Um anexo de controlos próprio
Na edição de 2019, os controlos apoiavam-se nos da ISO/IEC 27002 com acréscimos de privacidade. Na de 2025, o Anexo A é autónomo: agrupa os controlos consoante os aplique o responsável, o subcontratante ou ambos, e incorpora os controlos de segurança com impacto direto na privacidade.
O que abrangem
Para o responsável: condições de recolha e tratamento —finalidade, fundamento jurídico, consentimento, avaliação de impacto—, obrigações para com os titulares, privacidade desde a conceção e transferências. Para o subcontratante: acordos com o cliente, tratamento apenas segundo as suas instruções, subcontratantes ulteriores e comunicações a terceiros.
Anexo B e declaração de aplicabilidade
O Anexo B é o guia de implementação de cada controlo. Cada controlo do Anexo A é aplicado ou excluído com justificação na declaração de aplicabilidade (6.1.3): nenhum auditor espera que um subcontratante aplique os controlos do responsável, mas sim que o explique.
O que o auditor costuma pedir
- Qualidade da organização definida por tratamento
- Declaração de aplicabilidade que percorre todo o Anexo A
- Evidência da implementação de cada controlo aplicado
- Justificação de cada exclusão
Como tratar os controlos no Kimobox
- 1Carregue os controlos do Anexo A na declaração de aplicabilidade com o respetivo estado.
- 2Ligue cada controlo ao registo que o evidencia: tratamentos, direitos, contratos.
- 3Atribua um responsável e uma data de revisão a cada controlo aplicado.
Cada controlo do Anexo A aponta para o registo que o demonstra.
Modelos e registos deste capítulo (ISO 27701)
- Modelo de registo das atividades de tratamento ISO 27701 · Documento obrigatório
- Modelo de avaliação de impacto na privacidade ISO 27701 · Registo obrigatório
- Modelo de registo de consentimentos ISO 27701 · Registo obrigatório
- Modelo de registo de pedidos de exercício de direitos ISO 27701 · Registo obrigatório
- Modelo de registo de violações de dados pessoais ISO 27701 · Registo obrigatório
- Modelo de contrato de subcontratante ISO 27701 · Documento obrigatório