Maturidade ISO 27701 · Proteção de dados pessoais e extensão aos sistemas de gestão da privacidade
Sua gestão de privacidade medida pela ISO 27701, traduzida em um plano de ação com custos.
13 temas, 144 perguntas, uma escala de 5 níveis. E a ação que faz cada nível avançar para o seguinte.
Os 13 temas do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 ao mesmo tempo.
Maturidade ISO 27701 · Proteção de dados pessoais e extensão aos sistemas de gestão da privacidade
13 temas, 144 perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Eles medem sua maturidade com a Datamensio
Um exemplo
Essa situação poderia ser a sua.
Vamos pegar o exemplo de uma empresa: três unidades, três planilhas, nenhuma resposta em comum.
Ninguém sabe consolidar.
A Nordhavn Industries, 2.400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta como está o grupo. Cada unidade responde na sua própria planilha, com suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico ISO/IEC 27701:2019 (revisão ISO/IEC 27701:2025) iniciado nas três unidades ao mesmo tempo, a partir das anotações de entrevista dos responsáveis. O referencial já estava escrito, os 13 temas e os níveis N1 a N5 também.
Dois gastos evitados antes de serem assumidos.
Um score de 53 em 100, um desvio concentrado em três temas. O assistente de IA identificou que duas ações do plano se repetiam com as de outra auditoria. A apresentação dos resultados ao comitê foi solicitada em uma frase.
O que isso evitou para eles
- 3unidades medidas na mesma base, em vez de três questionários para retrabalhar
- 2ações duplicadas detectadas antes do gasto
- 1apresentação dos resultados ao comitê, sem retrabalho manual
Esses números são de um exemplo. Eles poderiam ser os seus.
A norma impõe processos. A Datamensio mostra onde você está.
01
O referencial já está escrito
Temas, perguntas e níveis N1 a N5 redigidos. Você não começa de uma planilha vazia.
02
O score sai no mesmo dia
On-line, por link de autoavaliação ou em entrevista. Tema por tema, comparável ao longo do tempo.
03
O desvio vira um plano com custos definidos
Cada passagem de nível traz sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A evolução se comprova
Campanha após campanha, contra sua meta e contra seu histórico. É o que sua diretoria pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É esse mecanismo (um nível, um nível superior, e a ação que liga os dois) que transforma uma constatação em trajetória.
As solicitações de exercício de direitos dos titulares de dados são tratadas segundo um processo definido e rastreado?
- N1
Nenhum processo identificado. As solicitações chegam por canais variados e são tratadas pela pessoa que as recebe, sem registro mantido.
- N2
Existe um ponto de entrada e um procedimento está escrito, mas sua aplicação depende das equipes e os prazos não são medidos.
- N3
O processo é divulgado e aplicado: recebimento centralizado, autenticação do solicitante, resposta dentro do prazo regulamentar, rastreabilidade de cada solicitação.
- N4
As solicitações são acompanhadas por indicadores (volume, tipo, prazo, taxa fora do prazo), revisados periodicamente, e os tratamentos envolvidos são identificados a cada solicitação.
- N5
As lacunas e os motivos recorrentes alimentam correções nos próprios tratamentos, com acompanhamento documentado das revisões do processo.
Ação para passar de N2 para N3
Centralizar o recebimento das solicitações em um canal único, abrir um registro de acompanhamento com data de recebimento, data de vencimento e data de resposta, e incluir a revisão das solicitações em andamento no comitê mensal da área de dados pessoais.
« Graças à Datamensio, cumprimos nossas metas com muito mais eficiência. Os serviços de inspeção do FEDER e do nosso ministério supervisor apreciaram especialmente essa abordagem, que lhes traz dados confiáveis. »
Diretora da CCI 94CCI Île-de-France
« Acreditamos que essa é a solução mais adequada para levar nosso projeto de transformação em escala e medir o impacto de acordo com nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial se combina. Associe vários para cobrir sua atividade, ou peça para a IA escrever o seu.
Faça sua primeira mediçãoem ISO 27701.
Do que trata esse referencial
A ISO 27701 é a extensão da ISO 27001 e da ISO 27002 à proteção da privacidade. Ela descreve um PIMS, sistema de gestão de informações privadas, e acrescenta dois conjuntos distintos de controles: um para o controlador de dados, outro para o operador. Ela retoma os princípios da ISO 29100: consentimento, minimização, limitação de finalidade, exatidão, transparência, participação do titular dos dados. Ela não é auditada isoladamente: é certificada como extensão de uma certificação ISO 27001, dentro de um escopo definido.
É um referencial exigente de conduzir, porque trata de práticas distribuídas entre jurídico, segurança, áreas de negócio e compras. O inventário de tratamentos de dados reflete a atividade real, ou a atividade declarada há três anos? As avaliações de impacto são disparadas por um critério escrito, ou pela intuição do encarregado de proteção de dados? As solicitações de exercício de direitos são rastreadas de ponta a ponta, com prazo medido? As cláusulas de operação de dados são verificadas depois de assinadas, ou simplesmente arquivadas?
Uma confusão é recorrente: a ISO 27701 não é uma certificação de conformidade com a LGPD ou com o RGPD europeu. Ela não atesta conformidade com nenhum regulamento específico. Ela comprova que um sistema de gestão de privacidade está implementado e funcionando. A correspondência publicada entre os controles da norma e os artigos de regulamentos como o RGPD é apenas indicativa, e o escopo certificado pode ser mais restrito do que o escopo real de tratamento de dados da organização. A revisão da norma, que a desvincula da ISO 27001 para torná-la um texto autônomo de requisitos, reforça essa necessidade de clareza sobre o que de fato está coberto.
