Integração entre LGPD, ISO 27001 e ISO 27701: como criar uma governança unificada

Segurança da informação e privacidade não são áreas rivais. Elas respondem a perguntas diferentes sobre o mesmo ambiente de tratamento. A segurança procura proteger informações contra acesso indevido, perda, alteração, indisponibilidade e uso inadequado. A privacidade procura garantir que o tratamento tenha finalidade, base legal, necessidade, transparência e respeito aos direitos dos titulares. Quando as áreas trabalham separadas, o programa perde justamente a conexão entre o controle técnico e o impacto para as pessoas.

Uma organização pode ter firewall, backup, monitoramento e gestão de vulnerabilidades bem estruturados, mas não saber por que coleta determinado dado, quanto tempo deve mantê-lo ou como atender uma solicitação de acesso. Também pode ter políticas de privacidade bem escritas e avaliações jurídicas, mas permitir que uma base pessoal fique disponível para contas administrativas sem revisão. Nos dois casos, existe uma lacuna entre intenção e execução.

A integração entre a LGPD, a ISO/IEC 27001 e a ISO/IEC 27701 ajuda a diminuir essa distância. A lei define deveres e princípios no Brasil. A ISO/IEC 27001 organiza um Sistema de Gestão da Segurança da Informação, o SGSI. A ISO/IEC 27701:2025 estabelece requisitos e orientações para um Sistema de Gestão de Informação de Privacidade, o PIMS. Nenhum desses elementos elimina a necessidade de julgamento, mas juntos podem criar uma rotina mais coerente de decisão, implementação, evidência e revisão.

A LGPD é uma lei brasileira. Ela estabelece fundamentos, princípios, direitos, hipóteses legais, responsabilidades, regras de segurança e competências da ANPD. O art. 46 determina que os agentes de tratamento adotem medidas técnicas e administrativas para proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas. O mesmo artigo indica que essas medidas devem ser observadas desde a fase de concepção do produto ou serviço até a execução.

A ISO/IEC 27001:2022 é uma norma internacional de requisitos para um SGSI. Conforme a descrição oficial da ISO, ela orienta a organização a estabelecer, implementar, manter e melhorar continuamente um sistema para gerir riscos relacionados à segurança da informação. O foco é o sistema de gestão, o contexto, a liderança, o planejamento, o suporte, a operação, a avaliação de desempenho e a melhoria.

A ISO/IEC 27701:2025 é a segunda edição do padrão para PIMS. A ISO descreve a norma como um conjunto de requisitos e orientações para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão da privacidade da informação, aplicável a organizações que atuam como controladoras ou processadoras de informações pessoais identificáveis. A edição de 2025 é uma norma independente, mas foi desenhada para se alinhar a sistemas baseados na ISO/IEC 27001.

Essa distinção evita dois erros comuns. O primeiro é tratar uma certificação ISO como prova de conformidade automática com a LGPD. A certificação demonstra que um sistema de gestão foi avaliado dentro de determinado escopo, período e critérios. Ela não decide a base legal de cada finalidade, não substitui o atendimento aos titulares e não garante que toda a empresa ou todo fornecedor esteja coberto.

O segundo erro é imaginar que a LGPD exige uma certificação específica. A lei exige medidas adequadas ao risco e ao contexto. ISO 27001 e ISO 27701 podem oferecer estrutura, linguagem e evidências, mas a escolha e a aplicação dos controles precisam refletir o tratamento real, a natureza dos dados, o porte da organização, as ameaças e os direitos afetados.

O art. 46 da LGPD é um dos pontos mais claros de ligação entre os dois temas. Ele exige medidas de segurança técnicas e administrativas, mas não entrega uma lista fixa que possa ser aplicada do mesmo modo a todas as organizações. A adequação depende da natureza das informações, das características do tratamento, do estado atual da tecnologia e dos princípios da lei.

