ABNT NBR ISO/IEC 27701:2026

O que é

É a norma internacional sobre gestão da privacidade da informação. Define o que uma organização precisa ter para tratar dados pessoais de forma organizada, com responsáveis, regras e controles. Na edição de 2019, era uma extensão da ISO/IEC 27001; desde a edição de 2025, é uma norma de sistema de gestão completa por si só.

Para que serve

Serve para dar método ao tratamento de dados pessoais. A organização define em que papel atua: quem decide sobre os dados ou quem os trata em nome de outro. Também define para que cada dado é usado, com qual fundamento, por quanto tempo fica guardado e com quem é compartilhado. A partir daí, avalia os riscos à privacidade das pessoas, escolhe controles proporcionais e revisa tudo de tempos em tempos. Para quem atua no Brasil, conversa diretamente com as obrigações da LGPD, como o registro das operações de tratamento e o atendimento aos direitos do titular.

Por que importa

A ISO/IEC 27701 dá uma linguagem comum para a gestão da privacidade. Em vez de criar o próprio modelo, a organização segue uma estrutura reconhecida internacionalmente, com papéis, regras e controles que podem ser descritos e comparados. Para o mercado, isso facilita contratos, questionários de clientes e a conversa entre empresas de países diferentes. No Brasil, a LGPD prevê que controladores e operadores podem adotar regras de boas práticas e programas de governança em privacidade (art. 50). A lei também considera a adoção dessas políticas ao dosar as sanções (art. 52, § 1º, IX). A norma não substitui a lei, mas ajuda a organizar o seu cumprimento.

Na escolha de fornecedores e parceiros, a norma serve de referência para perguntas objetivas. Pela LGPD, o controlador verifica se o operador segue as suas instruções (art. 39). O operador pode responder junto pelos danos quando descumpre a lei ou essas instruções (art. 42). Por isso, antes de contratar um fornecedor ou parceiro que vai tratar dados pessoais, o gestor de compliance precisa entender como ele organiza finalidades, guarda, compartilhamento e resposta a incidentes. Conhecer a 27701 ajuda a separar quem tem método documentado de quem apenas declara cuidado. Quando o terceiro apresenta certificado, vale conferir o escopo, a validade e o que de fato está coberto.

Temas centrais

1. 01Papéis de controlador e de operador de dados pessoais
2. 02Finalidade e fundamento legal de cada tratamento
3. 03Transparência e atendimento aos direitos do titular
4. 04Riscos e avaliação de impacto à privacidade
5. 05Compartilhamento com terceiros e transferência internacional
6. 06Guarda, descarte e resposta a incidentes com dados pessoais