Software per ISO 27701

ISO 27701 senza faldoni né sorprese

Trattamenti, valutazioni d’impatto, diritti degli interessati, violazioni e responsabili del trattamento in un sistema privacy verificabile e collegato al GDPR.

Che cos’è e qual è l’edizione in vigore

La ISO/IEC 27701 è la norma internazionale sul sistema di gestione delle informazioni sulla privacy (PIMS) per titolari e responsabili del trattamento di dati personali. La seconda edizione, dell’ottobre 2025, sostituisce quella del 2019 e ne fa una norma di sistema di gestione autonoma: non è più un’estensione della ISO/IEC 27001 e si può adottare e certificare senza di essa, pur essendo pensata per integrarsi con il sistema di sicurezza delle informazioni e includendo una tabella di corrispondenza con il GDPR.

Contenuto revisionato il 17 ottobre 2026

Edizione in vigore: ISO/IEC 27701:2025 Seconda edizione, pubblicata nell’ottobre 2025; annulla e sostituisce quella del 2019
Cambiamento principale: Norma di sistema di gestione autonoma L’edizione del 2019 era redatta come estensione della ISO/IEC 27001 e della ISO/IEC 27002
A chi si rivolge: Titolari e responsabili del trattamento Di qualsiasi dimensione, pubblici, privati o senza scopo di lucro
Struttura: Capitoli da 4 a 10 e Appendici da A a F Appendici A (controlli) e B (guida) normative; da C a F, corrispondenze con ISO/IEC 29100, GDPR, ISO/IEC 27018 e 29151, e con l’edizione 2019
Rapporto con il GDPR: Appendice D informativa Corrispondenza con il Regolamento (UE) 2016/679; il certificato non sostituisce la conformità legale
Comitato: ISO/IEC JTC 1/SC 27 Sicurezza delle informazioni, cybersicurezza e protezione della privacy

Gestione documentale

Versioni, approvazioni e diffusione con conferma di lettura.

Collegato al cloud documentale

Pubblica e versiona i documenti su OneDrive, Google Drive o SharePoint, senza duplicare cartelle.

Audit

Programma annuale, checklist per norma e rilievi collegati alle azioni.

Non conformità

Causa radice, azione, responsabile, scadenza e verifica dell’efficacia.

Indicatori

Obiettivi per processo alimentati con dati operativi reali.

Requisiti legali

Registro dei requisiti legali e di altro tipo, con validità e valutazione della conformità per norma.

Azioni correttive

Causa radice, azione, responsabile, scadenza e verifica dell’efficacia collegati alla non conformità.

Azioni di miglioramento

Opportunità di miglioramento con responsabile e monitoraggio, oltre a correggere ciò che è già andato storto.

Riesame della direzione

Report pregenerato con indicatori, audit e non conformità, pronto per la riunione.

Trattamenti e base giuridica

Ogni attività di trattamento con la sua finalità, le categorie di dati, i destinatari e il termine di cancellazione.

Diritti degli interessati

Richieste di accesso, cancellazione od opposizione con il termine di un mese sotto controllo e la risposta registrata.

Violazioni dei dati

Registro di ogni violazione con la decisione sulla notifica e il conto alla rovescia delle 72 ore sempre in vista.

Responsabili del trattamento

Contratti, sub-responsabili autorizzati e revisione periodica di ogni fornitore che tratta dati per conto dell’azienda.

Requisiti coperti

Cosa risolve per ISO 27701

Registro delle attività di trattamento con la relativa base giuridica
Valutazione dei rischi e dell’impatto sulla privacy
Richieste di esercizio dei diritti evase nei termini
Registro e notifica delle violazioni dei dati personali
Contratti e controllo di responsabili e sub-responsabili
Dichiarazione di applicabilità dei controlli privacy

Norme coperte

Norma per norma, che cosa risolve Kimobox

HACCP Analisi dei pericoli e punti critici di controllo Alimentare IATF 16949 Automotive Automotive UNE 19602 Compliance tributaria Compliance · fiscale ISO 13485 Dispositivi medici Sanità ENS Esquema Nacional de Seguridad Sicurezza · settore pubblico UNE 73401 Garanzia della qualità nucleare Qualità · nucleare ISO 14064 Gas a effetto serra Ambiente · carbon footprint ISO 14001 Gestione ambientale Ambiente ISO 20000 Gestione dei servizi IT Qualità · servizi IT ISO 27701 Gestione della privacy Cybersicurezza ISO 9001 Gestione della qualità Qualità · tutti i settori Sostenibilità Gestione della sostenibilità ESG SGE 21 Gestione etica e responsabile Responsabilità sociale ISO 15189 Laboratori clinici Qualità · sanità ISO 17025 Laboratori di prova e taratura Qualità · laboratori ISO 22716 Produzione cosmetica Qualità · cosmetica GDPR Protezione dei dati Legale · protezione dei dati ISO 26000:2010 Responsabilità sociale Responsabilità sociale · linea guida ISO 45001 Salute e sicurezza sul lavoro SSL IFS Food Sicurezza alimentare Alimentare ISO 22000 Sicurezza alimentare Alimentare GMP+ Sicurezza dei mangimi Alimentare · mangimi ISO 27001 Sicurezza delle informazioni Cybersicurezza FSSC 22000 Sistema di gestione per la sicurezza alimentare Alimentare ISO 19600 Sistemi di gestione della compliance Compliance · linea guida ISO 37301 Sistemi di gestione della compliance Compliance BRCGS Standard globale per la sicurezza alimentare Alimentare SQAS2022 Valutazione chimica e logistica Qualità · chimica e logistica

Modelli e registrazioni

Le registrazioni ISO 27701, spiegate una per una

Quale punto della norma ISO 27701 richiede ciascuna registrazione, quali campi servono, un esempio compilato e ciò che l’auditor rileva più spesso.