O diagnóstico de maturidade coloca uma questão diferente da auditoria de conformidade. A auditoria conclui por conforme ou não conforme, para um requisito dado, em uma data dada. O diagnóstico posiciona cada prática em uma escala progressiva, tema a tema, e indica a ação que leva ao próximo nível. O resultado não é um parecer, é uma trajetória com números, comparável entre unidades de negócio e ao longo do tempo.
No Datamensio, o referencial está pronto para uso. Você também pode adaptá-lo: a IA ajusta os temas, as perguntas e os níveis conforme seu setor e seu papel, controlador de dados ou operador, ou constrói uma versão personalizada a partir da sua política de proteção de dados, do seu inventário de tratamentos e dos seus procedimentos existentes.
Norma de referência: ISO/IEC 27701:2019 (revisão ISO/IEC 27701:2025)
Os temas avaliados
Governança do PIMS
Política de proteção de privacidade, nomeação e posicionamento do DPO, papéis e responsabilidades, recursos alocados, articulação com o SGSI existente.
Escopo e papéis no tratamento de dados
Determinação do papel de controlador, controlador conjunto ou operador, escopo do sistema, contexto e partes interessadas, declaração de aplicabilidade estendida.
Inventário e mapeamento de tratamentos
Completude do inventário, finalidades, bases legais, categorias de dados e titulares, prazos de retenção, frequência de atualização.
Avaliações de impacto e privacy by design
Critérios de disparo de uma avaliação de impacto (DPIA/RIPD), metodologia de análise, integração dos requisitos nos projetos e nas compras, minimização e pseudonimização desde a concepção.
Consentimento e informação aos titulares
Coleta e prova do consentimento, revogação, avisos de privacidade, transparência sobre finalidades e destinatários, casos de menores e dados sensíveis.
Direitos dos titulares de dados
Processo de recebimento e autenticação de solicitações, acesso, retificação, exclusão, portabilidade, oposição, rastreabilidade e acompanhamento de prazos de resposta.
Operadores e cadeia de tratamento
Seleção e avaliação de operadores, contratos e instruções documentadas, suboperação, auditorias e evidências obtidas, reversibilidade.
Transferências internacionais de dados
Identificação dos fluxos, mecanismos de transferência adotados, avaliações de impacto das transferências, localização efetiva dos dados e dos acessos remotos.
Segurança de dados pessoais
Medidas técnicas e organizacionais associadas aos tratamentos, gestão de acessos, criptografia, registro de logs, segregação de ambientes.
Vazamentos de dados e incidentes
Detecção e qualificação, procedimento de notificação à autoridade e aos titulares, prazos, registro de incidentes, lições aprendidas.
Retenção, arquivamento e eliminação
Aplicação efetiva dos prazos, eliminação automatizada, arquivamento intermediário, exclusão junto a operadores, evidências de destruição.
Conscientização e cultura
Capacitação das equipes expostas, integração em processos de onboarding, comunicação interna, apropriação pelas áreas de negócio e não apenas pelo jurídico.
Monitoramento, auditoria e melhoria
Indicadores de acompanhamento, auditorias internas do PIMS, análise crítica pela diretoria, tratamento de não conformidades, comparação ao longo do tempo.
Uma versão curta do referencial, com 40 perguntas, está disponível para autoavaliação on-line. A versão completa tem 13 temas e 144 perguntas.
Perguntas frequentes
A ISO 27701 equivale a uma certificação de conformidade com a LGPD?
Não. A norma comprova que um sistema de gestão de informações privadas está implementado e funcionando dentro de um escopo definido. Ela não atesta conformidade com nenhum regulamento específico, o que cabe às autoridades de controle. O Datamensio mede sua maturidade e prepara você para essa etapa, sem substituir o organismo certificador.
É preciso ter certificação ISO 27001 antes?
Na versão de 2019, a extensão ISO 27701 depende de uma certificação ISO 27001 existente ou conduzida simultaneamente. A revisão da norma está transformando esse ponto em um texto de requisitos autônomo. O diagnóstico cobre os dois cenários e sinaliza quais controles dependem do sistema de gestão de segurança da informação.
Qual a diferença entre esse diagnóstico e uma auditoria de conformidade?
A auditoria verifica a presença de requisitos e conclui por uma lacuna ou uma conformidade. O diagnóstico posiciona cada prática em uma escala de maturidade e indica a ação que leva ao próximo nível. Os dois são complementares: o diagnóstico prepara, a auditoria valida.
Quanto tempo leva a avaliação?
A versão curta é preenchida em 20 a 30 minutos. A versão completa, em modo colaborativo, envolve o DPO, segurança, jurídico e compras: a maior parte do tempo é dedicada à coleta junto a esses participantes. Cada pergunta pode ser atribuída à pessoa certa.
É possível adaptar o referencial ao nosso papel e ao nosso setor?
Sim. As perguntas, os níveis e os temas podem ser modificados, e você pode isolar os controles específicos do controlador de dados ou do operador. A IA gera uma versão personalizada a partir dos seus próprios documentos: política, inventário de tratamentos, procedimentos. O controle do referencial é seu.
Como comparar várias unidades do grupo?
O mesmo referencial é aplicado a cada unidade de negócio, com uma pontuação por tema e uma meta comum. O benchmark compara as unidades entre si e cada uma com suas avaliações anteriores. Um roteiro transversal consolida os planos de ação sem duplicar as iniciativas comuns.
Como o plano de ação é orçado?
A lacuna entre a pontuação e a meta gera as ações. A IA as agrupa em um roteiro priorizado, e o catálogo de serviços apresenta uma solução para cada item, com custo, prazo e impacto esperado na pontuação. Você decide com base em elementos comparáveis.
Onde os dados são armazenados?
Na França, na OVH, com backup na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre opções europeias.