ISO 27701: o que muda em 2025 e como se preparar

A ISO 27701 ajuda a estruturar a gestão de privacidade, mas a decisão de investir nela exige mais do que contratar uma auditoria. A empresa precisa saber quais operações pretende abranger, quem sustentará os controles e qual problema espera resolver: organizar responsabilidades, atender exigências de clientes ou preparar uma avaliação independente.

A edição de 2025 traz uma mudança importante para essa análise: a norma passa a ser apresentada pela ISO como um sistema de gestão independente. Isso não transforma certificação em comprovação automática de adequação à LGPD. O caminho começa pela distinção entre organizar a operação, avaliar requisitos normativos e analisar obrigações jurídicas.

Para que serve a ISO 27701

Segundo a apresentação oficial da edição de 2025, a norma estabelece requisitos e orientações para criar, implementar, manter e melhorar continuamente um sistema de gestão de informações de privacidade. A sigla internacional PIMS designa esse sistema: uma estrutura para administrar o tratamento de dados pessoais com responsabilidades e processos definidos.

Seu público inclui organizações que atuam como controladoras ou operadoras. Na prática, a gestão precisa conectar decisões sobre dados a quem as executa. Uma política aprovada perde utilidade se o atendimento desconhece o procedimento para solicitações de titulares ou se compras contrata fornecedores sem avaliar o tratamento envolvido.

Adotar a ISO 27701 pode oferecer uma referência para organizar esse trabalho. O valor depende de controles executáveis, registros verificáveis e correções acompanhadas pela liderança, não apenas de uma coleção de documentos preparados para apresentação externa.

O que mudou da edição de 2019 para a de 2025

A descrição pública da edição de 2019 a caracteriza como uma extensão das normas ISO/IEC 27001 e ISO/IEC 27002 para gestão da privacidade. O catálogo informa que essa edição foi revisada pela publicação de 2025. A página atual, por sua vez, afirma expressamente que o sistema pode ser utilizado de forma independente.

A edição de 2025 da ISO 27701 permite, portanto, discutir a organização da gestão de privacidade sem tratá-la conceitualmente apenas como extensão da gestão de segurança. Isso não torna segurança dispensável: decisões sobre acesso, armazenamento, fornecedores e resposta a incidentes continuam relevantes para proteger dados pessoais.

Para projetos de ISO 27701, essa mudança deve motivar uma revisão do planejamento, não a reprodução automática de materiais de 2019. Este artigo utiliza as descrições públicas oficiais; o texto integral pago da norma não foi consultado. Por isso, não apresenta comparação exaustiva de cláusulas, requisitos específicos de certificação ou prazo de transição. Quem já possui certificado deve confirmar com o organismo responsável a edição aplicável e as condições documentadas para seu caso.

Norma, certificação e LGPD respondem a perguntas diferentes

A ISO 27701 pode apoiar a organização de práticas de privacidade, mas não substitui a análise jurídica de cada tratamento. A LGPD, em seu artigo 6º, inciso X, exige responsabilização e prestação de contas, incluindo demonstração de medidas eficazes. Um certificado, isoladamente, não responde se determinada coleta tem fundamento legal ou respeita sua finalidade.

Instrumento	Pergunta principal	Limite relevante
Programa de gestão	Como a organização decide, executa e melhora suas práticas?	Documentos sem execução não demonstram funcionamento.
Certificação	O sistema avaliado atende aos critérios aplicáveis dentro do escopo declarado?	O alcance da avaliação não deve ser generalizado para toda atividade da empresa.
Análise jurídica	O tratamento observado atende às obrigações aplicáveis?	Depende dos fatos, das finalidades e do contexto de cada operação.

O artigo 46 da LGPD prevê medidas técnicas e administrativas de segurança. Já o artigo 50 admite regras de boas práticas e governança. Esses dispositivos não impõem essa certificação como condição geral de conformidade nem a transformam em aprovação da ANPD.

O investimento em ISO 27701 deve ser apresentado à direção com essa separação: a avaliação do sistema é uma iniciativa de gestão, enquanto o acompanhamento das obrigações legais precisa continuar.

Como definir um escopo útil para o negócio

Um projeto de ISO 27701 começa pela delimitação das atividades que serão organizadas e avaliadas. Como recomendação de preparação, descreva serviços, unidades, equipes, categorias de dados, sistemas e fornecedores envolvidos. Registre também quando a empresa decide sobre o tratamento e quando atua em nome de clientes.

Em um exemplo hipotético, uma empresa de software pretende preparar a operação de sua plataforma corporativa. A descrição do escopo precisa considerar suporte, hospedagem, acesso de técnicos e integrações necessárias ao serviço. Excluir uma equipe do desenho administrativo não elimina sua influência sobre os dados processados na plataforma.

Também pode haver atividades fora desse recorte, como recrutamento interno. Elas continuam sujeitas às obrigações legais pertinentes. Por isso, a comunicação comercial deve reproduzir os limites efetivamente avaliados, evitando sugerir cobertura universal de produtos, empresas do grupo ou processos.

Usar a ISO 27701 como referência exige atenção às dependências do serviço escolhido. Um escopo excessivamente amplo pode diluir recursos; um recorte estreito demais pode deixar de fora justamente as operações relevantes para o cliente que solicitou a certificação. Valide essa utilidade antes de contratar a avaliação.

