A ISO/IEC 27701 define o PIMS — sistema de gestão de privacidade. Na revisão de 2025 deixou de ser extensão da 27001 e passou a norma autônoma, certificável por si só. Organiza papéis de controlador e operador, bases legais, direitos dos titulares, avaliações de impacto, transferências e resposta a incidentes: a espinha dorsal auditável da conformidade com LGPD e GDPR.
O que a auditoria espera encontrar
- Inventário de tratamentos com finalidades, bases legais e ciclo de vida dos dados;
- Processos para atender direitos dos titulares dentro de prazos definidos;
- Avaliações de impacto (RIPD/DPIA) para tratamentos de alto risco;
- Contratos e controles com operadores e suboperadores;
- Resposta a incidentes de privacidade integrada à comunicação com ANPD e titulares.
Erro comum na implantação
Parta do mapeamento de dados que a LGPD já pediu — a norma dá forma de sistema a ele;
Vale lembrar: a norma exige o que faz sentido para o porte e a complexidade da operação — sistema inchado costuma ser fragilidade, não virtude.
Dicas de quem certifica
- Parta do mapeamento de dados que a LGPD já pediu — a norma dá forma de sistema a ele;
- Nomeie e empodere o DPO: a auditoria avalia atuação real, não a nomeação formal;
- Automatize a fila de direitos dos titulares com registro de prazo e resposta;
- Trate privacidade desde a concepção nos projetos (privacy by design documentado);
- Pode ser implantada sozinha ou junto da 27001 — combinadas, respondem segurança e privacidade num só ciclo.
Para quem é
Qualquer controlador de dados em escala, SaaS e tecnologia, Saúde, Financeiro, RH e folha, Varejo e e-commerce — entre outros segmentos. Empresas certificadas transformam a LGPD de risco em ativo comercial: due diligences de privacidade respondidas com selo, vantagem em contratos com multinacionais (GDPR) e defesa robusta em fiscalizações.
No setor público
Órgãos públicos — grandes controladores de dados de cidadãos — evidenciam conformidade com a LGPD (aplicável ao poder público) e boas práticas ANPD com um sistema auditado, elevando a confiança nos serviços digitais.
Dúvidas frequentes
Já fizemos projeto de adequação à LGPD. Por que certificar?
Porque adequação é foto; conformidade é filme. O projeto entregou inventário, políticas e processos — mas sem sistema de gestão, tudo isso degrada: novos tratamentos nascem sem avaliação, o inventário desatualiza, a fila de direitos dos titulares perde prazo. O PIMS da 27701 mantém a adequação viva (papéis, rotinas, indicadores, auditorias internas) e a certificação prova, por auditoria independente e periódica, que ela se mantém — evidência que vale em due diligences, contratos e perante a ANPD, onde autodeclaração vale pouco.
Exige a 27001 junto?
Não mais. Até a edição de 2019 a 27701 era formalmente uma extensão da 27001 e só podia ser certificada junto com ela. A revisão de outubro de 2025 tornou a norma autônoma, com as cláusulas 4 a 10 próprias: dá para certificar o sistema de privacidade sem ter 27001. Na prática a combinação continua fazendo sentido, porque não existe privacidade sem segurança da informação por baixo, e quem já tem 27001 aproveita riscos, controles e auditorias. Quem está certificado na versão de 2019 tem até outubro de 2028 para migrar.
Serve para controlador e operador?
Sim — a norma tem anexos de controles específicos para cada papel: o controlador (quem decide finalidades: bases legais, avisos de privacidade, direitos dos titulares, avaliações de impacto) e o operador (quem trata por conta de outrem: instruções documentadas, subcontratados, apoio ao controlador). O certificado indica o(s) papel(is) cobertos — e empresas que exercem os dois (a maioria: controladora dos dados de RH e clientes próprios, operadora nos serviços que presta) certificam ambos no mesmo sistema.
Quanto tempo leva?
Sobre uma 27001 madura, tipicamente 3 a 6 meses: o mapeamento de tratamentos que a LGPD já pediu vira a espinha do PIMS, e os processos de privacidade se encaixam na estrutura existente. Do zero, 8 a 12 meses para o par completo 27001+27701. O que mais influencia: a qualidade do inventário de dados existente, a atuação real do DPO e a quantidade de sistemas legados sem visibilidade sobre dados pessoais. O formulário de orçamento nos permite dimensionar seu caso com precisão.
Base legal e referências
- LGPD (Lei nº 13.709/2018) — o PIMS materializa governança, direitos e segurança exigidos pela lei;
- Regulamentos da ANPD — dosimetria de sanções, comunicação de incidentes e agentes de pequeno porte;
- Boas práticas e governança (art. 50 da LGPD) — programas que a certificação evidencia formalmente.
- GDPR (UE) — accountability, DPIAs, direitos e transferências: mapeados nos controles da 27701;
- Convenção 108+ do Conselho da Europa — padrão internacional de proteção de dados.
- Normatizas — guia completo da ISO/IEC 27701
Veja também o treinamento relacionado na nossa Plataforma de Educação.
E a Normatizas com isso?
Do dimensionamento da auditoria à decisão de certificação, o processo é transparente e segue as regras internacionais (IAF MD 5 para cálculo de dias de auditoria). Certificamos a ISO/IEC 27701 — gestão de privacidade da informação.
Nota da equipe técnica
Certificação não é selo de parede: é a evidência, renovada ano após ano, de que a gestão continua funcionando quando ninguém está olhando.
— Equipe técnica da Normatizas Certificadora
Quer saber quanto custa e quanto tempo leva certificar a sua organização? O orçamento já vem com o dimensionamento da auditoria.