Modelos y registros · ISO 27701
Modelos y registros de ISO 27701
Nueve registros que sostienen un sistema de privacidad: qué apartado de la norma o qué artículo del RGPD los pide, qué campos llevan y cómo queda uno bien cumplimentado.
En una frase
ISO/IEC 27701 no impone formularios, pero un sistema de privacidad certificable necesita conservar la evaluación de riesgos de privacidad (6.1.2 y 8.2), la declaración de aplicabilidad (6.1.3) y la evidencia de los controles del Anexo A que aplique; varios de esos registros —actividades de tratamiento, brechas, contratos de encargado, prueba del consentimiento— son además obligaciones directas del RGPD, de modo que un mismo registro sirve al auditor y a la autoridad de control.
- Edición
- ISO/IEC 27701:2025 Norma de sistema de gestión independiente desde octubre de 2025
- Registros del sistema
- Capítulos 6 a 10 Riesgos, declaración de aplicabilidad, auditorías, revisión por la dirección y no conformidades
- Registros del Anexo A
- Según la declaración de aplicabilidad Cada control aplicado necesita su evidencia; los excluidos, su justificación
- Obligaciones legales
- Arts. 7, 28, 30, 33 y 35 del RGPD Consentimiento, encargados, registro de actividades, brechas y evaluación de impacto
- Formato
- Libre, por escrito El art. 30.3 del RGPD admite expresamente el formato electrónico
Índice
Modelos y registros de ISO 27701
Se cita la edición de 2025: los números de 4 a 10 son capítulos; A.1, A.2 y A.3 son las tablas del Anexo A con los controles del responsable, del encargado y comunes a ambos.
Registro de actividades de tratamiento
Qué debe recoger el registro de actividades de tratamiento en un PIMS ISO 27701 y en el art. 30 del RGPD…
Inventario de datos personales
Cómo montar un inventario de datos personales para un PIMS ISO 27701: dónde están los datos, en qué…
Evaluación de riesgos de privacidad
Cómo documentar la evaluación de riesgos de privacidad de ISO 27701: criterios, riesgo para las personas…
Declaración de aplicabilidad
Qué debe contener la declaración de aplicabilidad de un PIMS ISO 27701: controles del Anexo A, justificación…
Evaluación de impacto en la privacidad
Qué debe contener una evaluación de impacto en la privacidad según ISO 27701 y el art. 35 del RGPD…
Registro de consentimientos
Cómo registrar los consentimientos para demostrarlos según ISO 27701 y el art. 7.1 del RGPD: quién, cuándo…
Solicitudes de derechos
Cómo registrar las solicitudes de acceso, rectificación, supresión u oposición según ISO 27701 y el RGPD…
Registro de brechas
Qué recoge el registro de brechas de datos personales según el art. 33.5 del RGPD e ISO 27701: hechos…
Contrato de encargado
Qué incluye el contrato de encargado según el art. 28.3 del RGPD e ISO 27701: instrucciones, subencargados…
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Qué registros son obligatorios en ISO 27701?
Los del propio sistema —evaluación y tratamiento de riesgos de privacidad, declaración de aplicabilidad, programa y resultados de auditoría, revisión por la dirección y no conformidades— y la evidencia de cada control del Anexo A que la declaración de aplicabilidad dé por aplicado. Un control excluido con justificación no exige registro.
¿Sirven los mismos registros para el RGPD?
En buena parte, sí. El registro de actividades, el de brechas, los contratos de encargado y la prueba del consentimiento son obligaciones directas del Reglamento, y la norma los recoge como controles. La diferencia es que el auditor de la norma revisa además que el sistema los mantenga al día y los mejore.
¿Hace falta tener ISO 27001 para usar estos modelos?
No. Desde la edición de 2025 la norma es independiente. Si ya existe un SGSI, la evaluación de riesgos, la declaración de aplicabilidad y el registro de incidentes pueden compartirse, ampliados con la mirada de privacidad.
Lleva los registros de ISO 27701 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando