ISO/IEC 27701
Até 2019 esta norma era uma extensão, e ninguém certificava privacidade sem antes construir um sistema de gestão de segurança inteiro. A revisão de outubro de 2025 acabou com essa exigência. Para quem já trata dado pessoal com seriedade e precisa provar isso a um cliente ou a um regulador, o caminho encurtou de forma significativa.
A DM11 prepara a sua empresa e conduz a implementação. Quem audita e emite o certificado é um organismo de certificação acreditado, contratado por você. A norma trata de gestão de privacidade e não substitui assessoria jurídica sobre a LGPD: as duas coisas se complementam, e a DM11 tem especialistas em direito digital no time.
Quem conduz a implementação
Especialistas em proteção de dados certificados pela EXIN (DPO, PDPP e PDPF)
ISO/IEC 27001 Lead Auditor certificado pela BSI
Consultoria jurídica em privacidade e proteção de dados
17 anos de governança, riscos e conformidades
O QUE MUDOU, E POR QUE IMPORTA
A ISO/IEC 27701 define os requisitos de um sistema de gestão de privacidade da informação. Ela organiza como a empresa decide o que pode fazer com dado pessoal, quem responde por cada decisão e como isso é provado ao longo do tempo. Na revisão publicada em 14 de outubro de 2025 ela deixou de ser um apêndice da segurança e passou a existir por conta própria.
Essa é a mudança que reescreve o orçamento. Na versão de 2019, certificar privacidade obrigava a ter ou construir o sistema de gestão de segurança inteiro antes. Agora a norma é autônoma, e uma empresa pode certificar privacidade sem passar pela 27001. Se você recebeu proposta recente dizendo o contrário, ela foi escrita sobre a versão antiga.
A revisão adotou a estrutura harmonizada de cláusulas 4 a 10, a mesma da ISO 27001 e da ISO/IEC 42001, de governança de IA. Na prática, quem já opera uma dessas reaproveita contexto, liderança, planejamento e análise crítica em vez de manter três sistemas paralelos.
O Anexo A separa os controles por papel: um conjunto para quem é controlador, outro para quem é operador, e um bloco que vale para os dois. Definir o seu papel em cada tratamento é a primeira decisão do projeto, e é a que mais muda o tamanho do trabalho. Muita empresa é controladora num fluxo e operadora em outro.
A norma traz anexos que ligam os controles ao GDPR e a outras referências de privacidade, incluindo a versão de 2019 para quem precisa migrar. É o que torna a certificação útil como resposta a cliente europeu, e é também o que economiza trabalho de quem já organizou a casa para a LGPD.
QUEM COSTUMA PRECISAR
A LGPD já obriga, e ninguém certifica LGPD. A ISO 27701 entra quando é preciso provar a terceiros que a obrigação está sendo cumprida com método.
Contrato com empresa da União Europeia costuma exigir garantias sobre tratamento de dado pessoal. Um certificado reconhecido internacionalmente responde isso melhor do que um dossiê montado às pressas, e responde uma vez para todos os clientes em vez de um por um.
Quem processa dado por conta de outra empresa recebe questionário de privacidade de cada cliente, em formato diferente. O certificado troca essa fila por um documento só, e o conjunto de controles de operador já foi desenhado para esse papel.
Fiscalização, incidente comunicado ou um setor que passou a ser prioridade. Um sistema de gestão de privacidade em funcionamento é a diferença entre demonstrar diligência com documento datado e tentar reconstruir a história depois que a pergunta chegou.
HISTÓRIAS
Trocamos os nomes dos clientes com o mesmo sigilo que vai proteger a sua empresa depois. Os nomes mudam, o padrão dos problemas se repete. Quando o cliente autoriza, mostramos referências com nome numa conversa.
Serviços de folha e benefícios
A empresa processava dado pessoal de milhares de funcionários dos clientes dela e tratava tudo como se fosse dado próprio. Os contratos não diziam quem respondia pelo quê, e um cliente grande abriu uma auditoria de privacidade que a empresa não tinha como responder.
Começamos separando os papéis fluxo a fluxo: onde ela era controladora e onde era operadora. Essa distinção mudou o desenho inteiro do programa e boa parte das cláusulas contratuais. Depois vieram o inventário de tratamentos, as bases legais e os controles do bloco de operador.
A auditoria do cliente foi respondida com documento em vez de reunião. E a empresa passou a usar o mesmo material comercialmente, porque o papel de operador ficou claro no contrato e parou de gerar discussão em cada renovação.
Tecnologia, atendimento à Europa
A empresa havia feito um projeto de adequação à LGPD dois anos antes, com bom resultado e nenhuma manutenção. Quando um cliente europeu pediu evidência de tratamento adequado, o que existia era um relatório desatualizado e a memória de quem participou.
Aproveitamos o que o projeto anterior tinha deixado, que era mais do que a diretoria imaginava, e o que faltava era justamente o sistema de gestão: quem revisa, quando, com qual registro. Estruturamos isso e mapeamos os controles contra o GDPR usando os anexos da própria norma.
A empresa saiu com um sistema que se mantém sozinho e com o mapeamento pronto para responder cliente europeu. O projeto anterior deixou de ser um custo perdido e virou a base do novo.
Saúde suplementar
A operação lidava com informação de saúde, que a LGPD trata como dado pessoal sensível, e aplicava a ela os mesmos controles do resto. Não havia intenção de errar: ninguém tinha feito a distinção no papel, então ela não existia na prática.