O artigo também é importante porque leva a segurança para a fase de concepção. A proteção não começa depois do incidente e não termina na publicação de uma política. Ela deve participar do desenho do produto, da contratação do fornecedor, da configuração do ambiente, do teste, da operação e do encerramento do tratamento. Essa lógica se aproxima da gestão contínua exigida por um SGSI e por um PIMS.

O art. 47 amplia a responsabilidade de segurança para qualquer pessoa que intervenha em uma das fases do tratamento, inclusive após o término. O art. 48 trata da comunicação de incidentes que possam acarretar risco ou dano relevante. Em 2024, a ANPD publicou a Resolução CD/ANPD nº 15, que regulamenta a comunicação de incidentes de segurança. O fluxo integrado precisa permitir identificar rapidamente se um incidente de segurança também envolve dados pessoais, quais titulares foram afetados e qual medida deve ser adotada.

A integração começa pelo escopo. Uma certificação ISO, um programa de privacidade e uma obrigação de segurança não podem ser comparados sem saber quais unidades, processos, sistemas, localidades, fornecedores e produtos estão incluídos. O escopo precisa deixar claro o que a organização pretende governar e quais fronteiras ainda dependem de controles externos.

Imagine um grupo empresarial com uma operação de comércio eletrônico, um centro de atendimento e uma unidade de análise de crédito. O SGSI pode cobrir toda a infraestrutura corporativa, enquanto o PIMS pode começar por determinados tratamentos de clientes e candidatos. O RoPA pode incluir todos os processos pessoais, mesmo que alguns estejam fora do escopo de uma auditoria de certificação. Essas três visões não são idênticas, mas precisam indicar onde se cruzam e onde existem lacunas.

Documente as exclusões. Um sistema legado, uma filial, um fornecedor ou um ambiente de desenvolvimento fora do escopo pode continuar tratando dados pessoais. A exclusão do certificado não elimina a responsabilidade da organização. Ela apenas exige que a governança mostre quem controla o risco e quais evidências existem fora do sistema de gestão principal.

Um inventário de ativos de segurança responde onde a informação pode ser armazenada, processada ou transmitida. O RoPA responde por que os dados pessoais são tratados, quem são os titulares, qual é a finalidade, qual hipótese legal foi analisada e com quem ocorre o compartilhamento. Um sistema de gestão integrado precisa relacionar essas respostas.

O relacionamento não significa colocar todos os campos em uma única planilha. Significa usar identificadores e vínculos consistentes. Uma operação de atendimento pode estar ligada ao CRM, à ferramenta de telefonia, ao armazenamento de gravações, ao fornecedor de transcrição e ao serviço de monitoramento. Se um desses ativos não aparece no mapa, a análise de acesso, retenção, incidente e exclusão fica incompleta.

A ISO 27001 tende a olhar para ativos, riscos e controles de segurança. A LGPD exige que a organização compreenda o tratamento e proteja os direitos dos titulares. O PIMS acrescenta uma visão estruturada de responsabilidades sobre informações pessoais. A conexão desses registros ajuda a responder perguntas práticas: qual sistema contém determinado dado? Qual fornecedor consegue acessá-lo? Qual controle protege esse acesso? Qual finalidade justifica a retenção?

Segurança da informação costuma avaliar ameaças contra confidencialidade, integridade e disponibilidade. Privacidade precisa acrescentar o impacto que o tratamento pode produzir sobre pessoas. Um acesso indevido a uma base pode gerar fraude, discriminação, exposição de saúde, perda de reputação, vigilância ou dificuldade de exercer direitos. Um sistema disponível e íntegro pode continuar sendo inadequado se coleta dados sem necessidade ou usa uma finalidade incompatível.

Use uma linguagem comum para os dois times. O cenário de risco deve indicar a operação, a ameaça, a vulnerabilidade, o evento e a consequência. Em vez de registrar apenas vazamento de dados, descreva que uma conta de suporte com acesso amplo exporta dados de clientes e envia o arquivo para uma ferramenta externa. Em vez de escrever indisponibilidade, explique que o bloqueio do sistema impede titulares de corrigir dados ou que a empresa cumpra uma obrigação dentro do prazo.