Vedi tutti i modelli e le registrazioni ISO 27701

Lessico

I termini, definiti con precisione

PIMS: Sistema di gestione delle informazioni sulla privacy: l’insieme di politiche, processi, controlli e registrazioni con cui un’organizzazione governa i dati personali che tratta e dimostra di farlo bene.
Titolare del trattamento: Chi decide per quali finalità e con quali mezzi si trattano i dati personali. La norma lo chiama PII controller e gli dedica un proprio gruppo di controlli.
Responsabile del trattamento: Chi tratta dati personali per conto del titolare e secondo le sue istruzioni, come un fornitore di elaborazione paghe o di hosting. Nella norma, PII processor.
Informazioni di identificazione personale (PII): Termine usato dalla norma per ciò che il GDPR chiama dati personali: qualsiasi informazione che identifica o può identificare una persona fisica.
Valutazione d’impatto (DPIA): Analisi preventiva di un trattamento che può presentare un rischio elevato per le persone, con le misure per ridurlo. Il GDPR la richiede in questi casi all’articolo 35.
Dichiarazione di applicabilità: Documento che elenca i controlli dell’Appendice A, indica quali si applicano e giustifica quelli esclusi. È il tassello che unisce la valutazione dei rischi a ciò che si fa davvero.

Domande frequenti

Cosa ci chiedono prima di iniziare

Qual è l’edizione in vigore della norma?

La versione in vigore è ISO/IEC 27701:2025. Quando l’ente pubblica una nuova edizione si apre un periodo di transizione, al termine del quale i certificati emessi in base alla precedente perdono validità.

Serve anche se siamo già certificati?

Sì. Si carica il sistema attuale —processi, documenti, registrazioni, storico degli audit— e lo si mantiene vivo fin dal primo giorno. Non bisogna riprogettare nulla né ricominciare il ciclo di certificazione.

L’auditor accetta le registrazioni digitali?

Sì, purché siano tracciabili, controllate e permettano di dimostrare chi ha fatto cosa e quando. Nessuna norma impone la carta; tutte chiedono evidenze affidabili, e una registrazione elettronica ben controllata le fornisce meglio di un faldone.

Posso combinarla con altre norme?

Sì, ed è consigliabile. La struttura comune dell’Annex SL consente un sistema integrato che condivide mappa dei processi, gestione documentale, audit interni, non conformità e indicatori tra ISO 27701 e le altre norme, separando solo ciò che è specifico di ciascuna.

Quanto ci vuole per avere il sistema pronto per l’audit?

Dipende dal punto di partenza. Un’organizzazione che lavora già con procedure scritte di solito è pronta in due o tre mesi; una che parte da zero ha bisogno di più tempo, e il collo di bottiglia non è quasi mai lo strumento ma la disponibilità delle persone che conoscono i processi.

Cosa succede alla documentazione che abbiamo già?

Viene migrata. Procedure, moduli e registrazioni esistenti si caricano con la loro versione e il loro approvatore, così lo storico non si perde e il sistema parte con la memoria che l’organizzazione aveva già.

L’auditor può consultare direttamente il sistema?

Sì. Gli si concede un accesso in sola lettura con il perimetro deciso e una data di scadenza. È più comodo per entrambe le parti che preparare un faldone di screenshot ed esportazioni.

Che differenza c’è tra una non conformità maggiore e una minore?

La maggiore compromette la capacità del sistema di soddisfare un requisito —assenza totale di un processo richiesto, mancato rispetto sistematico, errore con impatto sul prodotto— e di norma impedisce la certificazione finché non viene chiusa. La minore è un errore isolato che si corregge con un piano d’azione.

Gli indicatori si calcolano da soli?

Sì, a partire dai dati generati dai processi stessi. È la differenza tra un cruscotto che riflette ciò che accade e un foglio di calcolo che qualcuno compila la settimana prima del riesame della direzione.

Funziona per più unità produttive o società?

Sì. Il modello è multiazienda e multisede: si condivide ciò che ha senso condividere e si separa ciò che è proprio di ciascun sito, compreso il campo di applicazione del certificato se differisce tra loro.

Prepara l’audit ISO 27701

Le mostriamo il modulo in funzione con dati simili ai suoi.

Richiedi una demo

Continua a esplorare

Pagine correlate

Software per ISO 27701 — Gestione della privacy

Kimobox è un software per ISO 27701 che digitalizza i requisiti della norma: registro delle attività di trattamento con la relativa base giuridica, valutazione dei rischi e dell’impatto sulla privacy, richieste di esercizio dei diritti evase nei termini, registro e notifica delle violazioni dei dati personali, con tracciabilità completa ed evidenze a disposizione dell’auditor.

La piattaforma consente di mantenere un sistema di gestione integrato che combina ISO 27701 con altre norme ISO e protocolli di settore, condividendo mappa dei processi, gestione documentale, audit interni, non conformità e indicatori.