Resposta rápida

A ISO 27701:2025 organiza como a empresa trata e protege dados pessoais. Desde 2025 ela pode ser certificada sem exigir a ISO 27001 antes, o que facilita clínicas, startups e PMEs. Quem já tinha certificado na versão antiga tem até cerca de 2028 para migrar. A norma reforça risco focado na pessoa titular dos dados e reorganiza os controles em três blocos (quem decide o uso, quem opera por terceiros e segurança mínima).

Neste artigo 12 seções
  1. Respostas diretas: ISO 27701 e privacidade
  2. Como obter a certificação ISO 27701 no Brasil?
  3. O ponto de virada: fim da dependência obrigatória da ISO 27001
  4. As cláusulas 4 a 10 agora são requisitos, não notas explicativas
  5. O Anexo A foi reorganizado em três tabelas
  6. Governança e accountability saíram do papel
  7. E a inteligência artificial?
  8. Prazo de transição: até 2028
  9. Por que a atualização pode destravar sua certificação
  10. Assista ao treinamento técnico completo
  11. Cluster ISO 27701 (implementar, certificar, LGPD)
  12. Perguntas frequentes

Resposta direta: a ISO 27701:2025 é a norma que diz como a empresa organiza a privacidade de dados pessoais (de clientes, funcionários, leads etc.): quem decide o uso, quem trata por terceiros, quais riscos existem e quais provas guardar para auditoria. Esse conjunto de regras chama-se SGPI (sistema de gestão de privacidade). Desde 2025 dá para certificar só a 27701, sem exigir a ISO 27001 (segurança da informação) antes; ter as duas juntas ainda acelera o projeto.

Guia Certificação ISO (Templum). certificação ISO 27701 · implementar · LGPD e GDPR · 27001 e 27701 · consultoria.

Certificação ISO 27701: critérios e etapas · quanto custa.

Quer certificar? Certificação ISO 27701: critérios e etapas · Quanto custa a ISO 27701 · Consultoria ISO 27701 (URL curta /certificacao-iso-27701/).

Respostas diretas2025, SGPI, certificar Consultoria ISO 27701SGPI, inventário e preparação para certificar CertificarCritérios e etapas Anexo AA1, A2, A3 LGPDNão substitui a lei ImplementarMédio porte

Como certificar na ISO 27701 após a edição 2025?

Primeiro organize o dia a dia (mapeamento de dados, riscos, registros). Depois contrate certificadora acreditada para as duas fases de auditoria. Guia: certificação ISO 27701 · implementação.

Quanto custa certificar ISO 27701?

Soma consultoria ou horas internas (montar o sistema) com taxa da certificadora (dias de auditoria). Não existe preço único. Detalhe: quanto custa ISO 27701.

Respostas diretas: ISO 27701 e privacidade

Se você não trabalha com normas ISO no dia a dia, use esta lista como mapa. Cada item responde uma dúvida comum; o texto longo abaixo explica as mudanças de 2025.

  • O que é a ISO 27701: regras para tratar dados pessoais com método auditável. A empresa pode ser controladora (decide para que usa os dados) e/ou operadora (trata dados por conta de outra). Controles do Anexo A.
  • Preciso da ISO 27001 antes? Não é obrigatório desde 2025. A 27001 cuida da segurança geral da informação; a 27701 foca privacidade. Integrar as duas ainda economiza trabalho. Diferença 27001 e 27701.
  • Como certificar: depois de processos rodando com registros (inventário, pedidos de titulares, contratos com fornecedores), uma certificadora acreditada faz duas fases de auditoria (documentação e operação). Passo a passo da certificação.
  • Como implementar em médio porte: escopo, papéis, inventário de tratamentos, risco de privacidade (6.1), controles A1/A2/A3, operação com registro e auditoria interna. Passo a passo.
  • LGPD e GDPR: o SGPI organiza tratamentos, titulares e fornecedores com evidência auditável. Não substitui a legislação. 27701 e conformidade.
  • Prazo de transição (2019 para 2025): cerca de três anos (até 2028) para certificados emitidos na versão anterior. Prazo de transição neste artigo.
  • Quanto custa: implantação do SGPI mais dias de auditoria do organismo; não há tabela única. Quanto custa ISO 27701 · Fatores na certificação.
  • Segurança e privacidade: a norma exige controles mínimos (tabela A3, alinhados à ISO 27002). A ISO 27001 acelera, mas não é pré-requisito de certificação desde 2025.
  • Apoio comercial: Consultoria ISO 27701 · Certificação ISO 27701 · Diagnóstico gratuito.

