Certificação ISO 27701: critérios, etapas e requisitos

Certificação ISO 27701 comprova que o Sistema de Gestão de Privacidade da Informação (SGPI / PIMS) atende à ISO/IEC 27701, por auditoria de um organismo de certificação acreditado. A consultoria prepara o sistema; quem emite o certificado é o organismo, e por regra de imparcialidade ele não pode ser quem consultou.

Desde a ISO/IEC 27701:2025, a certificação pode ser feita só na 27701 ou integrada ao SGSI da ISO 27001. Implementação: como implementar a ISO 27701 · Norma 2025: ISO 27701:2025 · LGPD: ISO 27701 e conformidade com LGPD/GDPR.

Respostas diretas: certificação ISO 27701

Resumo para decidir rápido: o que exige a norma, quanto tempo e dinheiro costumam levar, e a diferença entre consultoria e organismo. Cada item abaixo aponta para a seção com mais detalhe.

• Critérios para certificar: SGPI com escopo definido, inventário de tratamentos, avaliação de risco de privacidade, controles do Anexo A (A1/A2/A3) operando com registro, auditoria interna e análise crítica concluídas. Detalhe em critérios para certificar.
• Etapas da jornada: diagnóstico e gap, implantação do SGPI, período de operação com histórico, auditoria interna, contratação de organismo acreditado (estágios 1 e 2), tratamento de NCs, certificado e manutenções no ciclo de três anos. Sequência em critérios e etapas.
• É obrigatório ter ISO 27001 certificada antes da 27701? Não é obrigatória desde a ISO/IEC 27701:2025. A empresa pode certificar só o SGPI ou integrar o SGPI ao SGSI da 27001. O que mudou em 2025.
• Prazo típico: cerca de 6 a 12 meses na primeira certificação em médio porte, se inventário e controles A3 já tiverem base. Veja quanto tempo leva.
• Custo: soma implantação (equipe interna e/ou consultoria) e dias de auditoria do organismo (escopo, sites, papéis controlador/operador, tratamentos). Não há tabela única. Quanto custa ISO 27701 · fatores neste guia.
• Consultoria e certificadora: contratos separados; quem consultou não pode certificar a mesma empresa. Consultoria e organismo.
• LGPD e certificação: SGPI auditado comprova gestão de privacidade; não substitui conformidade legal nem papel do encarregado. 27701 e LGPD.
• Próximo passo: Consultoria ISO 27701 · Diagnóstico gratuito · como implementar.

Como obter a certificação ISO 27701 no Brasil?

Organismo acreditado (Inmetro/Cgcre) com escopo para ISO/IEC 27701, SGPI operando com evidência de titulares e operadores, auditoria interna e análise crítica concluídas antes do estágio 1. Certificação pode ser só na 27701 ou integrada ao SGSI 27001.

Consultoria e organismo certificador: qual a diferença?

Na certificação ISO 27701, a consultoria apoia a organização a montar e operar o SGPI; o organismo acreditado audita de forma independente e, se houver conformidade, emite o certificado. Misturar os dois papéis no mesmo fornecedor levanta conflito de interesse na auditoria.

Contratos separados deixam claro o investimento (implantação + ciclo de auditoria do organismo) e evitam promessa de “consultoria com certificado garantido”. A consultoria pode orientar como orçar o organismo, mas não substitui a negociação direta com ele.

Quais são os critérios e etapas para obter a certificação ISO 27701?

Certificar na ISO 27701 não é só contratar o organismo: antes disso o auditor espera um SGPI montado, operando com registros e revisado em auditoria interna. A sequência abaixo é a ordem que organismos acreditados costumam exigir antes de agendar o estágio 1; cada passo ganha detalhe nas seções seguintes deste guia.

1. Implantar o SGPI: escopo, papéis de controlador/operador, inventário de tratamentos, avaliação de risco de privacidade e controles do Anexo A aplicáveis ao risco.
2. Operar com registros: direitos do titular, incidentes de privacidade, contratos com operadores e revisões periódicas com histórico amostrável.
3. Auditoria interna e análise crítica: requisitos normativos; ausência ou registro vazio costuma adiar a contratação do organismo.
4. Contratar organismo acreditado com escopo para ISO/IEC 27701: estágio 1 (documentação e prontidão) e estágio 2 (evidência em operação).
5. Certificado e ciclo: tratar não conformidades, receber certificado e manter manutenções anuais e recertificação (em geral em três anos).

Detalhe de cada bloco abaixo. Passo a passo de implantação: implementar ISO 27701 em médio porte.

