A ISO/IEC 27018 estabelece controles para provedores de nuvem pública que processam dados pessoais (PII) por conta de seus clientes: consentimento e finalidade, transparência sobre subcontratados e localização, devolução e eliminação de dados, notificação de incidentes e limites ao uso para marketing.
O que a auditoria espera encontrar
- Tratamento de PII restrito às instruções do cliente, sem uso próprio (ex.: publicidade);
- Transparência sobre subcontratados, países de processamento e solicitações de autoridades;
- Mecanismos de devolução, transferência e eliminação segura de PII;
- Notificação tempestiva de incidentes envolvendo dados pessoais;
- Criptografia, controle de acesso e registros específicos para PII.
Erro comum na implantação
Mapeie onde há PII nos seus serviços de nuvem — inclusive logs e backups;
Vale lembrar: a norma exige o que faz sentido para o porte e a complexidade da operação — sistema inchado costuma ser fragilidade, não virtude.
Dicas de quem certifica
- Mapeie onde há PII nos seus serviços de nuvem — inclusive logs e backups;
- Formalize em contrato o papel de operador e as instruções do cliente controlador;
- Publique a lista de subcontratados e localizações — transparência é requisito e argumento de venda;
- Prepare o fluxo de resposta a incidentes com foco em prazos de notificação;
- Implemente junto com 27001 + 27017; para o sistema de privacidade completo, avalie a 27701.
Para quem é
Provedores SaaS B2B, Plataformas de RH e folha, Healthtechs, Edtechs, Fintechs, CRMs e martech — entre outros segmentos. Provedores certificados viram a resposta pronta ao anexo de proteção de dados dos contratos corporativos: operador confiável, com PII sob instruções do cliente e incidentes tratados com transparência.
No setor público
Fornecedores de nuvem para o setor público comprovam tratamento de dados de cidadãos sob controles reconhecidos internacionalmente — resposta direta às exigências de proteção de dados nas contratações públicas de TIC.
Dúvidas frequentes
Somos um SaaS pequeno. Vale a pena?
Se o seu produto processa dados pessoais de clientes corporativos, provavelmente sim — porque o custo de não ter está no seu funil de vendas: cada cliente grande manda um questionário de privacidade diferente, e cada resposta consome dias do seu time técnico. A 27018 responde de uma vez o que todos perguntam: onde os dados ficam, quem são os subcontratados, como são devolvidos e eliminados, como incidentes são comunicados. Para um SaaS em crescimento, é das certificações com retorno comercial mais direto.
É uma certificação separada da 27001?
Na prática, não — a 27018 é um conjunto de controles que se implementa e audita como extensão da 27001, num único ciclo. O caminho típico de um provedor de nuvem: sistema 27001 como base, controles 27017 (segurança de nuvem) e 27018 (PII) incorporados ao escopo e à Declaração de Aplicabilidade. O resultado é uma auditoria só, um ciclo de manutenção só e um conjunto de certificados que conta a história completa: gestão segura de nuvem com proteção específica de dados pessoais.
Cobre transferência internacional de dados?
Sim — este é um dos pontos onde a norma mais entrega. Ela exige transparência sobre os países onde a PII é processada e sobre toda a cadeia de subcontratados, além de salvaguardas técnicas (criptografia, controle de acesso) que sustentam os mecanismos legais de transferência. Com a regulamentação de transferências internacionais da ANPD em vigor, essa transparência estruturada deixa de ser cortesia e vira insumo direto da conformidade — sua e dos seus clientes controladores.
Qual a diferença para a 27701?
Escopo e natureza. A 27018 é um conjunto de controles com foco preciso: proteger PII que você processa em nuvem pública por conta dos seus clientes — ideal para provedores no papel de operador. A 27701 é maior: um sistema de gestão de privacidade completo (PIMS), cobrindo os papéis de controlador e operador, bases legais, direitos dos titulares, avaliações de impacto e governança. Muitos provedores começam pela 27018 (resolve a dor comercial imediata) e evoluem para a 27701 quando a privacidade se torna central no negócio.
Base legal e referências
- LGPD (Lei nº 13.709/2018) — deveres do operador, segurança e comunicação de incidentes à ANPD;
- Regulamento de comunicação de incidentes da ANPD (Resolução CD/ANPD nº 15/2024) — prazos e critérios que o processo certificado ajuda a cumprir;
- Marco Civil da Internet — guarda e proteção de registros.
- GDPR (UE) — obrigações de processors (art. 28) espelhadas nos controles da norma;
- Cláusulas Contratuais Padrão (SCCs) da UE — transferências internacionais suportadas por medidas técnicas verificáveis.
- Normatizas — guia completo da ISO/IEC 27018
Veja também o treinamento relacionado na nossa Plataforma de Educação.
E a Normatizas com isso?
Somos credenciados pelo Inmetro (Cgcre) e pelo IPA/IBA (Procert), com auditores experientes em compliance e sistemas de gestão, sigilo integral e atendimento em todo o país. Certificamos a ISO/IEC 27018 — proteção de dados pessoais em nuvem pública.
Nota da equipe técnica
Quem audita passa o dia vendo a distância entre o que está escrito e o que acontece — é dessa distância que tratam quase todos os nossos textos.
— Equipe técnica da Normatizas Certificadora
Quer saber quanto custa e quanto tempo leva certificar a sua organização? O orçamento já vem com o dimensionamento da auditoria.