Models i registres · ISO 27701 · Apartat 6.1.3

Model de declaració d'aplicabilitat ISO 27701

El document que l'auditor obre primer: recorre tots els controls de l'annex A i diu quins s'apliquen, per què i en quin estat són.

En una frase

La declaració d'aplicabilitat d'ISO/IEC 27701 enumera els controls de l'annex A, indica quins s'apliquen i quins s'exclouen amb la seva justificació i l'estat d'implantació de cadascun, perquè l'apartat 6.1.3 demana contrastar els controls triats per tractar els riscos de privadesa amb els de l'annex A i deixar constància d'aquesta decisió.

Contingut revisat el 17 d'octubre de 2026

On ho demana la norma: ISO 27701 · Apartat 6.1.3 Es cita l'edició de 2025: els números del 4 al 10 són capítols; A.1, A.2 i A.3 són les taules de l'annex A amb els controls del responsable, de l'encarregat i comuns a tots dos.
Tipus d'informació: Document obligatori Document que cal mantenir actualitzat (6.1.3)
Qui l'emplena: Responsable del PIMS L'aprova la direcció o qui tingui l'autoritat assignada a 5.3
Quan: Després de cada avaluació de riscos I sempre que canviïn l'abast, el paper de l'organització o els controls
Quant de temps es conserva: Mentre existeixi el tractament És un document viu: s'actualitza i es guarda la versió anterior per poder mostrar com era en cada moment.

Què demana la norma

El que exigeix ISO 27701 i el que deixa al teu criteri

Després d'avaluar els riscos, la norma demana seleccionar els controls necessaris per tractar-los i comparar-los amb l'annex A per no deixar-ne fora cap de necessari. La declaració d'aplicabilitat en recull el resultat: quins controls s'inclouen, per què, si estan implantats i per què s'exclouen els altres.

El paper de l'organització hi pesa molt: un encarregat pot justificar l'exclusió dels controls de la taula A.1 en els tractaments que fa per compte de clients, i un responsable que no fa servir encarregats tindrà poca cosa a aplicar de la taula A.2. L'exclusió s'ha de raonar, no presumir.

Si l'organització té també ISO/IEC 27001, pot mantenir dues declaracions o una d'integrada; el que no pot passar és que es contradiguin.

Llegeix-ho en context: Riscos de privadesa i planificació, a l'Acadèmia de ISO 27701

Estructura

Camps que ha de tenir el model

Identificador i nom de cada control de l'annex A
Taula a la qual pertany: A.1, A.2 o A.3
S'aplica o no s'aplica
Justificació de la inclusió: risc, requisit legal o contractual
Justificació de l'exclusió
Estat d'implantació
Evidència o registre associat
Responsable del control
Versió, data i aprovació

Exemple

Exemple: tres línies de la declaració d'un proveïdor fictici de programari de nòmines

Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.

Camp	Contingut
Organització	Nominàlia Cloud, S. L. (fictícia) · Encarregat per als seus clients i responsable per a la seva plantilla
Control de consentiment (A.1)	S'aplica només al butlletí comercial propi · Implantat · Evidència: registre de consentiments
Control de tractament segons les instruccions del client (A.2)	S'aplica · Implantat · Evidència: contractes d'encarregat i procediment d'instruccions
Control de gestió d'incidents (A.3)	S'aplica · Implantat · Evidència: registre de bretxes compartit amb el SGSI
Exclusió d'exemple	Controls d'A.1 sobre informació als interessats en les dades de nòmines de clients: no s'aplica, el client és el responsable
Versió	v3 · 2 de maig de 2026 · Aprovada per la direcció general

A l'auditoria

Errors que solen assenyalar els auditors

S'exclouen blocs sencers de controls amb la frase «no s'aplica» sense justificació.
La declaració no quadra amb l'avaluació de riscos: controls aplicats que no tracten cap risc i riscos sense control.
Segueix la numeració de l'edició de 2019 després de la transició.
Es marca com a implantat un control sense cap evidència per mostrar.

A Kimobox

Com es porta aquest registre a Kimobox

1Els controls de l'annex A es carreguen com una taula versionada amb el seu estat i el seu responsable.
2Cada control s'enllaça amb els riscos que tracta i amb el registre que l'evidencia.
3La declaració és un document controlat: cada versió queda aprovada i datada.

Preguntes freqüents

El que ens pregunten abans de començar

Es pot fer servir la declaració d'aplicabilitat d'ISO 27001?

S'hi pot integrar, però tal qual no n'hi ha prou: l'annex A d'ISO/IEC 27701 té controls de privadesa per a responsables i encarregats que no són a ISO/IEC 27001.

Què passa si s'exclou un control necessari?

És una de les no conformitats més habituals en la certificació: si el risc o el RGPD el fan necessari, l'exclusió no se sosté.

Porta els registres de ISO 27701 sense plantilles soltes

Et mostrem el mòdul funcionant amb dades semblants a les teves.

Demanar una demo

Continua explorant