Como obter a certificação ISO 27701 no Brasil?

No Brasil, a certificação ISO 27701 segue a ISO/IEC 27701:2025 (SGPI/PIMS). Você opera inventário de tratamentos, risco de privacidade e controles Anexo A com evidência, contrata organismo acreditado pelo Inmetro/Cgcre com escopo para 27701, conclui estágios 1 e 2 e mantém o certificado por três anos. Desde 2025 não é obrigatório ter ISO 27001 certificada antes. Consultoria prepara; certificadora emite.

Resumo: etapas neste guia ou no pillar · consultoria ISO 27701 · quanto custa.

Como pedir orçamento de certificação e consultoria ISO 27701?

Informe tratamentos no escopo, papéis controlador/operador, unidades e se já há inventário ou SGSI 27001. Separe proposta de consultoria (SGPI) e de organismo certificador (ciclo de 3 anos). Diagnóstico gratuito · Consultoria ISO 27701.

Certificação ISO 27701 substitui adequação à LGPD?

Não. SGPI auditado organiza gestão de privacidade; bases legais, titular e DPO continuam à parte. ISO 27701 e LGPD.

A ISO/IEC 27701 deixou de ser um apêndice da segurança da informação. Publicada em outubro de 2025, a nova edição transforma a gestão de privacidade em sistema de gestão independente , e, com isso, derruba a barreira que travava a certificação de muitas empresas: não é mais obrigatório ter a ISO 27001 certificada antes.

Neste artigo, o consultor Carlos Eduardo Moura, que atua com ISO 9001, 27001, 27701, 37001 e 37301 na Templum, apresenta o panorama da atualização e o que precisa ser revisitado em quem já é certificado.

O ponto de virada: fim da dependência obrigatória da ISO 27001

Na versão de 2019, a 27701 nasceu como extensão das normas de segurança , para certificar o sistema de gestão de privacidade, era necessário ter o SGSI da ISO 27001 já certificado ou em processo. A versão 2025 remove essa exigência: o escopo foi revisado para que o sistema de gestão de privacidade seja autônomo.

O impacto de mercado é grande, sobretudo para startups, clínicas de saúde e escritórios que lidam com dados sensíveis mas não tinham fôlego para implementar toda a robustez de um SGSI completo. Continua sendo muito recomendável ter a ISO 27001 , só não é mais pré-requisito.

Na prática documental, as referências normativas obrigatórias à ISO 27001 e à ISO 27002 saíram do texto principal, e as definições que antes exigiam consulta a outros documentos foram consolidadas na cláusula 3 da própria norma.

Olívia, especialista Templum
Quer isso avaliado na sua empresa?

Diagnóstico gratuito do seu SGSI: onde estão as lacunas de controle, antes de o auditor apontar.

Falar com a Olívia

As cláusulas 4 a 10 agora são requisitos, não notas explicativas

Como a 27701 passou a ser um sistema de gestão completo, as cláusulas de 4 a 10 deixaram de funcionar como notas de extensão da 27001 e se tornaram requisitos mandatórios e integrais, seguindo a estrutura de alto nível (HLS) comum às normas ISO.

Duas mudanças no planejamento merecem atenção especial:

Mudanças climáticas no contexto , sim, também aqui

Pode soar estranho em uma norma de privacidade, mas a ISO passou a exigir que a organização determine se as mudanças climáticas são questão relevante para o seu contexto. Na 27701:2025 isso ganhou direcionamento específico: a pergunta é se o tema afeta a resiliência do tratamento de dados.

