LGPD e ISO 27001: onde uma cobre a outra e onde não

A pergunta chega quase sempre na mesma forma: "se eu certificar na ISO 27001, estou em conformidade com a LGPD?" A resposta curta é não. A resposta útil é entender exatamente onde uma cobre a outra, onde não cobre, e o que fazer com a sobreposição — porque ela é grande e mal aproveitada.

São instrumentos de natureza diferente. A LGPD é lei: obriga, define direitos e prevê sanção. A ISO 27001 é norma técnica voluntária: não obriga ninguém, mas entrega a estrutura de gestão que a lei exige sem explicar como construir.

O que cada uma é, e por que não se substituem

A confusão nasce de um detalhe que passa batido: as duas tratam de conjuntos de informação diferentes, e nenhum contém o outro.

Repare no cruzamento: existe informação crítica que não é dado pessoal — código-fonte, planejamento estratégico, formulação de produto, tabela de preços, contrato. A LGPD não alcança nada disso. E existe exigência sobre dado pessoal que não é segurança — base legal, finalidade, direito do titular. A ISO 27001 não alcança nada disso.

Onde a ISO 27001 atende ao que a LGPD exige

O ponto de contato mais direto é o artigo 46 da LGPD: os agentes de tratamento devem adotar "medidas de segurança, técnicas e administrativas" aptas a proteger os dados pessoais. A lei diz que é obrigatório. Não diz quais medidas, em que profundidade, nem como provar que existem.

É exatamente esse vazio que um SGSI preenche. Quem implementa a ISO 27001 já constrói, por exigência da própria norma:

• avaliação de riscos documentada, com critérios definidos — a base para justificar por que cada medida foi escolhida, que é o que um questionamento da ANPD ou de um cliente vai pedir;
• controle de acesso, com quem pode ver o quê e revisão periódica dos acessos concedidos;
• gestão de incidentes, com procedimento definido antes do incidente e canal para quem detectar reportar;
• gestão de fornecedores — que na LGPD aparece como a responsabilidade solidária entre controlador e operador;
• conscientização das pessoas, com registro. A maior parte dos vazamentos passa por erro humano, não por invasão sofisticada;
• informação documentada sob controle de versão, retenção e descarte;
• criptografia e mascaramento, quando o risco justificar — detalhamos em controle criptográfico (8.24) e mascaramento de dados (8.11), este último diretamente ligado à anonimização e à pseudonimização da lei;
• continuidade e backup, que respondem pela disponibilidade — ver backup e cópia de segurança (8.13).

Há um ganho colateral que vale mais do que parece: a ISO 27001 obriga a saber onde a informação está. O inventário de ativos e o mapa da informação que saem do mapeamento de processos são, na prática, metade do trabalho de um inventário de tratamento de dados pessoais. Muita empresa faz esse levantamento duas vezes, por projetos separados que não conversam.

O que a ISO 27001 não resolve na LGPD

Esta é a lista que costuma faltar nas conversas comerciais, e é ela que evita frustração depois da auditoria:

• Base legal. A LGPD exige que todo tratamento se apoie em uma hipótese do artigo 7º (ou do artigo 11, para dado sensível). Escolher e registrar a base legal de cada tratamento é trabalho jurídico. Nenhum controle do Anexo A faz isso;
• Finalidade e minimização. A lei exige propósito legítimo, específico e informado, e tratamento limitado ao mínimo necessário. Um SGSI protege bem um dado que a empresa nem deveria estar coletando;
• Direitos do titular. Confirmação, acesso, correção, portabilidade, eliminação, informação sobre compartilhamento, revogação do consentimento — com prazos de atendimento. A ISO 27001 não prevê esse processo;
• Encarregado (DPO). A LGPD exige a figura e a divulgação pública da sua identidade. A 27001 exige responsabilidades atribuídas no SGSI, o que não é a mesma coisa;
• Relatório de Impacto (RIPD). Instrumento do artigo 38, que a ANPD pode solicitar. Parente da avaliação de riscos, mas com objeto diferente: o risco aos direitos do titular, não ao negócio;
• Transferência internacional e as regras próprias para ela;
• Prazo de retenção vinculado à finalidade. A 27001 pede regra de retenção; a LGPD determina eliminação ao término da finalidade — que é uma decisão jurídica, não técnica.

A leitura honesta é esta: a ISO 27001 cobre com folga a dimensão de segurança da LGPD e não toca na dimensão de legalidade. Programa de adequação que só contrata segurança fica exposto; programa que só contrata jurídico protege dado no papel e vaza na prática.

