Como implementar a ISO 27701: passos práticos (médio porte)

Implementar a ISO 27701 (SGPI / PIMS) em empresa de médio porte exige mapear tratamentos de dados pessoais, definir papéis de controlador e operador, tratar riscos de privacidade e gerar evidência antes da auditoria de certificação. Desde a ISO/IEC 27701:2025, o projeto pode rodar com ou sem certificação ISO 27001.

Contexto: ISO 27701:2025 · Relação com 27001: 27001 e 27701 · LGPD: ISO 27701 e LGPD/GDPR · Certificação: etapas para certificar.

Respostas diretas: implementar ISO 27701 (médio porte)

• Passos: escopo, inventário de tratamentos, papéis, políticas, risco de privacidade (6.1), controles A1/A2/A3, operação com registro, auditoria interna, organismo. Lista completa.
• Prazo típico: cerca de 6 a 12 meses até certificação, se segurança e inventário já tiverem base.
• ISO 27001 antes? Não é obrigatório desde a 27701:2025. Integrar SGSI e SGPI reduz retrabalho. 27001 e 27701.
• LGPD: SGPI apoia conformidade; não substitui a lei. 27701 e LGPD/GDPR.
• Consultoria: método e evidência; certificado vem do organismo. Consultoria ISO 27701.

Quais são os passos práticos para implementar a ISO 27701 em uma empresa de médio porte?

1. Patrocínio e escopo. A direção define o que entra no SGPI (processos, unidades, tratamentos). Escopo estreito demais gera certificado que não cobre o contrato com o cliente.
2. Diagnóstico de privacidade. Inventário de tratamentos, fluxos, bases legais, retenção, compartilhamentos e transferências. Cruza com o que a LGPD já exige e com contratos ativos.
3. Papéis controlador e operador. Por tratamento, quem decide (controlador) e quem executa em nome de terceiros (operador). Documentar instruções a operadores quando você for controlador.
4. Políticas e governança. Política de privacidade, retenção e descarte, direitos do titular, incidentes de privacidade, comunicação interna. Encarregado (DPO) com mandato claro, se aplicável.
5. Avaliação de risco de privacidade (6.1). Critérios antes dos resultados; foco em direitos e liberdades dos titulares. Relacionar a RIPD/DPIA quando o tratamento exigir.
6. Seleção e implementação de controles. Anexo A: controles de controlador (A1), operador (A2) e requisitos mínimos de segurança (A3). Priorizar o que o risco apontou.
7. Operação e registros. Rodar processos de titular, revisão de operadores, treinamentos, testes de incidente. Gerar histórico antes do organismo.
8. Auditoria interna e análise crítica. Obrigatórias antes da certificação. Ver checklist de auditoria interna (adaptar foco a privacidade).
9. Certificação. Critérios e etapas de certificação ISO 27701.

Controlador, operador e subprocessadores

Em médio porte é comum ser controlador no produto principal e operador em BPO, marketing terceirizado ou TI administrada. A norma exige controles diferentes para cada papel.

• Controlador: finalidade, base legal, transparência, direitos do titular, contratos com operadores, RIPD quando couber.
• Operador: tratar só conforme instruções, confidencialidade, subcontratação controlada, apoio ao controlador em incidentes e titulares.

Mapa mental: um CRM SaaS pode ser operador para o cliente e controlador para dados dos próprios colaboradores. Cada fluxo entra no inventário.

Anexo A da ISO 27701:2025 (A1, A2, A3)

A edição 2025 organiza o Anexo A em três tabelas:

• A1 (controlador): controles orientados a finalidade, consentimento quando aplicável, direitos, transparência.
• A2 (operador): controles para processamento por contrato e limites de uso.
• A3: requisitos mínimos de segurança (referência à ISO 27002) para sustentar a privacidade: acesso, criptografia, logs, backup, desenvolvimento seguro.

Quem certifica só 27701 ainda precisa endereçar A3 na medida do risco. Quem já tem SGSI 27001 reaproveita evidências, mas deve provar o vínculo com o SGPI.

Integração com ISO 27001 (opcional, recomendável)

Desde 2025 a 27701 não exige 27001 certificada. Mesmo assim, integrar costuma encurtar o caminho:

• Incidentes: um fluxo com gatilhos para privacidade e segurança.
• Fornecedores: mesma cadência de avaliação, cláusulas de DPA alinhadas.
• Controles A3: SoA da 27001 como base, SGPI documentando lacunas de privacidade.

Comparativo: ISO 27001 e ISO 27701 · SGSI: como implementar a ISO 27001.

Evidências que o auditor costuma pedir

• Registro de tratamentos atualizado e coerente com a operação.
• Amostras de atendimento a titulares (acesso, correção, eliminação, oposição).
• Contratos e avaliações de operadores críticos.
• Registros de incidente de privacidade (ou exercício documentado).
• Treinamento de privacidade por função e revisão de acessos a dados pessoais.

Erros que atrasam a implementação

• Começar pela política bonita sem inventário de tratamentos.
• Tratar 27701 como “só LGPD em PDF” sem sistema de gestão (auditoria interna, riscos, melhoria).
• Ignorar papel de operador em contratos reais de SaaS ou outsourcing.
• Certificar escopo que não inclui o serviço que o cliente exige.

Próximo passo: consultoria ISO 27701 · consultoria ISO 27001 · Falar com especialista