Para quem já tratou o assunto de forma genérica em outro sistema de gestão, é hora de revisitar o escopo e as perguntas que definem contexto interno e externo, agora com a lente da privacidade.

Avaliação de risco de privacidade dedicada (cláusula 6.1)

Não se aceita mais avaliação de risco genérica. A norma exige uma avaliação dedicada à privacidade, que considere as consequências não apenas para o negócio, mas para os direitos e liberdades dos titulares.

É uma mudança de eixo: sai a proteção do ativo de informação, entra a proteção do indivíduo titular. Consequência prática: o mapeamento de dados e o relatório de impacto à proteção de dados pessoais (RIPD/DPIA) precisam ser revisitados sob essa nova ótica , de um sistema mais introspectivo para um sistema voltado para fora.

O Anexo A foi reorganizado em três tabelas

Quem trabalha com auditoria e consultoria na 27701 conhece a antiga lista longa, com controles de 27001 e 27701 misturados. A nova estrutura separa em três blocos bem definidos:

  • Tabela A1 , controladores: 30 controles. Para quem decide sobre o uso dos dados e atende diretamente aos direitos dos titulares: acesso, retificação, revogação, exclusão. Mantidos, mas reformulados.
  • Tabela A2 , operadores: 18 controles. Específicos para quem trata dados em nome de terceiros, garantindo que as instruções sejam seguidas à risca.
  • Tabela A3 , 29 controles extraídos da ISO 27002. É a grande novidade prática: o mínimo viável de segurança para sustentar a privacidade.

A tabela A3 é o reconhecimento explícito de que não existe privacidade sem segurança. Mesmo em um sistema independente, é preciso aplicar controles técnicos , criptografia, backup, gestão de logs e desenvolvimento seguro de software. A diferença é a ótica: proteger o dado pessoal, não apenas o servidor da empresa.

Governança e accountability saíram do papel

A prestação de contas permeia todo o documento, e o recado é direto: não basta ter política arquivada. A alta direção precisa estar envolvida na análise crítica, na destinação de orçamento e na construção de uma cultura de privacidade.

Some-se a isso uma ênfase mais vigorosa em gestão de terceiros: due diligence e monitoramento contínuo de operadores e suboperadores, para que a cadeia de suprimentos sustente o mesmo padrão de privacidade. Na prática, significa revisitar critérios de aprovação de fornecedores e cláusulas contratuais de subcontratação , deixando de tratar privacidade de forma genérica.

E a inteligência artificial?

Aqui há uma sutileza que evita mal-entendidos: a norma não usa o termo "inteligência artificial". A preocupação é endereçada pelo controle de decisão automatizada e perfilamento.

Empresas que usam algoritmos para perfilar clientes ou tomar decisões , de crédito, por exemplo , precisam garantir mecanismos claros de oposição e de revisão humana. É a ponte natural com a ISO/IEC 42001, a norma de gestão de inteligência artificial, e com o que os reguladores já vêm exigindo em termos de ética algorítmica.

Prazo de transição: até 2028

Para quem já tem a certificação na versão 2019, o período de transição projetado é de cerca de três anos, ou seja, até 2028. Os organismos certificadores atualizaram seus critérios de competência técnica para auditar a nova versão, e a norma já foi traduzida para o português.

Prazo generoso não é motivo para deixar para depois. A recomendação para quem já está certificado e já tratou as não conformidades da auditoria:

  1. Começar o mapeamento dos processos sob a nova estrutura
  2. Eliminar controles redundantes o quanto antes
  3. Rodar um gap analysis contra a versão 2025 para identificar lacunas
  4. Revisar os riscos de privacidade com o foco nos direitos dos titulares
  5. Revisar a documentação antes da próxima auditoria

Quem já implementou a ISO 27001 tem trabalho bastante facilitado, justamente porque boa parte dos controles da nova tabela A3 vem da ISO 27002 e já está no ar.

Por que a atualização pode destravar sua certificação

Há um perfil de empresa que recuava diante da 27701 por não querer expandir toda a estrutura de segurança da informação primeiro. Com a independência, o caminho fica mais curto e mais barato: menos custo de compliance, mais clareza sobre o que é segurança e o que é privacidade, e mais transparência perante clientes e autoridades reguladoras.

