Um sistema de gestão de privacidade sobre ISO/IEC 27701:2025, alinhado à Lei 21.719 e ao GDPR ao mesmo tempo.
A revisão de 2025 transformou a ISO/IEC 27701 em uma norma autônoma: já não é uma extensão que obrigue a certificar ISO 27001 antes. Isso a coloca ao alcance de organizações que precisam demonstrar governança de privacidade sem montar primeiro um sistema de gestão de segurança completo.
A transição tem data: quem já estiver certificado sob a edição de 2019 deve passar para a de 2025 antes de outubro de 2028 — os certificados vigentes valem até sua expiração ou até esse prazo, o que ocorrer primeiro. E o circuito acreditado já está completo: a ISO/IEC 27706:2025 substituiu a ISO/IEC TS 27006-2:2021 como norma dos organismos certificadores, de modo que certificar o sistema de privacidade por si só é auditável hoje e não uma expectativa.
E há uma razão local com data: a Lei 21.719 entra em vigor em 1º de dezembro de 2026 —faltam 92 dias— e alcança qualquer organização que trate dados pessoais, não apenas operadores críticos. Uma implementação séria leva de três a seis meses. Quem além disso tiver clientes ou fornecedores na Europa precisa responder ao GDPR com a mesma evidência. Este programa produz uma única documentação que serve aos três marcos, em vez de três projetos que depois ninguém reconcilia.
A norma e a sua referência
ISO/IEC 27701:2025 — sistema de gestão de privacidade
ISO/IEC 29100 — marco de privacidade, sua única referência normativa
ISO/IEC 27706:2025 — certificação do PIMS (organismos)
Correspondências que a própria norma traz
GDPR — anexo D
ISO/IEC 27018 e ISO/IEC 29151 — anexo E
ISO/IEC 27701:2019 — anexo F, para quem vem da edição anterior
Metodologia que trazemos
ISO/IEC 29134 — relatório de impacto à privacidade (DPIA)
ISO 31000 — gestão de risco
ISO/IEC 27002 — controles de segurança
Tudo nesta seção está citado por artigo e verificado contra o texto consolidado. Se a lei não exige, aqui não aparece como obrigatório — e o que ela exige e costuma ser omitido está sinalizado.
Para se pronunciar sobre uma solicitação do titular
Art. 11De prorrogação, e só pode ser usada uma vez
Art. 11Para responder a uma solicitação de bloqueio temporário
Art. 11As violações de dados são reportadas «sem demora indevida»
Art. 14 sexies14 deveres agrupados por tema. Toque em um para abri-lo.
Acesso, retificação, eliminação, oposição, portabilidade e bloqueio. São pessoais, intransferíveis e irrenunciáveis, e não podem ser limitados por nenhum ato ou convenção.
Procedimento com os seis canais, autenticação de identidade do solicitante e critérios de recusa fundamentada.
Acusar recebimento e se pronunciar em 30 dias corridos, prorrogáveis uma única vez por outros 30. É preciso armazenar o comprovante que demonstre o envio da resposta, sua data e seu conteúdo íntegro. O bloqueio temporário se responde em 2 dias úteis, e enquanto não for resolvido esses dados não podem ser tratados.
Registro de solicitações com controle de prazos, modelos de resposta e dossiê probatório por solicitação.
O site deve manter «pelo menos» doze conteúdos, da letra a) à l): a política de tratamento com data e versão; o controlador e seu representante legal; o canal de contato; as categorias de dados, o universo de titulares, os destinatários, as finalidades e a base de legitimidade; as medidas de segurança; os direitos do titular; o direito de recorrer à Agência; as transferências internacionais e suas garantias; o prazo de conservação; a fonte dos dados; o direito de retirar o consentimento; e a existência de decisões automatizadas com informação sobre a lógica aplicada.
Política pública redigida contra as doze letras, versionada e publicada. É um superconjunto do registro das operações de tratamento do artigo 30 do GDPR, e ainda por cima público.
Informar e colocar à disposição do titular os antecedentes que comprovem a licitude do tratamento, e entregá-los de maneira expedita quando forem solicitados. Coletar de fontes lícitas com fins específicos e explícitos. Comunicar informação exata, completa e atual. Eliminar ou anonimizar o que foi obtido para medidas precontratuais.
Inventário de tratamentos com finalidade e base de licitude declaradas para cada um, e regras de eliminação ao encerrar a finalidade.