Classificamos os tratamentos por natureza do dado e reforçamos onde a lei pede mais: base legal específica, controle de acesso mais restrito, registro de quem consulta o quê e prazo de retenção definido por tipo de informação.
A diferença apareceu no controle de acesso: dezenas de pessoas tinham alcance a prontuário sem necessidade funcional, e ninguém sabia porque não havia registro. Depois do projeto, o acesso passou a ser justificado, registrado e revisado.
COMO CONDUZIMOS
A metodologia é a mesma que usamos na ISO 27001, adaptada ao que a privacidade tem de próprio: o papel em cada tratamento, a base legal e o direito do titular. Conduzida por especialista externo, com um ponto focal do seu time, e avaliação binária de cada requisito, sem nota subjetiva que ninguém defende na auditoria.
Definimos o escopo e os limites do sistema de gestão (cláusula 4), engajamos a direção e constituímos a governança de privacidade (cláusula 5). Em paralelo, mapeamos os tratamentos de dado pessoal e definimos, tratamento a tratamento, se a empresa é controladora ou operadora.
Escopo e limites do sistema de gestão homologados
Inventário de tratamentos de dado pessoal
Papel definido por tratamento: controlador ou operador
Governança de privacidade constituída, com o encarregado formalizado
Marco de entregaInventário de tratamentos aprovado e papel definido em 100% dos fluxos mapeados.
Executamos a análise de lacunas frente às cláusulas 6 e 7, registramos a base legal de cada tratamento e avaliamos os riscos à privacidade dos titulares, que não são os mesmos riscos da segurança da informação. Onde a lei pede, produzimos o relatório de impacto.
Base legal registrada para cada tratamento
Avaliação de riscos à privacidade dos titulares
Relatório de impacto à proteção de dados, onde aplicável
Plano de tratamento e declaração de aplicabilidade dos controles
Marco de entregaBases legais aprovadas pelo jurídico e plano de tratamento homologado pela direção.
Implantamos os controles do Anexo A que correspondem ao papel da empresa, com o bloco compartilhado servindo aos dois. É a fase em que o atendimento ao titular deixa de ser improviso: prazo, canal, registro e resposta padronizada, além de retenção e descarte definidos por tipo de dado.
Controles de controlador, de operador ou ambos, conforme o papel
Processo de atendimento ao titular, com prazo e registro
Política de retenção e descarte por tipo de dado
Cláusulas de privacidade revisadas nos contratos com terceiros
Marco de entregaPrimeiro ciclo de pedidos de titular atendido dentro do prazo e com registro completo.
Executamos a auditoria interna (cláusula 9) com consultor independente de quem implantou, conduzimos a análise crítica pela direção e tratamos os desvios (cláusula 10). Consolidamos as evidências e acompanhamos as duas fases da auditoria externa.
Auditoria interna conduzida por consultor independente
Análise crítica pela direção, com desvios tratados
Repositório de evidências de privacidade consolidado
Acompanhamento nas fases 1 e 2 da auditoria externa
Marco de entregaAuditoria de certificação concluída e certificado emitido pelo organismo acreditado.
QUANTO TEMPO LEVA
Não publicamos prazo padrão, porque prazo publicado vira promessa. Nesta norma a variação é ainda maior que na ISO 27001, e por um motivo específico: empresa que já fez adequação à LGPD com método chega com metade do caminho andado, e empresa que fez um projeto de papel chega praticamente do zero. A primeira conversa já separa os dois casos.
Inventário de tratamentos atualizado e bases legais registradas encurtam meses. Relatório de dois anos atrás que ninguém manteve costuma valer menos do que parece, e é honesto dizer isso antes de começar.
Ser só controladora é o caminho mais curto. Acumular os dois papéis em fluxos diferentes multiplica os controles aplicáveis e as cláusulas contratuais a revisar.
Com ISO 27001 ou ISO 42001 em operação, as cláusulas 4 a 10 são as mesmas e boa parte do trabalho de governança já está feita. Sem nenhum, essa base precisa ser construída, e agora ela pode ser construída direto na 27701.
OS PAPÉIS SÃO SEPARADOS
Como em toda norma certificável, quem emite o certificado é um organismo acreditado contratado por você, nunca a DM11, e a auditoria interna da cláusula 9 é conduzida por quem não implantou. Há uma segunda separação aqui: a norma trata de gestão, e não substitui assessoria jurídica sobre a LGPD. Os dois lados precisam conversar, e o projeto é conduzido com especialista em direito digital ao lado do especialista em gestão.
A DM11 prepara, implanta e acompanha. Não emite certificado
Você contrata o organismo de certificação, e a escolha é sua
A auditoria interna da cláusula 9 é feita por quem não implantou
A norma organiza a gestão; a interpretação da lei fica com o jurídico
PERGUNTAS FREQUENTES
As dúvidas que aparecem em quase toda primeira reunião, respondidas sem rodeio.
Não, e essa é a novidade que muda o cálculo. Até a versão de 2019 a 27701 era uma extensão e não se certificava sem a 27001 implantada. A revisão publicada em 14 de outubro de 2025 tornou a norma autônoma: ela não depende mais da implementação da 27001 nem da 27002. Se você recebeu proposta afirmando o contrário, ela foi escrita sobre a versão anterior. Ter a 27001 continua ajudando bastante, porque as cláusulas 4 a 10 são as mesmas, mas deixou de ser pré-requisito.
Na primeira conversa olhamos o que existe de inventário, base legal e processo de atendimento ao titular, e dizemos com honestidade se o caminho é curto ou longo.