Isso ganha peso no cenário brasileiro, em que todo tratamento de dados precisa de base legal definida. A nova versão simplifica a implementação e separa com nitidez as duas disciplinas , pode ser exatamente a hora de retomar o projeto.

Assista ao treinamento técnico completo

Este artigo cobre o panorama geral apresentado na primeira parte do treinamento técnico gratuito conduzido por Carlos Eduardo Moura:

Treinamento Técnico - Atualização da ISO 27701:2025

Cluster ISO 27701 (implementar, certificar, LGPD)

Quer certificar com apoio? Consultoria Templum (SGPI/SGSI) · Diagnóstico gratuito · Guia de certificação ISO 27701

Perguntas frequentes

Ainda é obrigatório ter a ISO 27001 para certificar a ISO 27701?

Não. Desde a edição de 2025 você pode certificar só a gestão de privacidade (ISO 27701) sem ter a ISO 27001 de segurança da informação certificada antes. Ter as duas ainda ajuda, mas deixou de ser pré-requisito.

Qual é o prazo de transição para a ISO 27701:2025?

Em geral até 2028 para quem já possui certificado na versão de 2019. Vale comparar o que falta na nova norma e ajustar documentos e riscos antes da próxima auditoria.

Como ficou o Anexo A da ISO 27701:2025?

Os controles foram divididos em três grupos: regras para quem decide o uso dos dados (controlador), para quem trata dados por conta de outra empresa (operador) e um bloco mínimo de segurança (criptografia, backup, logs). Detalhe em Anexo A neste artigo.

O que mudou na avaliação de risco da nova versão?

A norma exige analisar risco pensando na pessoa titular dos dados, não só no sistema de TI. Isso impacta o mapeamento de dados e o relatório de impacto (RIPD) quando a lei exigir.

A ISO 27701:2025 trata de inteligência artificial?

A norma não fala em IA pelo nome, mas cobre decisões automáticas e perfilamento. Quem usa algoritmo para crédito ou marketing precisa permitir oposição e revisão humana quando couber.

Mudanças climáticas entraram na norma de privacidade?

Sim. A empresa deve avaliar se clima e desastres afetam a continuidade do tratamento de dados pessoais, além dos riscos já mapeados em outros sistemas de gestão.

ISO 27701 - Privacidade de Dados: o que é?

É a norma internacional que define um sistema de gestão de privacidade: inventário de tratamentos, papéis, riscos, direitos das pessoas e evidências para auditoria. A edição 2025 pode ser certificada sozinha ou junto com a ISO 27001.

Quais são os passos práticos para implementar a ISO 27701 em uma empresa de médio porte?

Ordem usual: definir escopo, mapear tratamentos, avaliar riscos, aplicar controles, operar com registros e só então chamar o organismo certificador. São nove passos comentados em como implementar a ISO 27701.

Quais são os critérios e etapas para obter a certificação ISO 27701?

Resumo: sistema de privacidade funcionando com provas, auditoria interna, contratação de certificadora acreditada (estágios 1 e 2) e correção de pendências. Passo a passo completo em certificação ISO 27701.

Como a ISO 27701 ajuda na conformidade com LGPD/GPDR e outras regulamentações de privacidade?

Ela organiza processos e registros que a lei pede (tratamentos, titulares, fornecedores), mas não substitui advogado, DPO nem bases legais. Veja ISO 27701 e LGPD.

Webinar gratuito: Requisitos para Produtos e Serviços, quarta 21/10, às 16h Webinar gratuito · ao vivoRequisitos para Produtos e ServiçosQuarta, 21/10, às 16h (Brasília)Quero minha vaga
Consultoria Templum

Precisa de consultoria para ISO 27701?

Fale com nosso especialista. Conte o cenário da sua empresa e a gente responde com o caminho até a certificação — sem custo e sem compromisso.

Ao enviar, você concorda em receber contato da Templum sobre a certificação ISO 27701. Seus dados são protegidos conforme a LGPD e não são compartilhados com terceiros.