiments per demostrar-los segons ISO 27701 i l'art. 7.1 del RGPD: qui, quan, per a…
Sol·licituds de drets
Com registrar les sol·licituds d'accés, rectificació, supressió o oposició segons ISO 27701 i el RGPD…
Registre de bretxes
Què recull el registre de bretxes de dades personals segons l'art. 33.5 del RGPD i ISO 27701: fets, efectes…
Contracte d'encarregat
Què inclou el contracte d'encarregat segons l'art. 28.3 del RGPD i ISO 27701: instruccions, subencarregats…
Preguntes freqüents
El que ens pregunten abans de començar
Quins registres són obligatoris a ISO 27701?
Els del mateix sistema —avaluació i tractament de riscos de privadesa, declaració d'aplicabilitat, programa i resultats d'auditoria, revisió per la direcció i no conformitats— i l'evidència de cada control de l'annex A que la declaració d'aplicabilitat doni per aplicat. Un control exclòs amb justificació no exigeix registre.
Serveixen els mateixos registres per al RGPD?
En bona part, sí. El registre d'activitats, el de bretxes, els contractes d'encarregat i la prova del consentiment són obligacions directes del Reglament, i la norma els recull com a controls. La diferència és que l'auditor de la norma revisa a més que el sistema els mantingui al dia i els millori.
Cal tenir ISO 27001 per fer servir aquests models?
No. Des de l'edició de 2025 la norma és independent. Si ja hi ha un SGSI, l'avaluació de riscos, la declaració d'aplicabilitat i el registre d'incidents es poden compartir, ampliats amb la mirada de la privadesa.
Porta els registres de ISO 27701 sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant