Como implementar a ISO 27701: passos práticos (médio porte)

Implementar a ISO 27701 (SGPI / PIMS) em empresa de médio porte exige mapear tratamentos de dados pessoais, definir papéis de controlador e operador, tratar riscos de privacidade e gerar evidência antes da auditoria de certificação. Desde a ISO/IEC 27701:2025, o projeto pode rodar com ou sem certificação ISO 27001.

Contexto: ISO 27701:2025 · Relação com 27001: 27001 e 27701 · LGPD: ISO 27701 e LGPD/GDPR · Certificação: etapas para certificar.

Respostas diretas: implementar ISO 27701 (médio porte)

Visão rápida do projeto de SGPI em empresa de médio porte: ordem dos passos, prazo até certificar e relação com ISO 27001 e LGPD. A lista numerada completa está em passos práticos.

• Passos para implementar: patrocínio e escopo, inventário de tratamentos, papéis controlador/operador, políticas, avaliação de risco de privacidade (6.1), controles A1/A2/A3, operação com registro, auditoria interna e, depois, organismo certificador. Ordem comentada em passos práticos.
• Prazo típico até certificar: cerca de 6 a 12 meses em médio porte, se inventário e base de segurança (controles A3) já existirem. Prazo na certificação.
• É obrigatório ter ISO 27001 certificada antes de implementar a 27701? Não é obrigatória desde a ISO/IEC 27701:2025. Integrar SGSI e SGPI ainda reduz retrabalho em incidentes e fornecedores. 27001 e 27701.
• LGPD e implementação: o SGPI apoia conformidade com evidência; não substitui bases legais nem o encarregado. 27701 e LGPD/GDPR.
• Consultoria e certificado: consultoria estrutura método e evidência; certificado ISO 27701 é emitido pelo organismo acreditado, contrato à parte. Consultoria ISO 27701 · critérios de certificação.

Quais são os passos práticos para implementar a ISO 27701 em uma empresa de médio porte?

Implementar a 27701 é montar o SGPI na prática: escopo, inventário de tratamentos, riscos, controles e evidência antes de pensar no certificado. Os nove passos abaixo seguem a ordem que costuma funcionar em médio porte (com ou sem ISO 27001 já existente).

1. Patrocínio e escopo. A direção define o que entra no SGPI (processos, unidades, tratamentos). Escopo estreito demais gera certificado que não cobre o contrato com o cliente.
2. Diagnóstico de privacidade. Inventário de tratamentos, fluxos, bases legais, retenção, compartilhamentos e transferências. Cruza com o que a LGPD já exige e com contratos ativos.
3. Papéis controlador e operador. Por tratamento, quem decide (controlador) e quem executa em nome de terceiros (operador). Documentar instruções a operadores quando você for controlador.
4. Políticas e governança. Política de privacidade, retenção e descarte, direitos do titular, incidentes de privacidade, comunicação interna. Encarregado (DPO) com mandato claro, se aplicável.
5. Avaliação de risco de privacidade (6.1). Critérios antes dos resultados; foco em direitos e liberdades dos titulares. Relacionar a RIPD/DPIA quando o tratamento exigir.
6. Seleção e implementação de controles. Anexo A: controles de controlador (A1), operador (A2) e requisitos mínimos de segurança (A3). Priorizar o que o risco apontou.
7. Operação e registros. Rodar processos de titular, revisão de operadores, treinamentos, testes de incidente. Gerar histórico antes do organismo.
8. Auditoria interna e análise crítica. Obrigatórias antes da certificação. Ver checklist de auditoria interna (adaptar foco a privacidade).
9. Certificação. Critérios e etapas de certificação ISO 27701.

Controlador, operador e subprocessadores

Em médio porte é comum ser controlador no produto principal e operador em BPO, marketing terceirizado ou TI administrada. A norma exige controles diferentes para cada papel.

• Controlador: finalidade, base legal, transparência, direitos do titular, contratos com operadores, RIPD quando couber.
• Operador: tratar só conforme instruções, confidencialidade, subcontratação controlada, apoio ao controlador em incidentes e titulares.

Mapa mental: um CRM SaaS pode ser operador para o cliente e controlador para dados dos próprios colaboradores. Cada fluxo entra no inventário.

Anexo A da ISO 27701:2025 (A1, A2, A3)

A edição 2025 organiza o Anexo A em três tabelas:

• A1 (controlador): controles orientados a finalidade, consentimento quando aplicável, direitos, transparência.
• A2 (operador): controles para processamento por contrato e limites de uso.
• A3: requisitos mínimos de segurança (referência à ISO 27002) para sustentar a privacidade: acesso, criptografia, logs, backup, desenvolvimento seguro.

Quem certifica só 27701 ainda precisa endereçar A3 na medida do risco. Quem já tem SGSI 27001 reaproveita evidências, mas deve provar o vínculo com o SGPI.

Integração com ISO 27001 (opcional, recomendável)

Desde 2025 a 27701 não exige 27001 certificada. Mesmo assim, integrar costuma encurtar o caminho:

• Incidentes: um fluxo com gatilhos para privacidade e segurança.
• Fornecedores: mesma cadência de avaliação, cláusulas de DPA alinhadas.
• Controles A3: SoA da 27001 como base, SGPI documentando lacunas de privacidade.

Comparativo: ISO 27001 e ISO 27701 · SGSI: como implementar a ISO 27001.

Evidências que o auditor costuma pedir

No estágio 2 o auditor amostra registros reais, não só políticas. Antes de agendar a certificação, confira se estes tipos de evidência existem e batem com o inventário de tratamentos.

• Registro de tratamentos atualizado e coerente com a operação.
• Amostras de atendimento a titulares (acesso, correção, eliminação, oposição).
• Contratos e avaliações de operadores críticos.
• Registros de incidente de privacidade (ou exercício documentado).
• Treinamento de privacidade por função e revisão de acessos a dados pessoais.

Próximo passo: certificação ISO 27701

Com SGPI operando (inventário, riscos, controles com registro, auditoria interna e análise crítica), contrate organismo acreditado para ISO/IEC 27701, passe estágios 1 e 2 e trate não conformidades. Detalhe: certificação ISO 27701: critérios e etapas.

Consultoria ISO 27701 · Diagnóstico gratuito

Erros que atrasam a implementação

Estes atalhos adiam o estágio 2 ou geram certificado com escopo que não cobre o que o mercado exige.

• Começar pela política bonita sem inventário de tratamentos.
• Tratar 27701 como “só LGPD em PDF” sem sistema de gestão (auditoria interna, riscos, melhoria).
• Ignorar papel de operador em contratos reais de SaaS ou outsourcing.
• Certificar escopo que não inclui o serviço que o cliente exige.

Próximo passo: consultoria ISO 27701 · consultoria ISO 27001 · Falar com especialista