O dever de sigilo subsiste mesmo após o término da relação com o titular. E há uma armadilha habitual: se forem tomados dados de fontes públicas e eles forem organizados, classificados, combinados ou complementados, o resultado fica protegido pelo mesmo dever.
Cláusulas de confidencialidade em contratos de trabalho e com operadores, controle de acesso por papel, e tratamento das fontes públicas como aquilo em que se convertem ao serem enriquecidas.
Medidas técnicas e organizacionais aplicadas antes e durante o tratamento, considerando o estado da técnica, os custos, a natureza e os riscos. E, por padrão, tratar apenas os dados estritamente necessários, atendendo ao número de dados, à extensão, ao prazo de conservação e à acessibilidade.
Controles de privacidade incorporados aos processos e sistemas que já existem, não em um anexo à parte.
As medidas devem assegurar confidencialidade, integridade, disponibilidade e resiliência, e incluir «entre outros» a pseudonimização e a criptografia, a capacidade de restaurar o acesso com rapidez após um incidente e um processo de verificação regular de sua eficácia. Diante de um incidente e em controvérsia judicial ou administrativa, cabe ao controlador comprovar que existiam e funcionavam.
Controles do anexo A com evidência datada de operação. É esse ônus da prova invertido que converte o dossiê na única defesa disponível.
Reportar à Agência «pelos meios mais expeditos possíveis e sem demora indevida» quando exista risco razoável para os direitos dos titulares, e manter registro dessas comunicações. Se os dados forem sensíveis, de crianças menores de catorze anos ou de caráter econômico, financeiro, bancário ou comercial, é preciso comunicá-lo também a cada titular afetado, em linguagem clara e simples; se não for possível, mediante aviso em um meio de comunicação de massa de alcance nacional.
Procedimento de violação de dados com árvore de decisão, modelos de notificação à Agência e aos titulares, e registro de violações.
Os padrões mínimos dos deveres de informação e de segurança são graduados por tipo de dado, conforme o controlador seja pessoa física ou jurídica, pelo porte da empresa segundo a Lei 20.416, pela atividade e pelo volume e pelas finalidades dos dados. A Agência os fixará mediante instrução geral, que ainda não existe.
Escopo e profundidade dimensionados à organização, com o critério de gradação documentado para poder defendê-lo.
Todo tratamento feito por um operador se rege por contrato, e o contrato deve estabelecer objeto, duração, finalidade do tratamento, tipo de dados, categorias de titulares e direitos e obrigações das partes. O operador não pode subdelegar sem autorização específica e por escrito. Se tratar os dados para um objeto distinto ou os ceder sem autorização, é considerado controlador para todos os efeitos legais e responde solidariamente pelos danos. Terminado o serviço, os dados são eliminados ou devolvidos.
Contratos com operadores com os seis conteúdos, cláusulas de suboperação e matriz de operadores cruzada contra o inventário. A Agência publicará modelos padrão; nós os revisamos para que não sejam assinados em branco.
Obrigatório antes do início do tratamento quando for provável um alto risco, e sempre em quatro casos: definição de perfil com efeitos jurídicos significativos, tratamento massivo ou em larga escala, monitoramento sistemático de áreas de acesso público, e dados sensíveis tratados sob exceção do consentimento.
Metodologia sobre a ISO/IEC 29134 e os relatórios de impacto dos tratamentos que se enquadram nas quatro hipóteses, com a consulta prévia à Agência quando o resultado assim recomendar.
Os controladores, sejam pessoas físicas ou jurídicas, públicas ou privadas, deverão adotar ações destinadas a prevenir a prática das infrações dos artigos 34 bis, 34 ter e 34 quáter. O verbo é «deverão»: isto não é voluntário.
Análise de risco de infração por processo e plano de ações preventivas rastreável a cada tipo infracional.
O modelo de prevenção é adotado voluntariamente e, se for adotado, deve conter sete elementos mínimos —começando por designar um encarregado e definir seus meios e atribuições—. O encarregado por si só também é facultativo: o controlador «poderá» designá-lo, quem deve fazê-lo é a máxima autoridade, e em micro, pequenas e médias empresas o dono pode assumir pessoalmente essas tarefas.
Programa de conformidade com os sete elementos, descritivo do encarregado e sua incorporação aos contratos de trabalho ou ao regulamento interno, como exige o próprio artigo 49.
É a própria Agência quem certifica o modelo, não um terceiro, e quem o supervisiona. O certificado tem uma vigência de três anos e decai por revogação, dissolução, decisão judicial ou cessação da atividade. Os certificados vigentes são publicados no Registro Nacional de Sanções e Cumprimento.
