Certificação ISO 27701: critérios, etapas e requisitos

Certificação ISO 27701 comprova que o Sistema de Gestão de Privacidade da Informação (SGPI / PIMS) atende à ISO/IEC 27701, por auditoria de um organismo de certificação acreditado. A consultoria prepara o sistema; quem emite o certificado é o organismo, e por regra de imparcialidade ele não pode ser quem consultou.

Desde a ISO/IEC 27701:2025, a certificação pode ser feita só na 27701 ou integrada ao SGSI da ISO 27001. Implementação: como implementar a ISO 27701 · Norma 2025: ISO 27701:2025 · LGPD: ISO 27701 e conformidade com LGPD/GDPR.

Respostas diretas: certificação ISO 27701

• Critérios: SGPI com escopo, inventário de tratamentos, risco de privacidade, controles Anexo A, operação com registro, auditoria interna e análise crítica.
• Etapas: gap, implantação, operação com histórico, auditoria interna, organismo acreditado (estágios 1 e 2), NCs, certificado e manutenções.
• 27001 obrigatória? Não desde a ISO/IEC 27701:2025. Pode certificar só SGPI ou integrar ao SGSI. O que mudou em 2025.
• Prazo: cerca de 6 a 12 meses na primeira certificação (médio porte), se inventário e controles A3 já tiverem base.
• Custo: dias de auditoria (escopo, sites, controlador/operador, tratamentos) + implantação interna/consultoria. Sem tabela única. Quanto custa ISO 27701.
• Consultoria x certificadora: contratos separados; organismo não consulta quem audita.
• LGPD: certificação SGPI comprova gestão; não substitui conformidade legal. 27701 e LGPD.

Quais são os critérios e etapas para obter a certificação ISO 27701?

1. Implantar o SGPI (escopo, papéis de controlador/operador, inventário de tratamentos, avaliação de risco de privacidade, controles do Anexo A aplicáveis).
2. Operar com registros: direitos do titular, incidentes de privacidade, contratos com operadores, revisões periódicas.
3. Realizar auditoria interna do SGPI e análise crítica pela direção.
4. Contratar organismo acreditado com escopo para ISO/IEC 27701: estágio 1 (documentação e prontidão) e estágio 2 (evidência em operação).
5. Tratar não conformidades, receber certificado e manter o ciclo (manutenções anuais e recertificação, em geral em três anos).

Detalhe de cada bloco abaixo. Passo a passo de implantação: implementar ISO 27701 em médio porte.

Critérios para certificar na ISO 27701

O auditor de certificação verifica um sistema em funcionamento, não um projeto em slide. Antes do estágio 1, a organização precisa ter:

• Escopo do SGPI definido: quais tratamentos de dados pessoais entram, se a empresa atua como controlador, operador ou ambos, e quais unidades/processos estão incluídos.
• Política de privacidade (e políticas correlatas) aprovada pela direção, com controle de versão e comunicação às partes relevantes.
• Inventário ou registro de tratamentos alinhado aos fluxos reais (finalidade, base legal, retenção, compartilhamentos, transferências).
• Avaliação de risco de privacidade conforme a cláusula 6.1 (27701:2025), com critérios definidos antes dos resultados e riscos com dono e tratamento.
• Controles do Anexo A selecionados e implementados para controlador (tabela A1), operador (A2) e, quando couber, requisitos mínimos de segurança (A3).
• Processos operando com evidência: pedidos de titulares atendidos, incidentes registrados, due diligence de operadores, revisão de contratos.
• Pelo menos uma rodada de auditoria interna e de análise crítica concluídas, com registro de decisões.

Quem já tem ISO 27001 certificada reaproveita parte da estrutura (fornecedores, incidentes, acessos), mas o SGPI exige evidência própria de privacidade, não só de segurança da informação.

Etapas da certificação ISO 27701

1. Gap e escopo. Comparar tratamentos e papéis com a norma vigente (2019 ou transição para 2025). Ver o que mudou na 27701:2025.
2. Implantação do SGPI. Documentos, controles e operação conforme o artigo de implementação.
3. Período de operação. Tempo suficiente para gerar histórico (titulares, revisões, incidentes simulados ou reais tratados).
4. Auditoria interna e análise crítica. Requisito normativo; ausência costuma adiar o estágio 1.
5. Contratação do organismo. Confirmar acreditação para ISO/IEC 27701 (não confundir com escopo só de 27001).
6. Estágio 1 e estágio 2. Ver seção abaixo.
7. Certificado e ciclo de manutenção. Manutenções periódicas e recertificação no fim do ciclo típico de três anos.

Estágio 1 e estágio 2: o que muda na prática

No estágio 1, o organismo revisa escopo, contexto, políticas, avaliação de risco de privacidade, seleção de controles e se auditoria interna e análise crítica ocorreram. Saem pontos a corrigir antes ou durante o planejamento do estágio 2.

No estágio 2, o foco é evidência: amostragem de registros de tratamento, atendimento a titulares, contratos com operadores, logs de incidente de privacidade, treinamentos. Controle declarado sem registro amostrável vira não conformidade.

A lógica é a mesma da certificação ISO 27001, com objeto de auditoria voltado a dados pessoais e papéis de controlador/operador.

Certificação só na 27701 ou integrada à ISO 27001

Só 27701: viável desde a edição 2025, indicada quando o driver é privacidade (LGPD, contratos de DPA, setor regulado) e a empresa ainda não precisa de SGSI completo.

Integrada ou combinada: duas certificações ou auditoria combinada quando já existe (ou se deseja) SGSI 27001. Reduz retrabalho em fornecedores, incidentes e governança. Relação entre as normas: ISO 27001 e ISO 27701.

Quanto tempo leva certificar na ISO 27701

Não há prazo único. Depende da maturidade de privacidade (inventário, encarregado, contratos), do tamanho do escopo, da integração com 27001 e da disponibilidade da equipe (jurídico, TI, negócio).

Faixa realista para primeira certificação em médio porte, partindo de base razoável: cerca de 6 a 12 meses até o estágio 2, podendo estender se o inventário de tratamentos ou a operação de controles A3 (segurança mínima) partirem do zero.

O que define o custo da certificação ISO 27701

Em uma frase: o valor do organismo segue principalmente dias de auditoria (escopo, papéis controlador/operador, sites, complexidade dos tratamentos), somado ao custo de implantação (horas internas e, se houver, consultoria).

Fatores que costumam aumentar dias e esforço:

• Muitos tratamentos distintos ou dados sensíveis em escala.
• Papel de operador para vários controladores (contratos e subprocessadores).
• Várias unidades ou países (transferência internacional).
• SGPI integrado ao SGSI 27001 (dois escopos ou auditoria combinada).

Não existe tabela fixa em reais válida para todas as empresas. Peça orçamento do ciclo de três anos, não só da auditoria inicial.

Consultoria e certificação: contas separadas

O organismo que certifica não pode prestar consultoria ao mesmo cliente para a mesma norma. A Templum Consultoria apoia diagnóstico, SGPI e preparação para auditoria; o certificado é emitido por terceiro acreditado.

Segurança da informação: certificação ISO 27001 · consultoria ISO 27001.

Consultoria ISO 27701 · Solicitar proposta · Falar com especialista