ISO 27701:2025: o que mudou e o que fazer agora
A ISO/IEC 27701:2025, publicada em 14 de outubro de 2025, transforma a norma de privacidade em um sistema de gestão independente: não é mais preciso ter um SGSI ISO/IEC 27001 para implementá-la ou certificá-la. Ela segue a estrutura harmonizada das cláusulas 4 a 10 e tem um Anexo A com 78 controles de referência em três tabelas: A.1 para controladores, A.2 para operadores e A.3 para a segurança dos dados pessoais. Organizações certificadas na edição 2019 devem fazer a transição dentro do prazo definido pelos organismos de acreditação (por exemplo, até 31 de outubro de 2028 pelas regras do SCC do Canadá).
2019 e 2025 lado a lado
| Tema | ISO/IEC 27701:2019 | ISO/IEC 27701:2025 |
|---|---|---|
| Tipo de norma | Extensão da ISO/IEC 27001 e 27002 | Norma independente de sistema de gestão |
| Pré-requisito | Um SGSI ISO/IEC 27001 | Nenhum (ainda pode ser integrada a um SGSI) |
| Estrutura | Cláusulas espelhadas na ISO/IEC 27001 | Estrutura harmonizada, cláusulas 4 a 10 |
| Controles | Anexo A (controladores) e Anexo B (operadores), mais orientações estendidas da ISO/IEC 27002 | Anexo A com três tabelas: A.1 controladores, A.2 operadores, A.3 segurança dos dados pessoais (78 controles) |
| Orientação | Distribuída nas cláusulas 6 a 8 | Anexo B, com a mesma numeração do Anexo A |
| Correspondências | ISO/IEC 29100, RGPD, outras normas | Anexos informativos com correspondências, incluindo o RGPD e uma tabela 2019-2025 |
O que isso significa para você
- **Não tem certificação ISO/IEC 27001?** Agora você pode implementar e certificar um sistema de gestão da privacidade da informação (PIMS) sozinho. Isso é útil para empresas de SaaS, prestadores de RH e folha de pagamento, serviços de saúde e educação e qualquer organização cujos clientes peçam garantias de privacidade.
- **Já tem um SGSI?** Reaproveite o controle de documentos, a auditoria interna, a análise crítica pela direção, a gestão de fornecedores e as competências. Os controles de segurança necessários para dados pessoais agora estão na tabela A.3.
- **Certificado na edição 2019?** Planeje uma auditoria de transição. Confirme o prazo com seu organismo de certificação: os organismos de acreditação definem as datas (SCC do Canadá: clientes até 31 de outubro de 2028).
- **Usa a ISO 27701 para a LGPD ou o RGPD?** Ela continua ajudando a organizar e evidenciar a conformidade, mas a certificação sozinha não comprova conformidade com nenhuma lei.
Kit ISO 27701: a documentação do seu sistema de gestão da privacidade
40 documentos Word · 15 ferramentas Excel · 78 controles do Anexo A
Ver o kit ISO 27701:2025 com anexos LGPD e RGPDAs tabelas do Anexo A em 2025
| Tabela | Para | Temas principais |
|---|---|---|
| A.1 | Controladores | Condições para coleta e tratamento (base legal, consentimento, relatório de impacto, registros), obrigações com os titulares (avisos, direitos, decisões automatizadas), privacidade desde a concepção e por padrão, compartilhamento, transferências e divulgações |
| A.2 | Operadores | Contratos e instruções, obrigações com os clientes, privacidade desde a concepção no tratamento, transferências, suboperadores e divulgações |
| A.3 | Ambos os papéis | Segurança dos dados pessoais: políticas, papéis, acesso, criptografia, registros de eventos, incidentes e violações, backups, fornecedores, desenvolvimento seguro e mais |
A maioria das organizações é ao mesmo tempo controladora e operadora (por exemplo, para os próprios colaboradores e para dados de clientes), por isso aplica A.1, A.2 e A.3 e justifica cada inclusão ou exclusão na Declaração de Aplicabilidade.
Passos de transição para organizações certificadas em 2019
- 1. Ler a edição 2025 e seu anexo de correspondência 2019-2025.
- 2. Decidir se o PIMS continua integrado ao SGSI ou passa a ser independente, e atualizar o escopo.
- 3. Refazer a Declaração de Aplicabilidade com as tabelas A.1, A.2 e A.3.
- 4. Atualizar a avaliação de riscos de privacidade, as políticas e os procedimentos que citam a numeração antiga das cláusulas.
- 5. Fazer uma auditoria interna e uma análise crítica pela direção sobre os novos requisitos.
- 6. Agendar a auditoria de transição com o organismo de certificação antes do prazo.
Próximo passo
Teste grátis ou vá direto à solução completa.
Kit ISO 27701: a documentação do seu sistema de gestão da privacidade
40 documentos Word · 15 ferramentas Excel · 78 controles do Anexo A
Ver o kit ISO 27701:2025 com anexos LGPD e RGPD
Amostra grátis
Baixe gratuitamente uma versão reduzida da matriz de riscos do kit (Excel, 10 cenários, mapa de calor; amostra em inglês). Veja como o nível e a categoria são calculados antes de decidir.
Baixar a amostra grátis (em inglês)Perguntas frequentes
Quando a ISO/IEC 27701:2025 foi publicada?
Em 14 de outubro de 2025. Ela substitui a edição 2019.
Preciso da ISO 27001 para me certificar na ISO 27701?
Não com a edição 2025. Ela é uma norma independente de sistema de gestão, embora se integre facilmente à ISO/IEC 27001.
Quantos controles tem a ISO 27701:2025?
O Anexo A lista 78 controles de referência em três tabelas: A.1 para controladores, A.2 para operadores e A.3 para a segurança dos dados pessoais. Você justifica quais se aplicam na Declaração de Aplicabilidade.
Qual é o prazo de transição?
Os organismos de acreditação definem. Por exemplo, o SCC do Canadá exige que clientes certificados façam a transição até 31 de outubro de 2028. Pergunte o seu ao organismo de certificação.
A certificação ISO 27701 comprova conformidade com a LGPD ou o RGPD?
Não. É uma evidência forte de um programa de privacidade gerido, mas a conformidade depende de cumprir cada obrigação legal.
Guias relacionados
Declaração de Aplicabilidade ISO 27001 (SoA): o que é e como elaborar
O que a Declaração de Aplicabilidade da ISO/IEC 27001:2022 deve conter para os 93 controles do Anexo A, como justificar exclusões e os erros que os auditores mais encontram. Com modelo em Excel.
Ler o guia →Documentos obrigatórios da ISO 27001:2022: lista por cláusula
As informações documentadas exigidas pela ISO/IEC 27001:2022, cláusula por cláusula (escopo, política, riscos, Declaração de Aplicabilidade, objetivos, auditoria, análise crítica), e os documentos esperados para o Anexo A.
Ler o guia →O que é um SGSI e como implementá-lo com a ISO 27001?
O que é um sistema de gestão da segurança da informação (SGSI), o que a ISO/IEC 27001:2022 exige, quais documentos são necessários e como funciona a certificação.
Ler o guia →Atualizado: 2026-10-24