Models i registres · ISO 27701 · Apartat 6.1.2 y 8.2
Model d'avaluació de riscos de privadesa ISO 27701
L'anàlisi que decideix quins controls calen: què pot sortir malament amb les dades personals, quin dany faria a les persones i qui s'ocupa de cada risc.
En una frase
L'avaluació de riscos de privadesa identifica els riscos associats al tractament de dades personals, n'estima la probabilitat i les conseqüències per a les persones i l'organització, els compara amb els criteris d'acceptació i n'assigna un propietari a cadascun, perquè els apartats 6.1.2 i 8.2 d'ISO/IEC 27701:2025 demanen definir el procés, aplicar-lo a intervals planificats i conservar-ne els resultats.
- On ho demana la norma
- ISO 27701 · Apartat 6.1.2 y 8.2 Es cita l'edició de 2025: els números del 4 al 10 són capítols; A.1, A.2 i A.3 són les taules de l'annex A amb els controls del responsable, de l'encarregat i comuns a tots dos.
- Tipus d'informació
- Registre obligatori Informació documentada que cal conservar (6.1.2 i 8.2)
- Qui l'emplena
- Responsable del PIMS, amb els propietaris dels tractaments El delegat de protecció de dades assessora; el propietari accepta el risc residual
- Quan
- A intervals planificats i davant de canvis significatius Habitualment una revisió anual i una altra cada vegada que entra un tractament o un sistema nou
- Quant de temps es conserva
- El fixa l'organització Ni la norma ni el RGPD donen un termini per al registre en si; el principi de limitació del termini de conservació (art. 5.1.e RGPD) obliga a justificar el que es triï.
Què demana la norma
El que exigeix ISO 27701 i el que deixa al teu criteri
La norma demana definir un procés d'avaluació de riscos de privadesa amb criteris d'acceptació i d'avaluació, que doni resultats coherents i comparables, i aplicar-lo per identificar, analitzar i valorar els riscos amb el seu propietari. El mètode —qualitatiu, per matriu, per escenaris— el tria l'organització.
L'avaluació es repeteix a intervals planificats i quan hi ha canvis significatius (8.2), i cal conservar tant la descripció del procés com els resultats de cada avaluació.
El que és propi de la privadesa és mirar el dany a les persones, no només a l'empresa. El RGPD apunta en la mateixa direcció quan demana mesures apropiades al risc per als drets i les llibertats (arts. 24 i 32).
Estructura
Camps que ha de tenir el model
- Tractament o actiu avaluat
- Escenari de risc: què pot passar i per què
- Conseqüències per als interessats i per a l'organització
- Probabilitat i nivell d'impacte segons els criteris
- Nivell de risc resultant i comparació amb el criteri d'acceptació
- Propietari del risc
- Opció de tractament i controls de l'annex A associats
- Risc residual i acceptació per part del propietari
- Data d'avaluació i propera revisió
Exemple
Exemple: risc al portal de clients d'una clínica fictícia
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| Tractament | RAT-02 · Cites i resultats al portal de pacients · Clínica Ter (fictícia) |
| Escenari | Accés d'un tercer als resultats d'anàlisis per reutilització de contrasenyes |
| Conseqüències | Revelació de dades de salut: dany alt per al pacient; notificació de bretxa i pèrdua de confiança |
| Valoració | Probabilitat mitjana × impacte alt = risc alt (criteri d'acceptació: mitjà) |
| Propietari | Direcció mèdica |
| Tractament | Mitigar: doble factor obligatori i avís d'accés per correu |
| Risc residual | Baix · Acceptat per la direcció mèdica el 9 d'abril de 2026 |
| Revisió | Abril de 2027 o abans si canvia el portal |
A l'auditoria
Errors que solen assenyalar els auditors
- Es reutilitza l'avaluació de seguretat d'ISO 27001 sense valorar l'impacte sobre les persones.
- Els criteris d'acceptació no estan escrits i cada avaluador puntua a la seva manera.
- Cap risc no té propietari fora del departament de sistemes.
- L'avaluació no es va repetir després d'incorporar un proveïdor de núvol que tracta dades de salut.
- El risc residual no l'ha acceptat ningú amb autoritat.
A Kimobox
Com es porta aquest registre a Kimobox
- 1Els riscos es registren a la matriu de riscos amb propietari, valoració i tractament.
- 2Cada risc s'enllaça amb el tractament del registre d'activitats i amb els controls de la declaració d'aplicabilitat.
- 3La revisió periòdica queda programada amb avís de venciment.
- 4Les bretxes i les no conformitats relacionades alimenten el mapa de riscos.
Preguntes freqüents
El que ens pregunten abans de començar
És el mateix que l'avaluació d'impacte del RGPD?
No. L'avaluació de riscos cobreix tots els tractaments de l'abast i alimenta el sistema; l'avaluació d'impacte de l'article 35 és una anàlisi en profunditat, obligatòria només quan un tractament pot comportar un risc alt. La primera sol assenyalar quan cal la segona.
Es pot combinar amb la d'ISO 27001?
Sí, amb una mateixa metodologia i criteris ampliats per valorar el dany a les persones. El que no val és suposar que un risc de seguretat baix per a l'empresa és baix per a l'interessat.
Porta els registres de ISO 27701 sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Riscos de privadesa i planificació
Avaluar els riscos de privadesa (6.1.2), tractar-los amb una declaració d'aplicabilitat (6.1.3) i fixar…
Model de registre d'activitats de tractament ISO 27701
Què ha de recollir el registre d'activitats de tractament en un PIMS ISO 27701 i a l'art. 30 del RGPD…
Model d'inventari de dades personals ISO 27701
Com muntar un inventari de dades personals per a un PIMS ISO 27701: on són les dades, en quins sistemes, qui…
Model de declaració d'aplicabilitat ISO 27701
Què ha de contenir la declaració d'aplicabilitat d'un PIMS ISO 27701: controls de l'annex A, justificació…