ISO 27701 e LGPD/GDPR: como a norma ajuda (e o que ela não substitui)
A ISO 27701 estrutura o SGPI com inventário de tratamentos, papéis controlador/operador, riscos de privacidade e controles auditáveis. Isso apoia LGPD e GDPR, mas não substitui base legal, encarregado ou exigências da ANPD. ISO 27001 cobre segurança da informação; 27701 cobre privacidade em sistema de gestão. Certificação 27701 é evidência voluntária, não selo de conformidade legal.
Resposta direta: A ISO/IEC 27701 ajuda na conformidade com LGPD, GDPR e leis de privacidade sem substituí-las. Ela organiza um Sistema de Gestão de Privacidade da Informação (SGPI) com inventário de tratamentos, papéis de controlador/operador, riscos de privacidade e controles auditáveis. A lei continua definindo bases legais, direitos do titular e sanções; a norma dá método e evidência.
Norma 2025: ISO 27701:2025 · Implementação: como implementar a ISO 27701 · Certificação: certificação ISO 27701 · Segurança da informação: LGPD e ISO 27001.
Como a ISO 27701 ajuda na conformidade com LGPD/GDPR e outras regulamentações de privacidade?
A contribuição da 27701 é estrutural:
- Inventário e registro de tratamentos alinhados à operação (cruza com o que a LGPD exige de transparência e documentação).
- Papéis controlador e operador claros, com contratos e instruções (art. 39 LGPD e cláusulas tipo GDPR).
- Avaliação de risco de privacidade e RIPD/DPIA quando o tratamento exige (27701:2025 reforça foco no titular).
- Direitos do titular com processo, prazo e registro de resposta.
- Incidentes de privacidade com contenção, comunicação e melhoria (complementa segurança da informação da ISO 27001).
- Melhoria contínua via auditoria interna e análise crítica, o que sustenta programas de conformidade no tempo.
O que a norma não faz: escolher base legal por você, cumprir prazos da ANPD no lugar do encarregado ou garantir “conformidade LGPD” como selo legal. Não existe certificação LGPD oficial reconhecida pela ANPD da mesma forma que ISO.
27701, 27001 e LGPD: quem cobre o quê
| Dimensão | LGPD (lei) | ISO 27001 (SGSI) | ISO 27701 (SGPI) |
|---|---|---|---|
| Base legal e finalidade | Exige | Não cobre | Apoia documentação e governança, não substitui jurídico |
| Segurança técnica e organizacional | Art. 46 e seguintes | Cobre amplamente | Reforça via A3 e controles de privacidade |
| Direitos do titular | Exige processo | Parcial (acesso a sistemas) | Controles de controlador (A1) |
| Operadores e subprocessadores | Exige contrato e controle | Fornecedores (segurança) | Controles de operador (A2) |
| Certificação voluntária | Não há selo LGPD ISO-like | Certificável | Certificável (desde 2025 também isolada) |
Programa maduro no Brasil costuma combinar adequação LGPD (jurídico + operação) com 27001 (segurança) e/ou 27701 (privacidade em sistema de gestão). Detalhe da sobreposição 27001/LGPD: LGPD e ISO 27001.
GDPR e outras leis
A 27701 foi desenhada para ser neutra em jurisdição. Para GDPR, os mesmos blocos (registro de tratamentos, DPA, DPIA, titulares, transferência internacional) ganham evidência auditável. A empresa ainda precisa mapear artigos específicos do regulamento europeu e cláusulas contratuais quando houver transferência.
Quando faz sentido certificar na 27701 por causa da LGPD
- Clientes B2B pedem garantias além de política de privacidade (questionários, due diligence).
- Setor regulado ou dados sensíveis em escala (saúde, financeiro, RH).
- Empresa operadora (SaaS, BPO) que precisa demonstrar governança a controladores.
Certificar é voluntário; adequar à LGPD não é. A certificação 27701 é prova auditada de sistema, não isenção de multa.
Próximo passo
Gap de privacidade, implementação e certificação: implementar ISO 27701 · certificar ISO 27701.
Perguntas frequentes
Como a ISO 27701 ajuda na conformidade com LGPD/GPDR e outras regulamentações de privacidade?
Organiza SGPI com tratamentos, papéis, riscos, direitos do titular e incidentes com evidência auditável. Não substitui a lei. Detalhe: resposta neste artigo.
A ISO 27701 resolve a LGPD?
Não sozinha. Aproxima a gestão da privacidade; jurídico e operação da lei continuam obrigatórios. 27701 vs 27001.
Preciso de ISO 27001 e 27701 para LGPD?
A LGPD não exige ISO. 27001 ajuda na segurança (art. 46); 27701 ajuda na gestão de privacidade. LGPD e ISO 27001.
Precisa de consultoria para ISO 27001?
Fale com nosso especialista. Conte o cenário da sua empresa e a gente responde com o caminho até a certificação — sem custo e sem compromisso.
Recebemos seus dados!
Um especialista em ISO 27001 vai entrar em contato pelo WhatsApp que você informou. Se preferir adiantar, responda a esta mesma mensagem quando ele chamar com a sua dúvida principal — a conversa rende mais.
Artigos relacionados
Certificação ISO 27701: critérios, etapas e requisitos
Critérios e etapas para obter a certificação ISO 27701: SGPI, auditoria e relação com ISO 27001.
Como implementar a ISO 27701: passos práticos (médio porte)
Passos práticos para implementar a ISO 27701 em empresa de médio porte: SGPI, controlador, operador, controles e auditoria.
Consultoria ISO 27701: o que faz, o que é seu e como escolher
Consultoria ISO 27701: implantação do SGPI, controlador e operador, LGPD, integração com ISO 27001. Consultoria não emite certificado.
ISO 27701:2025: a norma de privacidade ficou independente da ISO 27001
ISO 27701:2025 virou sistema de gestão independente: fim da exigência da ISO 27001, Anexo A em três tabelas, risco de privacidade dedicado, decisão automatizada e transição até 2028.
Mascaramento de dados na ISO 27001: o controle 8.11, a LGPD e o erro que gera não conformidade
Mascaramento de dados na ISO 27001 (A.8.11): diferença entre mascarar, anonimizar e pseudonimizar, técnicas estática e dinâmica, integridade referencial e por que dado real em teste gera NC.
Controle criptográfico na ISO 27001: política, tamanho de chave e gestão de chaves na prática
Como atender ao controle criptográfico da ISO 27001 (A.8.24): política formal, tamanho mínimo de chave, matriz de algoritmos, gestão e troca segura de chaves e as evidências que o auditor cobra.