Modelos y registros · ISO 27701 · Apartado 4.3 y 6.1.2

Modelo de inventario de datos personales ISO 27701

El mapa de dónde viven los datos personales: sistemas, ficheros, copias y proveedores. Sin él, la evaluación de riesgos y la respuesta a una solicitud de supresión se hacen a ciegas.

En una frase

El inventario de datos personales relaciona cada categoría de datos con los sistemas, ubicaciones, copias y proveedores donde se almacena y con quién puede acceder a ella; no es un registro que ISO/IEC 27701 nombre como tal, pero es la base práctica para delimitar el alcance (4.3), evaluar riesgos de privacidad (6.1.2) y localizar los datos de un interesado cuando ejerce un derecho.

Contenido revisado el 17 de octubre de 2026

Dónde lo pide la norma: ISO 27701 · Apartado 4.3 y 6.1.2 Se cita la edición de 2025: los números de 4 a 10 son capítulos; A.1, A.2 y A.3 son las tablas del Anexo A con los controles del responsable, del encargado y comunes a ambos.
Tipo de información: Buena práctica Buena práctica que apoya los apartados 4.3 y 6.1.2
Quién lo rellena: Sistemas, con los responsables de cada tratamiento Sistemas sabe dónde están los datos; el negocio sabe para qué
Cuándo: Al delimitar el alcance y en cada cambio de sistemas Se revisa junto con la evaluación de riesgos
Cuánto se conserva: Mientras exista el tratamiento Es un documento vivo: se actualiza y se guarda la versión anterior para poder enseñar cómo era en cada momento.

Qué pide la norma

Lo que exige ISO 27701 y lo que deja a tu criterio

La norma pide conocer los tratamientos y evaluar sus riesgos, pero no exige un inventario de datos con ese nombre. Lo que sí espera el auditor es que la organización sepa dónde están los datos personales que trata: es imposible justificar un control de acceso o un plazo de supresión sin saberlo.

Muchas organizaciones lo integran en el inventario de activos de ISO/IEC 27001, añadiendo una columna de datos personales. Es una solución válida si distingue categorías de datos y no solo sistemas.

Conviene incluir lo que se olvida: copias de seguridad, exportaciones a hojas de cálculo, buzones compartidos y entornos de pruebas con datos reales.

Léelo en contexto: Contexto y alcance del PIMS, en la Academia de ISO 27701

Estructura

Campos que debe tener el modelo

Categoría de datos personales
Tratamientos del registro de actividades que la usan
Sistema, aplicación o soporte donde se almacena
Ubicación física o región del proveedor
Copias de seguridad y réplicas
Perfiles con acceso
Proveedor o encargado implicado
Plazo de supresión y método de borrado
Propietario del activo

Ejemplo

Ejemplo: datos de candidatos en una consultora ficticia

Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.

Campo	Contenido
Categoría	Currículos y datos de contacto de candidatos
Tratamiento	RAT-07 · Selección de personal
Dónde está	Portal de empleo contratado, buzón seleccion@ y carpeta compartida de RR. HH.
Copias	Copia diaria de la carpeta compartida, retenida 30 días
Acceso	Tres técnicas de selección y la dirección de RR. HH.
Encargado	Proveedor del portal de empleo, servidores en la UE
Supresión	Un año desde el fin del proceso, salvo consentimiento para futuras ofertas · Borrado en portal y carpeta; el buzón se purga cada trimestre
Propietario	Dirección de RR. HH. · Nubaria Consultores (ficticia)

En la auditoría

Errores que suelen señalar los auditores

El inventario lista servidores, pero no qué datos personales contiene cada uno.
Se olvidan las copias de seguridad y las exportaciones a hojas de cálculo.
El entorno de pruebas usa datos reales y no aparece en ningún sitio.
No hay relación entre el inventario y el registro de actividades: dos listas que no cuadran.

En Kimobox

Cómo se lleva este registro en Kimobox

1Las categorías de datos se enlazan con el inventario de activos y con el registro de actividades.
2Cada activo tiene propietario y clasificación, y su revisión queda programada.
3La localización del dato por interesado permite responder a una solicitud de derechos sin buscar a mano.

Preguntas frecuentes

Lo que nos preguntan antes de empezar

¿Es obligatorio?

No como documento con ese nombre. Es la forma práctica de cumplir lo que sí es obligatorio: delimitar el alcance, evaluar riesgos y localizar los datos para atender derechos y suprimirlos a tiempo.

¿Puede ser el mismo inventario de activos de ISO 27001?

Sí, siempre que añada la dimensión de privacidad: qué categorías de datos personales contiene cada activo y para qué tratamientos.

Lleva los registros de ISO 27701 sin plantillas sueltas

Te enseñamos el módulo funcionando con datos parecidos a los tuyos.

Pedir una demo

Sigue explorando