Registro de las actividades de tratamiento
1. Los responsables y encargados del tratamiento o, en su caso, sus representantes deberán mantener el registro de actividades de tratamiento al que se refiere el artículo 30 del Reglamento (UE) 2016/679, salvo que sea de aplicación la excepción prevista en su apartado 5. El registro, que podrá organizarse en torno a conjuntos estructurados de datos, deberá especificar, según sus finalidades, las actividades de tratamiento llevadas a cabo y las demás circunstancias establecidas en el citado reglamento. Cuando el responsable o el encargado del tratamiento hubieran designado un delegado de protección de datos deberán comunicarle cualquier adición, modificación o exclusión en el contenido del registro. 2. Los sujetos enumerados en el artículo 77.1 de esta ley orgánica harán público un inventario de sus actividades de tratamiento accesible por medios electrónicos en el que constará la información establecida en el artículo 30 del Reglamento (UE) 2016/679 y su base legal.
Controles del Anexo A de ISO 27001 relacionados2
Los 93 controles del Anexo A de ISO/IEC 27001:2022 tienen la misma numeración y título que ISO/IEC 27002:2022, que aporta la guía de implantación de cada uno. Los derechos de los titulares se cubren con 5.34 y, en detalle, con ISO 27701.
Justificación Técnica
El inventario de activos de información es la base del registro de actividades de tratamiento (art. 31 de la LOPDGDD y art. 30 del RGPD).
Evidencias Sugeridas
Inventario de activos, Registro de actividades de tratamiento
Justificación Técnica
La protección de registros asegura la integridad del registro de actividades de tratamiento y de la documentación de las violaciones.
Evidencias Sugeridas
Controles de integridad de registros, Procedimiento de backup de registros