Modelos e registos · ISO 27701 · Cláusula 6.1.3

Modelo de declaração de aplicabilidade ISO 27701

O documento que o auditor abre primeiro: percorre todos os controlos do Anexo A e diz quais se aplicam, porquê e em que estado estão.

Numa frase

A declaração de aplicabilidade da ISO/IEC 27701 enumera os controlos do Anexo A, indica quais se aplicam e quais se excluem, com a respetiva justificação, e o estado de implementação de cada um, porque a secção 6.1.3 pede que os controlos escolhidos para tratar os riscos de privacidade sejam confrontados com os do Anexo A e que essa decisão fique registada.

Conteúdo revisto em 17 de outubro de 2026

Onde a norma o exige: ISO 27701 · Cláusula 6.1.3 Cita-se a edição de 2025: os números de 4 a 10 são capítulos; A.1, A.2 e A.3 são as tabelas do Anexo A com os controlos do responsável pelo tratamento, do subcontratante e comuns a ambos.
Tipo de informação: Documento obrigatório Documento a manter atualizado (6.1.3)
Quem o preenche: Responsável do PIMS É aprovada pela gestão de topo ou por quem tenha a autoridade atribuída em 5.3
Quando: Depois de cada avaliação de riscos E sempre que mudem o âmbito, a qualidade da organização ou os controlos
Durante quanto tempo se conserva: Enquanto existir o tratamento É um documento vivo: atualiza-se e guarda-se a versão anterior para poder mostrar como era em cada momento.

O que a norma exige

O que o referencial ISO 27701 exige e o que fica ao seu critério

Depois de avaliar os riscos, a norma pede que se selecionem os controlos necessários para os tratar e que se comparem com o Anexo A para não deixar de fora nenhum que seja necessário. A declaração de aplicabilidade regista o resultado: que controlos se incluem, porquê, se estão implementados e porque se excluem os restantes.

A qualidade em que a organização atua pesa muito: um subcontratante pode justificar a exclusão dos controlos da tabela A.1 nos tratamentos que efetua por conta de clientes, e um responsável que não recorre a subcontratantes terá pouco a aplicar da tabela A.2. A exclusão tem de ser fundamentada, não presumida.

Se a organização também tiver a ISO/IEC 27001, pode manter duas declarações ou uma integrada; o que não pode é que se contradigam.

Leia-o em contexto: Riscos de privacidade e planeamento, na Academia (ISO 27701)

Estrutura

Campos que o modelo deve ter

Identificador e nome de cada controlo do Anexo A
Tabela a que pertence: A.1, A.2 ou A.3
Aplica-se ou não se aplica
Justificação da inclusão: risco, requisito legal ou contratual
Justificação da exclusão
Estado de implementação
Evidência ou registo associado
Responsável pelo controlo
Versão, data e aprovação

Exemplo

Exemplo: três linhas da declaração de um fornecedor fictício de software de processamento salarial

Empresa, pessoas e números fictícios: o exemplo serve apenas para mostrar como fica um registo bem preenchido.

Campo	Conteúdo
Organização	Nominalia Cloud, Lda. (fictícia) · Subcontratante para os clientes e responsável pelo tratamento para os seus trabalhadores
Controlo de consentimento (A.1)	Aplica-se apenas à newsletter comercial própria · Implementado · Evidência: registo de consentimentos
Controlo de tratamento segundo as instruções do cliente (A.2)	Aplica-se · Implementado · Evidência: contratos de subcontratação e procedimento de instruções
Controlo de gestão de incidentes (A.3)	Aplica-se · Implementado · Evidência: registo de violações de dados partilhado com o SGSI
Exemplo de exclusão	Controlos da A.1 sobre informação aos titulares nos dados salariais dos clientes: não se aplicam, o cliente é o responsável pelo tratamento
Versão	v3 · 2 de maio de 2026 · Aprovada pela direção-geral

Na auditoria

Erros que os auditores costumam apontar

Excluem-se blocos inteiros de controlos com a frase «não aplicável», sem justificação.
A declaração não bate certo com a avaliação de riscos: controlos aplicados que não tratam nenhum risco e riscos sem controlo.
Mantém a numeração da edição de 2019 depois da transição.
Um controlo é dado como implementado sem nenhuma evidência para mostrar.

No Kimobox

Como se gere este registo no Kimobox

1Os controlos do Anexo A são carregados como uma tabela com controlo de versões, com o seu estado e responsável.
2Cada controlo fica ligado aos riscos que trata e ao registo que o evidencia.
3A declaração é um documento controlado: cada versão fica aprovada e datada.

Perguntas frequentes

O que nos perguntam antes de começar

Pode usar-se a declaração de aplicabilidade da ISO 27001?

Pode ser integrada, mas não chega tal como está: o Anexo A da ISO/IEC 27701 tem controlos de privacidade para responsáveis pelo tratamento e subcontratantes que não existem na ISO/IEC 27001.

O que acontece se se excluir um controlo necessário?

É uma das não conformidades mais habituais na certificação: se o risco ou o RGPD o tornam necessário, a exclusão não se sustenta.

Faça a gestão dos registos do referencial ISO 27701 sem modelos avulsos

Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.

Pedir uma demonstração

Continue a explorar