O risco inerente representa a exposição antes dos controles. O risco residual representa o que permanece depois dos controles implementados. Essa distinção precisa ser real. Uma política aprovada não reduz o risco de um acesso indevido se a permissão continua ampla. Um treinamento planejado não reduz o risco de uma base vazada enquanto as credenciais permanecem compartilhadas.

A Declaração de Aplicabilidade, conhecida como SoA, registra quais controles de segurança são aplicáveis ao SGSI, o status de implementação e a justificativa para inclusão ou exclusão. Ela é uma peça importante da ISO/IEC 27001, mas não é o equivalente do RoPA. A SoA responde quais controles de segurança foram selecionados e por quê. O RoPA responde quais operações de dados pessoais existem e como elas acontecem.

Uma integração madura relaciona os dois documentos. Se o RoPA identifica biometria em um ambiente de acesso, a SoA pode apontar controles de autorização, criptografia, registro, gestão de chaves, monitoramento, retenção e resposta aplicáveis ao ativo. Se a SoA indica que determinado controle não se aplica, a equipe precisa verificar se o tratamento pessoal exige outro mecanismo ou uma justificativa específica.

Não copie todo controle de segurança para todos os tratamentos. A aplicação deve refletir o risco. Um processo com dados públicos e acesso limitado não precisa receber exatamente o mesmo conjunto de controles de um tratamento com dados financeiros, biométricos ou de crianças. A proporcionalidade não significa ausência de controle. Significa escolher e documentar controles compatíveis com a exposição.

A ISO/IEC 27701:2025 amplia a conversa para a gestão da privacidade. A edição atual é descrita pela ISO como uma norma independente de sistema de gestão, embora alinhada a estruturas baseadas na ISO/IEC 27001. Ela é destinada a organizações que controlam ou processam informações pessoais identificáveis e ajuda a estabelecer responsabilidades, processos, riscos, evidências e melhoria contínua.

Na prática, o PIMS ajuda a organizar perguntas que o SGSI não responde sozinho: qual é a finalidade do tratamento? Quem decide os meios? Quem processa os dados em nome de outra organização? Quais direitos precisam ser atendidos? Como os titulares recebem informação? O que acontece quando a finalidade termina? Como a organização demonstra que uma escolha de privacidade foi implementada?

A mudança de edição também merece atenção. A ISO/IEC 27701:2019 foi substituída pela edição de 2025, conforme a página oficial da ISO. Organizações que usam a edição anterior precisam verificar o planejamento de transição com seu organismo de certificação e com os responsáveis internos. Não é seguro anunciar uma certificação de 2025 sem confirmar escopo, validade e situação real da auditoria.

A norma pode ser útil para separar papéis de controlador e processador, organizar requisitos de informação, apoiar contratos, estruturar avaliações e demonstrar prestação de contas. Ainda assim, a linguagem PII da norma precisa ser traduzida para o contexto brasileiro. A LGPD usa conceitos próprios de dado pessoal, dado pessoal sensível, controlador, operador, tratamento, titular e encarregado. A matriz deve registrar a correspondência sem presumir que duas expressões estrangeiras tenham sempre o mesmo efeito jurídico.

O valor do PIMS aparece quando ele deixa de ser uma camada documental sobreposta ao SGSI. A organização pode manter uma mesma rotina de contexto, liderança, objetivos, competência, operação, monitoramento e melhoria, mas com controles e responsabilidades específicos para privacidade. Assim, uma auditoria de segurança pode dialogar com uma revisão de direitos dos titulares, uma mudança de fornecedor pode atualizar o mapa de ativos e um incidente pode abrir tarefas técnicas e de privacidade no mesmo processo.

Nem todo incidente de segurança da informação é um incidente com dados pessoais. Uma falha que derruba um serviço sem envolver informações pessoais pode afetar disponibilidade e continuidade, mas não necessariamente exige comunicação de incidente à ANPD. Por outro lado, um erro de envio, um acesso interno indevido, uma perda de dispositivo ou uma exportação para o destinatário errado pode envolver dados pessoais mesmo sem malware.

