Un’appendice di controlli propria
Nell’edizione 2019 i controlli si appoggiavano a quelli della ISO/IEC 27002 con aggiunte sulla privacy. In quella del 2025 l’Appendice A è autonoma: raggruppa i controlli a seconda che li applichi il titolare, il responsabile o entrambi, e incorpora i controlli di sicurezza con un impatto diretto sulla privacy.
Che cosa coprono
Per il titolare: condizioni di raccolta e trattamento —finalità, base giuridica, consenso, valutazione d’impatto—, obblighi verso gli interessati, privacy fin dalla progettazione e trasferimenti. Per il responsabile: accordi con il cliente, trattamento solo secondo le sue istruzioni, sub-responsabili e comunicazioni a terzi.
Appendice B e dichiarazione di applicabilità
L’Appendice B è la guida all’attuazione di ciascun controllo. Ogni controllo dell’Appendice A si applica o si esclude con giustificazione nella dichiarazione di applicabilità (6.1.3): nessun auditor si aspetta che un responsabile applichi i controlli del titolare, ma che lo spieghi sì.
Cosa chiede di solito l’auditor
- Ruolo dell’organizzazione definito per ciascun trattamento
- Dichiarazione di applicabilità che copre tutta l’Appendice A
- Evidenza dell’attuazione di ogni controllo applicato
- Giustificazione di ogni esclusione
Come coprire i controlli in Kimobox
- 1Carica i controlli dell’Appendice A nella dichiarazione di applicabilità con il loro stato.
- 2Collega ogni controllo alla registrazione che lo dimostra: trattamenti, diritti, contratti.
- 3Assegna un responsabile e una data di revisione a ogni controllo applicato.
Ogni controllo dell’Appendice A rimanda alla registrazione che lo dimostra.
Modelli e registrazioni ISO 27701 di questo capitolo
- Modello di registro delle attività di trattamento ISO 27701 · Documento obbligatorio
- Modello di valutazione d’impatto sulla privacy ISO 27701 · Registrazione obbligatoria
- Modello di registro dei consensi ISO 27701 · Registrazione obbligatoria
- Modello di registro delle richieste di esercizio dei diritti ISO 27701 · Registrazione obbligatoria
- Modello di registro delle violazioni dei dati personali ISO 27701 · Registrazione obbligatoria
- Modello di contratto di responsabile del trattamento ISO 27701 · Documento obbligatorio