Assessment ISO/IEC 27701 · LGPD
Avalie o seu programa de privacidade contra a ISO/IEC 27701:2025 e as obrigações da LGPD. Descubra o seu nível de maturidade, a aderência à lei e os pontos que a ANPD olharia primeiro. Resultado na hora, sem custo.
O que é
A ISO/IEC 27701 é a norma internacional do Sistema de Gestão da Privacidade da Informação (PIMS). Ela define como uma organização governa o tratamento de dados pessoais — seja como controladora, que decide sobre o dado, seja como operadora, que trata em nome de um cliente.
Na versão de outubro de 2025, a 27701 deixou de ser uma extensão da ISO 27001 e passou a ser uma norma independente, com as cláusulas 4 a 10 dos sistemas de gestão. Como ela é amplamente mapeada à LGPD, virou o caminho mais usado para transformar a adequação à lei em um programa contínuo, auditável e, se a empresa quiser, certificável.
Para que serve
Demonstrar conformidade
A LGPD exige que o agente de tratamento comprove as medidas que adota. A 27701 organiza essa comprovação.
Reduzir o risco de sanção
Após um incidente, a ANPD avalia se havia processo, registro e medidas de segurança. O assessment mostra o que faltaria hoje.
Vender para quem exige
Clientes corporativos cobram do fornecedor-operador contrato, controles e resposta a incidentes. A 27701 responde a isso.
Sair do projeto e virar programa
Adequação feita uma vez envelhece. O PIMS mantém a privacidade viva com dono, indicadores e revisão.
Para quem é
O que é avaliado
As perguntas cobrem o sistema de gestão (cláusulas 4 a 10), os controles para controlador e os controles para operador, sempre com a referência correspondente na LGPD. O bloco de operador aceita "Não se aplica" e sai do cálculo se não for o seu caso.
01
Governança da Privacidade (PIMS)
Cláusulas 4 a 10: escopo, liderança, encarregado, riscos à privacidade, auditoria e melhoria.
5 perguntas
02
Inventário e Bases Legais
Saber quais dados pessoais a empresa trata, para quê e com qual fundamento legal.
3 perguntas
03
Direitos dos Titulares e Transparência
Aviso de privacidade, consentimento e atendimento aos pedidos dos titulares.
3 perguntas
04
Privacidade desde a Concepção
Minimização, retenção, descarte e avaliação de impacto antes de tratar o dado.
3 perguntas
05
Compartilhamento, Operadores e Transferências
Quem mais recebe os dados pessoais que a empresa controla — no Brasil e fora dele.
2 perguntas
06
Segurança e Incidentes com Dados Pessoais
As medidas técnicas que protegem o dado e a resposta quando algo dá errado.
3 perguntas
07
Atuação como Operador
Para quem trata dados pessoais em nome de clientes. Se não é o seu caso, marque "Não se aplica".
3 perguntas
O resultado
O nível de maturidade é limitado pela governança: sem encarregado, sem política e sem avaliação de riscos à privacidade, bons controles pontuais não formam um programa. À parte, o resultado mostra a aderência às obrigações diretas da LGPD — o que a ANPD verifica primeiro.
1
Inicial
A privacidade ainda é tratada caso a caso.
2
Repetível
Há práticas de privacidade, mas sem programa estruturado.
3
Definido
O programa de privacidade está estruturado.
4
Gerenciado
A privacidade é gerida com evidência — perfil certificável.
5
Otimizado
A privacidade é parte da cultura e melhora continuamente.
A escala de 0 a 5
Cada controle recebe uma nota de maturidade, e cada nota tem peso pela criticidade do controle (crítico, alto ou médio). É a mesma lógica usada em auditorias: não basta existir, precisa ser documentado, medido e melhorado.
0 · Inexistente
Não existe hoje
1 · Inicial
Feito às vezes, depende de alguém lembrar
2 · Repetível
Feito com frequência, mas sem padrão escrito
3 · Definido
Documentado, aprovado e aplicado
4 · Gerenciado
Medido, revisado e com evidência
5 · Otimizado
Automatizado e em melhoria contínua
Como funciona
22 perguntas com a referência oficial da ISO/IEC 27701, cada uma com nota de 0 a 5. Existe "não sei informar" sem prejuízo.
Maturidade da gestão de privacidade, maturidade por bloco e a barreira que trava o próximo nível — na hora, na tela.
Em até 15 dias você recebe o plano de adequação com os gaps priorizados em 30, 90 e 180 dias, esforço e investimento.
Nenhum dado pessoal é pedido antes das perguntas.
Dúvidas
Não mais. Desde a versão 2025, a ISO/IEC 27701 é uma norma de sistema de gestão independente. Na versão 2019 ela era uma extensão da 27001.
Não. Ele mostra a maturidade do programa e as obrigações com maior risco de estarem descobertas. A validação jurídica e técnica é feita pelo especialista no diagnóstico.
Quase sempre as duas coisas: controladora dos dados dos próprios colaboradores e clientes, e operadora quando trata dados em nome de um cliente. O assessment cobre os dois papéis.
Sim. A avaliação e o plano apresentado pelo especialista não têm custo e não geram compromisso.
Cada nível tem uma descrição curta ao lado. Na dúvida entre dois, escolha o menor: numa auditoria, o nível só conta quando existe evidência. Controles fora do seu escopo podem ser marcados como "não se aplica" quando a pergunta permitir — eles saem do cálculo.
Usamos exclusivamente para elaborar o seu diagnóstico e para o contato que você autoriza no formulário. Não vendemos nem cedemos seus dados: eles passam apenas pelos fornecedores que operam o envio de e-mail e o nosso CRM. O tratamento segue a nossa Política de Privacidade e a LGPD.
Pode. O progresso fica salvo no seu navegador — ao voltar pelo mesmo dispositivo, você retoma de onde parou.
Sem custo, sem compromisso e sem pedir dado nenhum antes de você ver valor.
Outros assessments
CAME · Continuidade e Segurança para seu negócio · SOC 24/7/365 · SLA médio de 30 minutos
