ISO 27701 e RGPD: qual é a diferença?
O RGPD (GDPR, em inglês) é uma lei da UE que toda organização que trata dados pessoais de pessoas na UE deve cumprir, com multas de até 20 milhões de euros ou 4% do faturamento mundial. A ISO/IEC 27701:2025 é uma norma internacional voluntária para um sistema de gestão da privacidade da informação, que pode ser certificado. Os dois se complementam: a ISO 27701 dá o sistema (papéis, avaliação de riscos, controles, registros, auditorias) para organizar e evidenciar a conformidade com o RGPD, mas a certificação sozinha não comprova que você cumpre o RGPD. O mesmo vale para a LGPD no Brasil.
Lado a lado
| RGPD | ISO/IEC 27701:2025 | |
|---|---|---|
| O que é | Regulamento da UE (lei) | Norma internacional de sistema de gestão |
| Obrigatório? | Sim, se se aplica a você | Não, voluntária |
| Quem verifica | Autoridades de proteção de dados e tribunais | Organismos de certificação (auditorias) |
| Resultado | Conformidade ou sanções | Certificado válido por três anos com auditorias de manutenção |
| Alcance | UE e qualquer um que ofereça bens ou serviços a pessoas na UE (o Reino Unido tem o próprio UK GDPR) | Qualquer organização, em qualquer país, como controladora e/ou operadora |
| Conteúdo | Princípios, bases legais, direitos, deveres, notificação de violações, transferências, multas | Cláusulas 4 a 10 mais 78 controles de referência (A.1 controladores, A.2 operadores, A.3 segurança) |
Onde se sobrepõem
| Tema | Artigos do RGPD | ISO/IEC 27701:2025 |
|---|---|---|
| Princípios e responsabilização | 5, 24 | Cláusulas 4 a 10, tabela A.1 |
| Base legal e consentimento | 6, 7 | A.1 condições para coleta e tratamento |
| Transparência e direitos | 12 a 22 | A.1 obrigações com os titulares |
| Privacidade desde a concepção e por padrão | 25 | A.1 e A.2 privacidade desde a concepção |
| Operadores e contratos | 28, 29 | A.1 e A.2 contratos e instruções |
| Registro das atividades de tratamento | 30 | A.1 e A.2 registros |
| Segurança e violações | 32 a 34 | A.3 segurança dos dados pessoais |
| Avaliação de impacto (DPIA) | 35 | A.1 avaliação de impacto |
| Transferências | 44 a 49 | A.1 e A.2 transferências e divulgações |
Os números dos artigos são citados apenas como orientação. Confira o texto oficial dos dois documentos.
Kit ISO 27701: a documentação do seu sistema de gestão da privacidade
40 documentos Word · 15 ferramentas Excel · 78 controles do Anexo A
Ver o kit ISO 27701 com anexos LGPD e RGPDO que a ISO 27701 não cobre sozinha
- Prazos legais exatos (72 horas para notificar uma violação no RGPD, um mês para solicitações) e suas exceções: escreva-os nos seus procedimentos.
- Decisões jurídicas como escolher a base legal, ponderar o legítimo interesse ou saber se você precisa de um encarregado (DPO) ou de um representante na UE.
- Regras de cada país (por exemplo, a LGPD e as resoluções da ANPD no Brasil, as mudanças do UK GDPR em 2025 ou leis nacionais sobre dados de empregados).
- Multas e a interpretação da autoridade: a certificação não protege você da fiscalização.
Como usar os dois juntos
- 1. Implementar a ISO 27701 como sistema de gestão e incluir o RGPD (e a LGPD, se aplicável) nos requisitos legais.
- 2. Relacionar cada artigo relevante a um controle e a um documento (uma tabela de correspondência).
- 3. Cobrir as lacunas com modelos específicos da lei: avaliação de legítimo interesse, notificação de violações, encarregado e representante, avaliação de transferências.
- 4. Auditar os dois: auditorias internas pela ISO 27701 e revisão jurídica periódica frente à lei.
Próximo passo
Teste grátis ou vá direto à solução completa.
Kit ISO 27701: a documentação do seu sistema de gestão da privacidade
40 documentos Word · 15 ferramentas Excel · 78 controles do Anexo A
Ver o kit ISO 27701 com anexos LGPD e RGPD
Amostra grátis
Baixe gratuitamente uma versão reduzida da matriz de riscos do kit (Excel, 10 cenários, mapa de calor; amostra em inglês). Veja como o nível e a categoria são calculados antes de decidir.
Baixar a amostra grátis (em inglês)Perguntas frequentes
A certificação ISO 27701 comprova conformidade com o RGPD?
Não. É uma evidência forte de um programa de privacidade gerido, mas a conformidade depende de cumprir cada obrigação legal, o que as autoridades avaliam.
Preciso da ISO 27701 para cumprir o RGPD?
Não. O RGPD não exige nenhuma certificação. A ISO 27701 é uma forma de organizar e evidenciar a conformidade.
A ISO 27701 é um mecanismo de certificação do artigo 42 do RGPD?
Não por padrão. As certificações do artigo 42 precisam ser aprovadas por autoridades ou pelo Comitê Europeu para a Proteção de Dados; a certificação ISO 27701 é uma certificação privada de sistema de gestão.
A ISO 27701 ajuda com leis fora da UE?
Sim. Seus controles são neutros em relação às leis, então o mesmo sistema pode organizar evidências para a LGPD do Brasil, o UK GDPR, leis estaduais dos EUA ou a Lei 21.719 do Chile.
Guias relacionados
Documentos obrigatórios da ISO 27001:2022: lista por cláusula
As informações documentadas exigidas pela ISO/IEC 27001:2022, cláusula por cláusula (escopo, política, riscos, Declaração de Aplicabilidade, objetivos, auditoria, análise crítica), e os documentos esperados para o Anexo A.
Ler o guia →Documentos obrigatórios da ISO 27701:2025
Quais informações documentadas a ISO/IEC 27701:2025 exige para um sistema de gestão da privacidade: escopo, política, riscos, Declaração de Aplicabilidade, registros e evidências, com a cláusula de cada um.
Ler o guia →ISO 27701:2025: o que mudou e o que fazer agora
A ISO/IEC 27701:2025 agora é uma norma independente de sistema de gestão da privacidade. O que mudou em relação a 2019, a nova estrutura do Anexo A (78 controles), os prazos de transição e os próximos passos.
Ler o guia →Atualizado: 2026-10-24