Documentos obrigatórios da ISO 27701:2025
A ISO/IEC 27701:2025 segue a estrutura harmonizada dos sistemas de gestão e exige, entre outras, estas informações documentadas: o escopo do sistema de gestão da privacidade (4.3), a política de privacidade (5.2), os processos e resultados de avaliação e tratamento de riscos de privacidade (6.1 e cláusula 8), a Declaração de Aplicabilidade dos controles do Anexo A, os objetivos de privacidade (6.2) e registros de competência, monitoramento, auditoria interna, análise crítica pela direção e ações corretivas. Os controles do Anexo A acrescentam registros próprios de privacidade, como o registro das operações de tratamento.
Documentos exigidos por cláusula
| Documento | Cláusula | Para que serve |
|---|---|---|
| Escopo do sistema de gestão da privacidade | 4.3 | Quais tratamentos, processos e papéis (controlador, operador) estão cobertos |
| Política de privacidade | 5.2 | Compromissos da direção e estrutura para os objetivos |
| Processo de avaliação de riscos de privacidade | 6.1 | Critérios para identificar e avaliar riscos para a organização e para as pessoas |
| Processo de tratamento de riscos e Declaração de Aplicabilidade | 6.1 | Controles escolhidos das tabelas A.1, A.2 e A.3, justificativa de inclusões e exclusões, situação |
| Objetivos de privacidade | 6.2 | Metas mensuráveis e planos para alcançá-las |
| Evidências de competência | 7.2 | Treinamento e experiência das pessoas que tratam dados pessoais |
| Informações para a operação | 8.1 | O necessário para ter confiança de que os processos funcionam como planejado |
| Resultados da avaliação e do tratamento de riscos | 8 | Registro de riscos e plano de tratamento atualizados |
| Resultados de monitoramento e medição | 9.1 | Indicadores e sua análise |
| Programa e resultados de auditoria interna | 9.2 | Plano, relatórios e constatações |
| Resultados da análise crítica pela direção | 9.3 | Decisões e ações da direção |
| Não conformidades e ações corretivas | 10.2 | O que deu errado, causa, ação e resultado |
A cláusula 7.5 acrescenta qualquer informação documentada que a própria organização considere necessária. Use esta lista como guia e confira cada requisito no texto oficial da norma, vendido pela ISO ou pelo organismo nacional de normalização (ABNT no Brasil).
Registros de privacidade exigidos pelos controles do Anexo A
- **Registros das operações de tratamento** como controlador e como operador: finalidade, base legal, categorias de dados e de titulares, destinatários, transferências e prazos de retenção.
- **Relatórios de impacto à proteção de dados (RIPD/DPIA)** para tratamentos de alto risco.
- **Registro de solicitações dos titulares** (acesso, correção, eliminação, oposição) com datas e respostas.
- **Registro de incidentes e violações** com avaliação e comunicações.
- **Registro de transferências e divulgações** a terceiros e a outros países.
- **Contratos com operadores e suboperadores** e evidências de sua revisão.
- **Avisos de privacidade vigentes** e evidências do consentimento quando ele é a base legal.
Kit ISO 27701: a documentação do seu sistema de gestão da privacidade
40 documentos Word · 15 ferramentas Excel · 78 controles do Anexo A
Ver o kit ISO 27701:2025 com todos esses documentosErros comuns
- Copiar a Declaração de Aplicabilidade de 2019: em 2025 os controles foram reorganizados nas tabelas A.1, A.2 e A.3.
- Definir o escopo sem dizer onde a organização é controladora e onde é operadora.
- Avaliar riscos só para a empresa e não para as pessoas cujos dados são tratados.
- Ter políticas aprovadas, mas nenhum registro que mostre sua aplicação (solicitações, violações, treinamentos).
- Supor que a certificação comprova conformidade com uma lei específica, como a LGPD ou o RGPD.
Como organizar a documentação
Organize os documentos pelas cláusulas 4 a 10, com um índice mestre que mostre responsável, versão e data de revisão de cada um. Se você já opera um SGSI ISO/IEC 27001, compartilhe o controle de documentos, a auditoria interna e a análise crítica pela direção, e acrescente as partes próprias de privacidade: papéis de controlador e operador, registros das operações de tratamento, relatórios de impacto, direitos dos titulares e a Declaração de Aplicabilidade da ISO/IEC 27701.
Próximo passo
Teste grátis ou vá direto à solução completa.
Kit ISO 27701: a documentação do seu sistema de gestão da privacidade
40 documentos Word · 15 ferramentas Excel · 78 controles do Anexo A
Ver o kit ISO 27701:2025 com todos esses documentos
Amostra grátis
Baixe gratuitamente uma versão reduzida da matriz de riscos do kit (Excel, 10 cenários, mapa de calor; amostra em inglês). Veja como o nível e a categoria são calculados antes de decidir.
Baixar a amostra grátis (em inglês)Perguntas frequentes
Quantos documentos obrigatórios tem a ISO 27701?
Depende de como você agrupa, mas as cláusulas 4 a 10 pedem cerca de uma dúzia de documentos e registros, e os controles do Anexo A que você aplica acrescentam registros de privacidade, como o registro das operações de tratamento.
O registro das operações de tratamento é obrigatório?
Os controles do Anexo A para controladores e operadores o preveem, e muitas leis (como o artigo 37 da LGPD e o artigo 30 do RGPD) o exigem ou o tornam a forma prática de demonstrar um tratamento lícito.
Posso reaproveitar os documentos do meu SGSI ISO 27001?
Sim. Desde 2025 a ISO/IEC 27701 é independente, mas se integra a um SGSI: você pode compartilhar controle de documentos, auditorias e análise crítica pela direção.
Os documentos bastam para obter a certificação?
Não. A certificação depende de o sistema funcionar e ser verificado por um organismo de certificação.
Guias relacionados
Declaração de Aplicabilidade ISO 27001 (SoA): o que é e como elaborar
O que a Declaração de Aplicabilidade da ISO/IEC 27001:2022 deve conter para os 93 controles do Anexo A, como justificar exclusões e os erros que os auditores mais encontram. Com modelo em Excel.
Ler o guia →Documentos obrigatórios da ISO 27001:2022: lista por cláusula
As informações documentadas exigidas pela ISO/IEC 27001:2022, cláusula por cláusula (escopo, política, riscos, Declaração de Aplicabilidade, objetivos, auditoria, análise crítica), e os documentos esperados para o Anexo A.
Ler o guia →ISO 27701:2025: o que mudou e o que fazer agora
A ISO/IEC 27701:2025 agora é uma norma independente de sistema de gestão da privacidade. O que mudou em relação a 2019, a nova estrutura do Anexo A (78 controles), os prazos de transição e os próximos passos.
Ler o guia →Atualizado: 2026-10-24