Frameworks – ISO 27701: o que a plataforma cobre
A ISO 27701 é a extensão de privacidade da ISO 27001. Ela acrescenta à gestão de segurança da informação o que é necessário para tratar dados pessoais de forma responsável.
Ela não vem sozinha
Este é o ponto mais importante sobre esta norma: a ISO 27701 pressupõe a ISO 27001. Ela não é uma alternativa, é um acréscimo.
Na prática, isso significa que habilitar a 27701 sem ter trabalhado a 27001 gera uma lista de pendências que não faz sentido isolada. O caminho normal é ISO 27001 primeiro, 27701 depois.
A boa notícia é que a sobreposição é grande. O catálogo mostra o percentual já coberto pelos seus frameworks existentes antes de você habilitar, e para quem já tem a 27001 esse número costuma ser alto.
Para quem serve
Para empresas que já têm, ou pretendem ter, a certificação de segurança da informação e precisam demonstrar também governança de privacidade.
Os sinais:
- Clientes ou parceiros perguntam sobre tratamento de dados pessoais em questionários.
- A empresa atua como operadora de dados de terceiros e precisa demonstrar isso contratualmente.
- A empresa quer uma certificação reconhecida internacionalmente que fale de privacidade, e não apenas cumprir a legislação local.
A diferença em relação à LGPD
As duas tratam de dados pessoais e não são a mesma coisa:
| LGPD | ISO 27701 | |
|---|---|---|
| O que é | Lei brasileira. Obrigatória | Norma internacional. Voluntária, certificável |
| O que exige | Conformidade legal | Um sistema de gestão de privacidade |
| Como se demonstra | Registros, respostas a titulares, documentação | Certificação por organismo acreditado |
Na prática elas se apoiam. O trabalho de LGPD produz boa parte das evidências que a 27701 pede, e o inverso também. Se a sua empresa tem obrigação legal no Brasil e ambição de certificação internacional, habilitar as duas faz sentido.
O que ela cobra, em linhas gerais
A norma acrescenta exigências em quatro frentes:
Papéis e responsabilidades de privacidade. Quem responde pelo tratamento de dados pessoais na empresa, com atribuição formal.
O registro do tratamento. Quais dados pessoais a empresa trata, para quê, com que base, por quanto tempo e com quem compartilha.
Direitos dos titulares. Como a empresa recebe, avalia e responde a pedidos de pessoas sobre os próprios dados.
Controles adicionais sobre o ciclo de vida do dado. Minimização, retenção, descarte, transferências e a relação com operadores e suboperadores.
A ligação com o módulo Privacidade
Boa parte do trabalho desta norma não acontece na tela do framework, e sim no módulo Privacidade da plataforma, que é onde ficam:
- O registro de atividades de tratamento, que responde à exigência central da norma.
- Os relatórios de impacto, para tratamentos de maior risco.
- Os pedidos de titular, com o registro de como cada um foi atendido.
Se a sua empresa habilitou a 27701, vale começar por lá. Os tutoriais da categoria Privacidade e LGPD cobrem essas telas.
Por onde começar
- Confirme que a ISO 27001 já está em andamento. Sem ela, a 27701 fica sem base.
- Monte o registro de atividades de tratamento. É a exigência que sustenta quase todas as outras.
- Defina e documente quem responde pela privacidade na empresa.
- Estabeleça o canal de pedidos de titular, e registre os atendimentos na plataforma.
- Revise contratos com fornecedores que tratam dados pessoais em nome da sua empresa.
O que costuma dar ressalva
- Registro de tratamento incompleto, cobrindo só os sistemas óbvios e esquecendo planilhas, ferramentas de marketing e RH.
- Base legal escolhida sem critério. Consentimento usado onde outra base seria adequada, ou o contrário.
- Prazos de retenção declarados e não cumpridos.
- Fornecedores que tratam dados pessoais sem cláusula contratual correspondente.
⚠️ Esta página descreve, em linguagem própria, o propósito e a estrutura geral da norma. Ela não reproduz o texto normativo. Para o conteúdo oficial, consulte a norma publicada pelo organismo responsável.
Este artigo foi útil?