ABNT NBR ISO/IEC 27701 · Certificamos esta norma
Gestão de Privacidade da Informação
A ISO/IEC 27701 define o PIMS — sistema de gestão de privacidade. Na revisão de 2025 deixou de ser extensão da 27001 e passou a norma autônoma, certificável por si só. Organiza papéis de controlador e operador, bases legais, direitos dos titulares, avaliações de impacto, transferências e resposta a incidentes: a espinha dorsal auditável da conformidade com LGPD e GDPR.
Na auditoria
O que é esperado
- Inventário de tratamentos com finalidades, bases legais e ciclo de vida dos dados;
- Processos para atender direitos dos titulares dentro de prazos definidos;
- Avaliações de impacto (RIPD/DPIA) para tratamentos de alto risco;
- Contratos e controles com operadores e suboperadores;
- Resposta a incidentes de privacidade integrada à comunicação com ANPD e titulares.
Implantação
Dicas úteis para implantar
- Parta do mapeamento de dados que a LGPD já pediu — a norma dá forma de sistema a ele;
- Nomeie e empodere o DPO: a auditoria avalia atuação real, não a nomeação formal;
- Automatize a fila de direitos dos titulares com registro de prazo e resposta;
- Trate privacidade desde a concepção nos projetos (privacy by design documentado);
- Pode ser implantada sozinha ou junto da 27001 — combinadas, respondem segurança e privacidade num só ciclo.
Onde se aplica
Segmentos aplicáveis e recomendados
Qualquer controlador de dados em escala
SaaS e tecnologia
Saúde
Financeiro
RH e folha
Varejo e e-commerce
Educação
Setor público
Diferenciais
O que sua organização ganha
Clientes públicos
Órgãos públicos — grandes controladores de dados de cidadãos — evidenciam conformidade com a LGPD (aplicável ao poder público) e boas práticas ANPD com um sistema auditado, elevando a confiança nos serviços digitais.
Clientes privados
Empresas certificadas transformam a LGPD de risco em ativo comercial: due diligences de privacidade respondidas com selo, vantagem em contratos com multinacionais (GDPR) e defesa robusta em fiscalizações.
Base legal
Legislações e referências sobre o tema
No Brasil
Clique em qualquer bloco para abrir a íntegra da lei ou referência no site oficial (nova aba). As referências indicam normas e políticas públicas que dialogam com o tema — a aplicabilidade a cada organização deve ser avaliada caso a caso.
Dúvidas frequentes
Perguntas sobre a ISO/IEC 27701
Já fizemos projeto de adequação à LGPD. Por que certificar?
Porque adequação é foto; conformidade é filme. O projeto entregou inventário, políticas e processos — mas sem sistema de gestão, tudo isso degrada: novos tratamentos nascem sem avaliação, o inventário desatualiza, a fila de direitos dos titulares perde prazo. O PIMS da 27701 mantém a adequação viva (papéis, rotinas, indicadores, auditorias internas) e a certificação prova, por auditoria independente e periódica, que ela se mantém — evidência que vale em due diligences, contratos e perante a ANPD, onde autodeclaração vale pouco.
Exige a 27001 junto?
Não mais. Até a edição de 2019 a 27701 era formalmente uma extensão da 27001 e só podia ser certificada junto com ela. A revisão de outubro de 2025 tornou a norma autônoma, com as cláusulas 4 a 10 próprias: dá para certificar o sistema de privacidade sem ter 27001. Na prática a combinação continua fazendo sentido, porque não existe privacidade sem segurança da informação por baixo, e quem já tem 27001 aproveita riscos, controles e auditorias. Quem está certificado na versão de 2019 tem até outubro de 2028 para migrar.
Serve para controlador e operador?
Sim — a norma tem anexos de controles específicos para cada papel: o controlador (quem decide finalidades: bases legais, avisos de privacidade, direitos dos titulares, avaliações de impacto) e o operador (quem trata por conta de outrem: instruções documentadas, subcontratados, apoio ao controlador). O certificado indica o(s) papel(is) cobertos — e empresas que exercem os dois (a maioria: controladora dos dados de RH e clientes próprios, operadora nos serviços que presta) certificam ambos no mesmo sistema.
Quanto tempo leva?
Sobre uma 27001 madura, tipicamente 3 a 6 meses: o mapeamento de tratamentos que a LGPD já pediu vira a espinha do PIMS, e os processos de privacidade se encaixam na estrutura existente. Do zero, 8 a 12 meses para o par completo 27001+27701. O que mais influencia: a qualidade do inventário de dados existente, a atuação real do DPO e a quantidade de sistemas legados sem visibilidade sobre dados pessoais. O formulário de orçamento nos permite dimensionar seu caso com precisão.
O DPO precisa ser dedicado exclusivamente?
A LGPD não exige dedicação exclusiva, e a norma tampouco — exigem atuação real. O encarregado pode acumular funções (em estruturas menores é a regra) ou ser terceirizado como serviço, desde que tenha competência demonstrável, acesso à alta direção, recursos para operar a agenda de privacidade e independência nos temas em que houver conflito. A auditoria avalia evidências de atuação: pareceres emitidos, participação em projetos novos (privacy by design), tratamento da fila de titulares e interlocução com a ANPD quando necessária.
O que é o RIPD (DPIA) e quando preciso fazer?
É o Relatório de Impacto à Proteção de Dados: a análise estruturada de um tratamento que pode gerar riscos elevados aos titulares — dados sensíveis em escala, monitoramento sistemático, decisões automatizadas com efeitos relevantes, novas tecnologias. Ele descreve o tratamento, avalia necessidade e proporcionalidade, identifica riscos e define mitigações, com aprovação documentada. No PIMS, o gatilho é automático: todo projeto novo passa por uma triagem de privacidade que decide se exige RIPD completo — assim a avaliação acontece antes do lançamento, não depois do incidente.
Pronto para certificar a ISO/IEC 27701?
Solicite o orçamento com dimensionamento personalizado para o seu escopo.