ISO 27701 e GDPR: qual è la differenza?
Il GDPR è una legge dell’UE che ogni organizzazione che tratta dati personali di persone nell’UE deve rispettare, con sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale. ISO/IEC 27701:2025 è una norma internazionale volontaria per un sistema di gestione delle informazioni sulla privacy, che può essere certificato. Lavorano insieme: ISO 27701 fornisce il sistema (ruoli, valutazione dei rischi, controlli, registrazioni, audit) per organizzare e dimostrare la conformità al GDPR, ma la certificazione da sola non prova che rispetti il GDPR.
Uno accanto all’altro
| GDPR | ISO/IEC 27701:2025 | |
|---|---|---|
| Che cos’è | Regolamento dell’UE (legge) | Norma internazionale di sistema di gestione |
| Obbligatorio? | Sì, se ti si applica | No, volontario |
| Chi controlla | Autorità di controllo per la protezione dei dati e tribunali | Organismi di certificazione (audit) |
| Esito | Conformità o sanzioni | Certificato valido tre anni con audit di sorveglianza |
| Ambito | UE e chiunque si rivolga a persone nell’UE (il Regno Unito ha il proprio UK GDPR) | Qualsiasi organizzazione, in qualsiasi paese, come titolare e/o responsabile |
| Contenuto | Principi, basi giuridiche, diritti, obblighi, notifica delle violazioni, trasferimenti, sanzioni | Capitoli da 4 a 10 più 78 controlli di riferimento (A.1 titolari, A.2 responsabili, A.3 sicurezza) |
Dove si sovrappongono
| Tema | Articoli del GDPR | ISO/IEC 27701:2025 |
|---|---|---|
| Principi e responsabilizzazione | 5, 24 | Capitoli da 4 a 10, tabella A.1 |
| Base giuridica e consenso | 6, 7 | A.1 condizioni per raccolta e trattamento |
| Trasparenza e diritti | Da 12 a 22 | A.1 obblighi verso gli interessati |
| Privacy fin dalla progettazione e per impostazione predefinita | 25 | A.1 e A.2 privacy fin dalla progettazione |
| Responsabili e contratti | 28, 29 | A.1 e A.2 contratti e istruzioni |
| Registro dei trattamenti | 30 | A.1 e A.2 registri |
| Sicurezza e violazioni | Da 32 a 34 | A.3 sicurezza dei dati personali |
| DPIA | 35 | A.1 valutazione d’impatto |
| Trasferimenti | Da 44 a 49 | A.1 e A.2 trasferimenti e comunicazioni |
I numeri degli articoli sono citati solo come orientamento. Verifica il testo ufficiale di entrambi i documenti.
Kit ISO 27701: la documentazione del tuo sistema di gestione della privacy
34 documenti Word · 14 strumenti Excel · 78 controlli dell'Appendice A
Vedi il kit ISO 27701 con allegato GDPRCosa ISO 27701 non copre da sola
- Le scadenze di legge precise (72 ore per notificare una violazione, un mese per le richieste) e le loro eccezioni: scrivile nelle tue procedure.
- Le decisioni giuridiche come la scelta della base giuridica, il bilanciamento del legittimo interesse o se ti serve un DPO o un rappresentante nell’UE.
- Le regole specifiche di ogni paese (ad esempio il Codice privacy in Italia, le modifiche al UK GDPR del 2025 o le leggi nazionali sui dati dei dipendenti).
- Le sanzioni e l’interpretazione dell’autorità: la certificazione non ti protegge dai controlli.
Come usarli insieme
- 1. Applicare ISO 27701 come sistema di gestione e aggiungere il GDPR ai requisiti di legge.
- 2. Collegare ogni articolo rilevante del GDPR a un controllo e a un documento (una tabella di corrispondenza).
- 3. Colmare le lacune con modelli specifici per il GDPR: valutazione del legittimo interesse, notifica delle violazioni, DPO e rappresentante, valutazione dei trasferimenti.
- 4. Verificare entrambi: audit interni secondo ISO 27701 e revisione legale periodica rispetto al GDPR.
Prossimo passo
Prova gratis o vai direttamente alla soluzione completa.
Kit ISO 27701: la documentazione del tuo sistema di gestione della privacy
34 documenti Word · 14 strumenti Excel · 78 controlli dell'Appendice A
Vedi il kit ISO 27701 con allegato GDPR
Campione gratuito
Scarichi gratuitamente una versione ridotta della matrice dei rischi del kit (Excel, 10 scenari, mappa di calore; campione in inglese). Veda come vengono calcolati livello e categoria prima di decidere.
Scarica il campione gratuito (in inglese)Domande frequenti
La certificazione ISO 27701 prova la conformità al GDPR?
No. È una prova solida di un programma privacy gestito, ma la conformità dipende dal rispetto di ogni obbligo di legge, che valutano le autorità.
Serve ISO 27701 per rispettare il GDPR?
No. Il GDPR non richiede alcuna certificazione. ISO 27701 è un modo per organizzare e dimostrare la conformità.
ISO 27701 è un meccanismo di certificazione ai sensi dell’articolo 42 del GDPR?
Non automaticamente. Le certificazioni dell’articolo 42 devono essere approvate dalle autorità o dal Comitato europeo per la protezione dei dati; la certificazione ISO 27701 è una certificazione privata di sistema di gestione.
ISO 27701 aiuta con leggi fuori dall’UE?
Sì. I suoi controlli sono neutri rispetto alle leggi, quindi lo stesso sistema può organizzare le evidenze per il UK GDPR, le leggi degli Stati USA, la LGPD brasiliana o la legge cilena 21.719.
Guide correlate
Documenti obbligatori ISO 27001:2022: elenco per punto della norma
Le informazioni documentate richieste dalla ISO/IEC 27001:2022, punto per punto (campo di applicazione, politica, rischi, Dichiarazione di Applicabilità, obiettivi, audit, riesame di direzione), e i documenti attesi per l'Allegato A.
Leggi la guida →Documenti obbligatori ISO 27701:2025
Le informazioni documentate richieste da ISO/IEC 27701:2025 per un sistema di gestione della privacy: campo di applicazione, politica, rischi, Dichiarazione di applicabilità, registrazioni ed evidenze, con il capitolo di ciascuna.
Leggi la guida →ISO 27701:2025: cosa cambia e cosa fare adesso
ISO/IEC 27701:2025 è ora una norma autonoma di sistema di gestione della privacy. Cosa cambia rispetto al 2019, la nuova struttura dell’Allegato A (78 controlli), le scadenze di transizione e i prossimi passi.
Leggi la guida →Aggiornato: 2026-10-24