É comum tratarmos LGPD e ISO 27701 como se fossem a mesma coisa, ou como se uma substituísse a outra. Não é bem assim. A LGPD (Lei 13.709/2018) é a obrigação legal: define direitos dos titulares, bases legais para tratamento de dados e as sanções da ANPD em caso de descumprimento. Já a ISO 27701 é um sistema de gestão — uma extensão da ISO 27001 focada especificamente em privacidade — que estrutura, documenta e sustenta essa conformidade ao longo do tempo.
Na prática, empresas que tentam "fazer LGPD" sem um sistema de gestão por trás costumam ter um problema recorrente: o projeto de adequação funciona bem no primeiro ano e se desatualiza no segundo, porque não há uma estrutura formal mantendo os controles vivos.
O que a ISO 27701 adiciona à ISO 27001
Quem já tem a ISO 27001 implantada percorreu boa parte do caminho: gestão de riscos de segurança da informação, controles de acesso, resposta a incidentes. A ISO 27701 adiciona a camada específica de privacidade — o chamado PIMS (Privacy Information Management System) — cobrindo pontos que a LGPD exige na prática, mas que a 27001 sozinha não detalha:
- Mapeamento de operações de tratamento de dados — o inventário de dados pessoais (ROPA).
- Bases legais documentadas — qual fundamento jurídico ampara cada tratamento.
- Direitos dos titulares — processo formal para atender solicitações de acesso, correção e exclusão.
- Gestão de incidentes de privacidade — não só de segurança, mas de vazamento de dados pessoais especificamente.
- Relacionamento com terceiros — cláusulas e controles para operadores que tratam dados em nome da empresa.
"A LGPD diz o que a empresa precisa cumprir. A ISO 27701 é a estrutura que garante que esse cumprimento continue de pé depois que o projeto inicial termina."
Por que isso importa para quem contrata a empresa
Cada vez mais contratos B2B exigem evidência formal de adequação à LGPD antes de compartilhar dados — de clientes, funcionários ou parceiros. Uma certificação ISO 27701 (ou um sistema de gestão estruturado nesse padrão, mesmo sem certificação formal) é uma evidência objetiva, auditável, muito mais forte do que uma política de privacidade genérica publicada no rodapé do site.
O papel do encarregado (DPO) nesse sistema
A figura do encarregado de proteção de dados, exigida pela LGPD, ganha uma estrutura de apoio real dentro de um PIMS certificado: processos definidos para investigar incidentes, canal formal para atender titulares e evidências organizadas para responder a auditorias ou fiscalizações da ANPD, em vez de depender só do conhecimento de uma pessoa.