A ISO/IEC 27701 é a norma internacional para sistemas de gestão de informações de privacidade (PIMS), construída sobre a ISO/IEC 27001. A Privacy Tools organiza os controles, as evidências e as auditorias exigidos para a certificação.
A norma define requisitos e orientações para um sistema de gestão de privacidade, com controles específicos para controladores e operadores de dados pessoais. Fonte oficial: página da norma no site da ISO.
Os principais requisitos da norma são:
O que a norma define e o que a certificação envolve:
Os Diagnósticos e Avaliações medem a aderência a cada controle da norma; a Gestão de Auditorias planeja as auditorias internas e guarda as evidências; a Gestão de Riscos trata os riscos à privacidade com base na ISO 31000.
O Data Mapping mantém o inventário de dados pessoais e finalidades; a Gestão de Consentimentos e a Gestão de Pedidos de Titulares cobrem os controles de consentimento e de direitos; a Gestão de Riscos de Terceiros documenta os operadores.
Diagnósticos com os controles dos anexos A e B
Auditorias internas com evidências e planos de ação
Riscos à privacidade tratados com base na ISO 31000
Inventário de dados pessoais com finalidades e bases legais
Consentimentos e titulares com registros rastreáveis
É a norma internacional para sistemas de gestão de informações de privacidade (PIMS, na sigla em inglês). Ela define como uma organização estrutura, opera e melhora a gestão de dados pessoais, com controles para controladores e operadores. A edição de 2019 é uma extensão da ISO/IEC 27001; a edição de 2025 pode ser certificada de forma independente.
Não. É uma norma voluntária. Ela é adotada para demonstrar a clientes, parceiros e autoridades que o programa de privacidade segue um padrão reconhecido. A LGPD (art. 50) e o GDPR (art. 42) tratam certificações e boas práticas como evidência de conformidade.
Na edição de 2019, sim: a 27701 estende o sistema de gestão da segurança da informação da 27001. Na edição de 2025, o PIMS pode ser certificado de forma independente, embora os controles de segurança continuem sendo exigidos.
A implantação costuma levar de 6 a 12 meses, conforme a maturidade da organização, seguida da auditoria de certificação em duas etapas. O certificado vale por 3 anos, com auditorias de manutenção anuais.
Os Diagnósticos medem a aderência a cada controle, a Gestão de Auditorias guarda as evidências e os planos de ação, e os demais módulos geram os registros que o auditor pede: inventário de dados, consentimentos, pedidos de titulares, incidentes e avaliações de terceiros.
Fale com um de nossos especialistas e veja como organizar os controles e as evidências da norma na plataforma.
