ISO/IEC 27701

A ISO/IEC 27701 nasceu como extensão das ISO/IEC 27001 e 27002, acrescentando requisitos de privacidade a um sistema de gestão de segurança da informação. Sua edição mais recente foi reestruturada para poder ser usada também como norma de sistema de gestão independente, mantendo a compatibilidade com a família 27001. A norma usa o termo PII (informação de identificação pessoal) e separa controles para controladores e para operadores.

Os controles abrangem condições para coleta e tratamento, obrigações perante os titulares, privacidade desde a concepção e por padrão, e compartilhamento, transferência e divulgação de dados. Anexos relacionam os controles ao GDPR e a outros referenciais, o que ajuda a mostrar como o sistema apoia obrigações da LGPD, embora a certificação, por si só, não prove conformidade legal.

Auditores avaliam a conformidade por amostragem de evidências e registro de não conformidades, o mesmo método usado na ISO/IEC 42001, e os dois sistemas de gestão podem compartilhar processos como avaliação de riscos, auditoria interna e análise crítica. Exemplo: um operador de nuvem busca a certificação 27701 para responder a diligências de clientes com evidência de auditoria independente.