Critérios para certificar na ISO 27701

O auditor de certificação verifica um sistema em funcionamento, não um projeto em slide. Antes do estágio 1, a organização precisa ter:

• Escopo do SGPI definido: quais tratamentos de dados pessoais entram, se a empresa atua como controlador, operador ou ambos, e quais unidades/processos estão incluídos.
• Política de privacidade (e políticas correlatas) aprovada pela direção, com controle de versão e comunicação às partes relevantes.
• Inventário ou registro de tratamentos alinhado aos fluxos reais (finalidade, base legal, retenção, compartilhamentos, transferências).
• Avaliação de risco de privacidade conforme a cláusula 6.1 (27701:2025), com critérios definidos antes dos resultados e riscos com dono e tratamento.
• Controles do Anexo A selecionados e implementados para controlador (tabela A1), operador (A2) e, quando couber, requisitos mínimos de segurança (A3).
• Processos operando com evidência: pedidos de titulares atendidos, incidentes registrados, due diligence de operadores, revisão de contratos.
• Pelo menos uma rodada de auditoria interna e de análise crítica concluídas, com registro de decisões.

Quem já tem ISO 27001 certificada reaproveita parte da estrutura (fornecedores, incidentes, acessos), mas o SGPI exige evidência própria de privacidade, não só de segurança da informação.

Etapas da certificação ISO 27701

Depois do SGPI implantado, a jornada até o certificado passa por operação com histórico, auditoria interna, contratação do organismo e estágios 1 e 2. A ordem abaixo espelha o fluxo típico em médio porte (com ou sem ISO 27001 integrada).

1. Gap e escopo. Comparar tratamentos e papéis com a norma vigente (2019 ou transição para 2025). Ver o que mudou na 27701:2025.
2. Implantação do SGPI. Documentos, controles e operação conforme o artigo de implementação.
3. Período de operação. Tempo suficiente para gerar histórico (titulares, revisões, incidentes simulados ou reais tratados).
4. Auditoria interna e análise crítica. Requisito normativo; ausência costuma adiar o estágio 1.
5. Contratação do organismo. Confirmar acreditação para ISO/IEC 27701 (não confundir com escopo só de 27001).
6. Estágio 1 e estágio 2. Ver seção abaixo.
7. Certificado e ciclo de manutenção. Manutenções periódicas e recertificação no fim do ciclo típico de três anos.

Estágio 1 e estágio 2: o que muda na prática

No estágio 1, o organismo revisa escopo, contexto, políticas, avaliação de risco de privacidade, seleção de controles e se auditoria interna e análise crítica ocorreram. Saem pontos a corrigir antes ou durante o planejamento do estágio 2.

No estágio 2, o foco é evidência: amostragem de registros de tratamento, atendimento a titulares, contratos com operadores, logs de incidente de privacidade, treinamentos. Controle declarado sem registro amostrável vira não conformidade.

A lógica é a mesma da certificação ISO 27001, com objeto de auditoria voltado a dados pessoais e papéis de controlador/operador.

Certificação só na 27701 ou integrada à ISO 27001

Só 27701: viável desde a edição 2025, indicada quando o driver é privacidade (LGPD, contratos de DPA, setor regulado) e a empresa ainda não precisa de SGSI completo.

Integrada ou combinada: duas certificações ou auditoria combinada quando já existe (ou se deseja) SGSI 27001. Reduz retrabalho em fornecedores, incidentes e governança. Relação entre as normas: ISO 27001 e ISO 27701.

Quanto tempo leva certificar na ISO 27701

Não há prazo único. Depende da maturidade de privacidade (inventário, encarregado, contratos), do tamanho do escopo, da integração com 27001 e da disponibilidade da equipe (jurídico, TI, negócio).

Faixa realista para primeira certificação em médio porte, partindo de base razoável: cerca de 6 a 12 meses até o estágio 2, podendo estender se o inventário de tratamentos ou a operação de controles A3 (segurança mínima) partirem do zero.

O que define o custo da certificação ISO 27701

Em uma frase: o valor do organismo segue principalmente dias de auditoria (escopo, papéis controlador/operador, sites, complexidade dos tratamentos), somado ao custo de implantação (horas internas e, se houver, consultoria).

Fatores que costumam aumentar dias e esforço:

• Muitos tratamentos distintos ou dados sensíveis em escala.
• Papel de operador para vários controladores (contratos e subprocessadores).
• Várias unidades ou países (transferência internacional).
• SGPI integrado ao SGSI 27001 (dois escopos ou auditoria combinada).

Não existe tabela fixa em reais válida para todas as empresas. Peça orçamento do ciclo de três anos, não só da auditoria inicial.

Quer certificar? Consultoria Templum · Diagnóstico gratuito · Consultoria ISO 27701

Consultoria e certificação: contas separadas

O organismo que certifica não pode prestar consultoria ao mesmo cliente para a mesma norma. A Templum Consultoria apoia diagnóstico, SGPI e preparação para auditoria; o certificado é emitido por terceiro acreditado.

Segurança da informação: certificação ISO 27001 · consultoria ISO 27001.

Consultoria ISO 27701 · Solicitar proposta · Falar com especialista