Incidente: onde as duas se encontram na prática

O vazamento é o momento em que a sobreposição deixa de ser teórica. Um único incidente aciona as duas frentes ao mesmo tempo, com obrigações diferentes:

• Pela LGPD, se houver dado pessoal envolvido: avaliar o incidente (natureza, categoria e número de titulares afetados), acionar o encarregado, comunicar a ANPD e os titulares quando houver risco ou dano relevante, e documentar a avaliação e as medidas adotadas. A Resolução CD/ANPD nº 15/2024 regulamentou essa comunicação e fixou prazo — confirme o prazo vigente com o seu jurídico antes de montar o procedimento, porque é o tipo de regra que muda;
• Pela ISO 27001, para todo o resto: acionar o procedimento de gestão de incidentes, conter, registrar, tratar a causa e alimentar a melhoria do sistema.

Quem tem SGSI implantado descobre o incidente mais cedo e chega na comunicação com a informação organizada — que é justamente o que o prazo legal cobra. Quem não tem passa os primeiros dias descobrindo o que aconteceu, e o prazo corre igual. O passo a passo está em ISO 27001 e LGPD: como lidar com vazamento de dados.

Onde entra a ISO 27701

A ISO/IEC 27701 é a norma que traduz privacidade em sistema de gestão: separa os papéis de controlador e de operador, trata risco de privacidade de forma dedicada e cobre boa parte do que a 27001 deixa de fora — inclusive o que se aproxima de finalidade, direitos do titular e responsabilidade na cadeia.

Uma mudança importante e recente: até a edição de 2019 a 27701 só podia ser certificada junto com a ISO 27001. A edição de 2025 a tornou um sistema de gestão independente, com Anexo A reorganizado e avaliação de risco de privacidade própria. Quem já tem a 27001 continua levando vantagem, porque boa parte dos controles é compartilhada. Entenda em ISO 27701:2025: o que muda e veja a comparação em ISO 27001 e ISO 27701: qual a diferença.

Ainda assim, vale a mesma ressalva: 27701 é norma internacional, LGPD é lei brasileira. A 27701 é o que mais perto chega de dar estrutura de gestão à privacidade, mas continua sendo necessário mapear as exigências específicas da lei.

Certificado não é conformidade

Não existe "certificação LGPD" reconhecida oficialmente, e a ANPD não aceita certificado como prova de conformidade. O que a lei prevê, no artigo 50, é que o agente de tratamento pode formular regras de boas práticas e programas de governança, e que essa demonstração conta a seu favor — inclusive na dosimetria de uma eventual sanção, quando a autoridade considera as medidas adotadas.

É aí que o certificado tem valor real: como evidência auditada por terceiro independente de que a dimensão de segurança do programa existe e opera. Não é escudo, é prova. E na prática comercial vale ainda mais: cada vez mais contrato e questionário de fornecedor pedem a ISO 27001 explicitamente, e ter o certificado encerra uma negociação que sem ele consome semanas de formulários.

Por onde começar com as duas na mesa

1. Faça um levantamento só. O inventário de ativos de informação do SGSI e o inventário de tratamento de dados pessoais compartilham a maior parte do esforço. Rodar os dois em projetos separados é o desperdício mais comum;
2. Defina o escopo do SGSI olhando para onde está o dado pessoal. Se o processo que trata dado de titular ficar fora do certificado, o certificado não ajuda no argumento de LGPD. Veja como definir o escopo;
3. Separe as duas naturezas de risco. Risco ao negócio vai para a avaliação da cláusula 6 da ISO 27001; risco aos direitos do titular vai para o RIPD. Eles se alimentam, mas não são o mesmo documento;
4. Use os controles do Anexo A como resposta ao artigo 46, com a rastreabilidade explícita: este controle atende a esta exigência, por esta razão. É essa ligação que sobrevive a um questionamento;
5. Trate jurídico e segurança como um projeto, não dois. Base legal sem controle é promessa; controle sem base legal é dado protegido que não deveria estar ali.

Leia mais

• ISO 27001 e LGPD: como lidar com vazamento de dados
• ISO 27001: o que é, requisitos e como certificar
• Requisitos da ISO 27001: as cláusulas 4 a 10 explicadas
• Certificação ISO 27001: etapas, prazo e custo
• ISO 27001 em cartórios: por que não basta a LGPD
• ISO 27001 na contabilidade: por que ir além da LGPD
• ISO 27701:2025: a norma de privacidade ficou independente da 27001
• Segurança da informação: o que é, riscos e como proteger
• Consultoria ISO 27001: como funciona