Modelos y registros · ISO 27701 · Apartado A.1
Modelo de evaluación de impacto en la privacidad ISO 27701
El análisis a fondo que se hace antes de arrancar un tratamiento de alto riesgo: qué se va a hacer, si es necesario y proporcionado, qué puede dañar a las personas y cómo se evita.
En una frase
La evaluación de impacto en la privacidad describe el tratamiento y sus fines, valora su necesidad y proporcionalidad, analiza los riesgos para los derechos y libertades de los interesados y fija las medidas para afrontarlos, que es el contenido mínimo del artículo 35.7 del RGPD; ISO/IEC 27701 la incluye entre los controles del responsable de la tabla A.1.
- Dónde lo pide la norma
- ISO 27701 · Apartado A.1 Se cita la edición de 2025: los números de 4 a 10 son capítulos; A.1, A.2 y A.3 son las tablas del Anexo A con los controles del responsable, del encargado y comunes a ambos.
- Tipo de información
- Registro obligatorio Registro que hay que conservar cuando el tratamiento lo requiere (art. 35 RGPD; control de la tabla A.1)
- Quién lo rellena
- El responsable del tratamiento, con el delegado de protección de datos El encargado colabora aportando la información que tenga (art. 28.3.f RGPD)
- Cuándo
- Antes de iniciar el tratamiento Y de nuevo cuando cambie el riesgo (art. 35.11 RGPD)
- Cuánto se conserva
- Mientras dure el tratamiento Y lo que la organización decida después para poder demostrar que se hizo a tiempo
Qué pide la norma
Lo que exige ISO 27701 y lo que deja a tu criterio
La norma pide al responsable evaluar el impacto en la privacidad cuando un tratamiento nuevo o un cambio lo hagan necesario, y conservar el resultado. El RGPD lo convierte en obligación cuando es probable un alto riesgo para los derechos y libertades, y cita como casos la evaluación sistemática con efectos jurídicos, el tratamiento a gran escala de categorías especiales y la observación sistemática a gran escala de zonas públicas.
El artículo 35.7 fija el contenido mínimo y el 35.2 obliga a recabar el asesoramiento del delegado de protección de datos, si se ha designado. Si el riesgo residual sigue siendo alto, hay que consultar a la autoridad de control antes de tratar (art. 36).
Que no sea obligatoria no impide hacerla: muchas organizaciones la aplican de forma simplificada a cualquier tratamiento nuevo, y conviene dejar escrito por qué se decidió que no hacía falta la completa.
Estructura
Campos que debe tener el modelo
- Descripción sistemática del tratamiento y de sus fines
- Interés legítimo perseguido, si es la base jurídica
- Evaluación de necesidad y proporcionalidad
- Riesgos para los derechos y libertades de los interesados
- Medidas previstas: garantías, seguridad y mecanismos de protección
- Opinión del delegado de protección de datos
- Opinión de los interesados, si se recabó
- Riesgo residual y decisión: tratar, cambiar o consultar a la autoridad
- Fecha, aprobación y próxima revisión
Ejemplo
Ejemplo: control horario biométrico en una planta ficticia
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Tratamiento | Registro de jornada con huella dactilar · Conservas Valdemar (ficticia), 140 trabajadores |
| Necesidad | Se compara con tarjeta y aplicación móvil: ambas cumplen la finalidad sin datos biométricos |
| Riesgos | Tratamiento de categorías especiales; filtración irreversible de plantillas biométricas |
| Opinión del DPD | Desaconseja la huella por falta de proporcionalidad |
| Decisión | Se descarta la biometría y se implanta tarjeta con código · 20 de enero de 2026 |
| Revisión | Al proponerse cualquier cambio en el sistema de fichaje |
En la auditoría
Errores que suelen señalar los auditores
- La evaluación se hace después de contratar y desplegar la herramienta.
- Se limita a un cuestionario de seguridad sin analizar necesidad ni proporcionalidad.
- No consta la opinión del delegado de protección de datos.
- No queda escrita la razón por la que un tratamiento de riesgo no necesitó evaluación completa.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1El alta de un tratamiento nuevo pasa por un flujo que pregunta si requiere evaluación de impacto.
- 2La evaluación se documenta como formulario con aprobación del delegado y de la dirección.
- 3Las medidas acordadas se convierten en acciones con responsable, fecha y aviso de retraso.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Cuándo es obligatoria?
Cuando un tratamiento entraña probablemente un alto riesgo para los derechos y libertades de las personas (art. 35.1 RGPD). Las autoridades de control publican listas de tratamientos que la requieren.
¿La hace el encargado?
No: la obligación es del responsable. El encargado le ayuda con la información sobre sus medios y medidas.
Lleva los registros de ISO 27701 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Evaluación de impacto (EIPD)
Cuando un tratamiento entraña un alto riesgo para los derechos de las personas, el RGPD exige realizar una…
Controles para responsables y encargados
El Anexo A reúne los controles de referencia del PIMS para responsables y encargados; el Anexo B, también…
Modelo de registro de actividades de tratamiento ISO 27701
Qué debe recoger el registro de actividades de tratamiento en un PIMS ISO 27701 y en el art. 30 del RGPD…
Modelo de inventario de datos personales ISO 27701
Cómo montar un inventario de datos personales para un PIMS ISO 27701: dónde están los datos, en qué…