Preparação do dossiê de certificação e do ciclo de supervisão, mais o acompanhamento da renovação antes que vença.
Se as medidas corretivas não forem adotadas em 60 dias, a multa leva um acréscimo de 50%. Com reincidência, o valor pode chegar a três vezes.
O 2% ou 4% da receita anual é um teto excepcional: só alcança empresas que não sejam de menor porte e que reincidam em infrações graves ou gravíssimas. Reincidir é ter sido sancionado duas ou mais vezes em trinta meses, com as decisões já definitivas.
Tudo se publica no Registro Nacional de Sanções e Cumprimento, gratuito e público, e as anotações ficam visíveis cinco anos. Ali também consta quem tem um modelo certificado vigente.
Durante os primeiros doze meses, às empresas de menor porte a Agência pode aplicar uma advertência escrita em vez da sanção. Pode, não deve — e a advertência também é inscrita no registro público.
É preciso se inscrever em um registro público
Não existe tal registro. O artigo terceiro transitório ordena eliminar o de bancos de dados que o Registro Civil mantinha sob o artigo 22 da Lei 19.628, e não cria nenhum em seu lugar. O que é obrigatório, sim, é publicar o conteúdo, pelo artigo 14 ter.
É preciso nomear um encarregado de proteção de dados
O artigo 50 diz que o controlador «poderá» designá-lo, e o 14 ter b) se refere ao encarregado de prevenção «se existir». Em micro, pequenas e médias empresas o próprio dono pode assumir essas tarefas. O que é obrigatório, sim, pelo artigo 48, é adotar ações de prevenção.
As violações de dados são notificadas em 72 horas
Esse prazo é do GDPR. O artigo 14 sexies exige reportar «pelos meios mais expeditos possíveis e sem demora indevida», que na prática é mais exigente: não concede a ninguém três dias de margem.
Percorrem as cláusulas 4 a 10 da norma e os controles do seu Anexo A. Duração estimada de 4 a 7 meses conforme o porte e a complexidade da organização.
Análise de lacunas contra ISO 27701, Lei 21.719 e GDPR em uma única matriz. Escopo do sistema definido, com o papel declarado —controlador, operador ou ambos, porque a norma exige controles distintos para cada um— e relatório executivo para a direção.
Política pública de tratamento com os conteúdos do artigo 14 ter, política interna de privacidade, atribuição nominal da responsabilidade pelo sistema —a ISO 27701 exige um ponto de contato, a Lei 21.719 não obriga a nomear encarregado—, comitê e objetivos de privacidade mensuráveis.
Registro das Operações de Tratamento, do qual saem as doze letras que o artigo 14 ter obriga a publicar, os dados que o artigo 15 bis exige declarar em cada contrato com operador e a prova de licitude do artigo 14 letra a). Com ele, fluxos de dados, finalidade e base de licitude por tratamento, e inventário de transferências internacionais com os países de destino e suas garantias.
Metodologia de risco de privacidade, relatórios de impacto (DPIA) dos tratamentos de alto risco e a declaração de aplicabilidade: o documento onde se justifica cada controle do anexo A que é excluído, e sem o qual não há certificação.
Direitos dos titulares —incluída a cópia de seus dados e as decisões automatizadas—, notificação de violação de dados com os prazos de ambos os marcos, contratos com operadores, retenção, eliminação segura e desidentificação ao terminar a finalidade.
Os controles que a norma exige aplicar antes de coletar: minimização, limitação da finalidade, exatidão e tratamento de arquivos temporários. Integram-se aos processos e sistemas que já existem, não a um documento à parte.
Implantação acompanhada, capacitação por papel, dossiê de evidências, auditoria interna, análise crítica pela direção e preparação para a certificação.
A análise de lacunas pode ser contratada sozinha. Abaixo, a opção de integrá-la com Governança de IA num único sistema de gestão, que sai mais barato do que levá-los separados.
ISO 27701
Um único projeto, não 2 por separado
Como o valor é determinado
As propostas são expressas em UF, mais IVA. O valor de cada projeto vem de quatro fatores:
Monte seu escopo no orçamentador e receba a proposta com os valores em UF em até 24 horas úteis. Sem reunião prévia e sem deixar seus dados até o final.
Uma conversa de 30 minutos, sem custo, para entender a sua situação e dizer com franqueza se este programa é o que você precisa.
Seu carrinho está vazio
Adicione pacotes ou planos de documentação normativa