Como decidir se o investimento faz sentido agora

Antes de aprovar a ISO 27701 no orçamento, a liderança deve formular uma hipótese verificável de valor. Se a motivação é uma contratação, confirme qual evidência o cliente espera, qual serviço precisa estar coberto e se existe exigência contratual específica. Não confunda uma pergunta em questionário comercial com obrigação de obter certificado.

Avalie também a capacidade interna. Há responsáveis disponíveis para corrigir processos? O inventário de dados representa a operação atual? Existem recursos para manter controles depois da auditoria? Sem essas condições, pode ser mais adequado organizar primeiro o programa de governança em privacidade.

Compare propostas separando diagnóstico, implementação, treinamento e avaliação externa. Custos e duração dependem do escopo, da maturidade e das condições contratadas. Solicite premissas explícitas e entregáveis verificáveis, sem tratar uma estimativa comercial como garantia de aprovação.

Evidências e responsáveis: uma matriz de preparação

Na preparação para a ISO 27701, a matriz abaixo funciona como recomendação operacional. Ela não reproduz cláusulas da norma nem constitui lista completa de requisitos. Seu objetivo é evitar que a privacidade concentre tarefas cuja execução pertence a outras áreas.

Frente	Responsável sugerido	Evidência a organizar	Verificação prática
Escopo e prioridades	Direção e liderança de privacidade	Decisões aprovadas, recursos e limites documentados	As áreas conhecem o que está incluído?
Fluxos de dados	Donos dos processos e privacidade	Inventário com finalidades, sistemas e compartilhamentos	Uma amostra corresponde à operação real?
Fornecedores	Compras, jurídico e segurança	Avaliações, contratos e registro de pendências	Mudanças no serviço provocam reavaliação?
Acessos e proteção	Tecnologia e segurança	Autorizações, revisões e registros de testes	O desligamento de uma pessoa remove seus acessos?
Direitos e incidentes	Atendimento, privacidade e áreas técnicas	Procedimentos, registros de casos e exercícios	A equipe consegue localizar dados e acionar responsáveis?
Melhoria contínua	Gestores e direção	Ações corretivas com responsáveis e acompanhamento	A correção foi testada depois de implementada?

Uma evidência útil conecta regra, execução e resultado observado. Para revisão de acessos, por exemplo, a política explica o critério; o registro mostra quem avaliou; a correção comprova o tratamento de uma permissão indevida. Defina armazenamento, acesso e retenção desses registros, pois eles próprios podem conter dados pessoais.

Preparação, auditoria e continuidade

Diagnóstico com decisões priorizadas

O diagnóstico para a ISO 27701 deve confrontar a realidade do escopo com a edição aplicável da norma, consultada por profissionais qualificados. Diferencie ausência de documento, falha de execução e dúvida jurídica. Cada uma demanda resposta distinta: escrever um procedimento não resolve um sistema incapaz de localizar dados de um titular.

Ordene as ações pela relevância do risco, dependências e impacto operacional. A direção deve saber quais decisões exigem recursos, quais bloqueiam outras correções e quais dependem de esclarecimento jurídico. Registre o critério usado para priorizar, em vez de manter uma lista indistinta de pendências.

Testes antes da avaliação externa

Prepare a auditoria da ISO 27701 com verificações internas e amostras representativas, conforme os critérios aplicáveis. Peça às equipes que demonstrem processos reais e expliquem exceções. A leitura de um procedimento em reunião não comprova que ele funciona no atendimento, no produto ou na relação com fornecedores.

Selecione o organismo avaliador com diligência: confirme competência, condições do serviço, critérios, escopo proposto e reconhecimento necessário para o objetivo comercial. A preparação não equivale à aprovação. Separe a atuação de quem ajuda a implementar controles da decisão independente de certificação.

Rotina depois da auditoria

O trabalho com a ISO 27701 continua quando surgem produtos, fornecedores ou finalidades de tratamento. Defina eventos que provocam revisão, responsáveis por acompanhar mudanças e indicadores úteis, como ações vencidas e reincidência de falhas. Evite medir maturidade apenas pelo número de políticas publicadas.

Privacidade e proteção técnica precisam conversar. A explicação sobre segurança da informação e proteção dos ativos ajuda a situar essa integração, sem reduzir a gestão de privacidade à tecnologia. Também importam decisões sobre necessidade da coleta, transparência e relacionamento com titulares.

Como a TOGETHER pode apoiar a preparação

A preparação para a ISO 27701 pode ser conectada às rotinas de privacidade que a empresa já mantém. A consultoria em LGPD da TOGETHER pode apoiar mapeamento de tratamentos, revisão de fornecedores, organização de responsabilidades e priorização de lacunas, respeitando os limites do projeto e a necessidade de análise especializada.

Com DPO as a Service, o apoio contínuo pode conectar dúvidas das áreas, atendimento a titulares e acompanhamento de planos de ação. A proposta é sustentar decisões e evidências ao longo do tempo, sem apresentar a TOGETHER como organismo certificador ou prometer resultado de auditoria.

Para avaliar a ISO 27701 na sua operação, leve à conversa o serviço pretendido, a motivação comercial e os principais pontos de dificuldade. Esse material permite discutir um diagnóstico com entregas definidas, sem confundir preparação, certificação e conformidade jurídica.