O primeiro triador precisa capturar essa diferença. O registro inicial deve indicar o sistema, o evento, os dados potencialmente envolvidos, os titulares, a confirmação, a contenção, o fornecedor relacionado e o risco ou dano relevante. O comitê de crise não deve esperar uma conclusão técnica completa para acionar privacidade quando houver sinais de exposição pessoal.

A Resolução CD/ANPD nº 15/2024 estabelece o Regulamento de Comunicação de Incidente de Segurança. A orientação publicada pela ANPD informa que a comunicação à Autoridade e aos titulares deve ocorrer quando o incidente confirmado envolver dados pessoais sujeitos à LGPD e puder acarretar risco ou dano relevante. A mesma página informa o prazo de três dias úteis, ressalvada a existência de prazo específico em outra legislação. O processo integrado deve permitir avaliar esses critérios, registrar a decisão e preservar as evidências.

Uma governança integrada não pode terminar no limite da rede corporativa. O tratamento pode continuar em provedores de nuvem, plataformas de atendimento, ferramentas de marketing, serviços de análise, empresas de suporte, processadores de pagamento e subcontratados. O controlador precisa entender quais dados o operador recebe, para qual finalidade, em qual região, por quanto tempo, com que acessos e sob quais condições de eliminação e devolução.

A avaliação de fornecedor não deve se limitar a perguntar se existe certificado ISO. Verifique o escopo do certificado, a validade, os serviços cobertos, as regiões, os subprocessadores e as exclusões. Compare as respostas do questionário com o contrato, a documentação técnica, o relatório de auditoria disponível e os controles realmente necessários para o tratamento.

O contrato deve conversar com a operação. Se o DPA exige comunicação rápida de incidente, o fornecedor precisa ter canal, responsável e processo compatíveis. Se a organização promete eliminar dados após o fim do serviço, precisa saber como os backups e subcontratados serão tratados. Se o fornecedor altera sua arquitetura, sua política de retenção ou sua lista de suboperadores, a avaliação precisa ser reaberta.

Um programa de segurança pode proteger o banco e ainda falhar quando o titular pede acesso, correção, informação sobre compartilhamento ou eliminação. A integração deve levar os direitos para o modelo de dados e para os processos operacionais. É preciso saber onde a informação está, quais cópias existem, quais sistemas conseguem responder e quais exceções precisam de análise.

Para atender uma solicitação, a organização pode precisar localizar registros em sistemas estruturados, textos livres, anexos, tickets, gravações, índices, backups e fornecedores. O controle de acesso precisa permitir localizar sem expor dados de outras pessoas. A resposta precisa ser clara, mas não deve criar uma nova divulgação indevida.

Teste o processo com cenários difíceis: titular duplicado, dado associado a mais de uma conta, solicitação feita por representante, contrato encerrado, fornecedor indisponível, dado em backup e pedido que mistura acesso com oposição ou eliminação. O resultado deve gerar evidência de recebimento, análise, decisão, resposta e eventual negativa fundamentada.

A integração não precisa criar uma superárea que aprove tudo. Ela precisa definir quem decide, quem executa, quem consulta e quem verifica. O CISO ou responsável por segurança conduz o SGSI, riscos cibernéticos, controles técnicos, incidentes e continuidade. O DPO ou responsável por privacidade coordena direitos, transparência, tratamento, riscos para titulares e interação com a ANPD. O negócio define finalidade e aceita consequências dentro de sua autoridade. O jurídico apoia interpretação e contratos. Auditoria verifica se o sistema funciona conforme planejado.

Crie fóruns proporcionais. Uma mudança simples pode seguir um padrão aprovado. Um novo uso de dados sensíveis, uma decisão automatizada, uma transferência internacional ou um fornecedor crítico deve envolver mais áreas. A decisão precisa registrar a justificativa, as condições, o responsável e o momento em que será revisada.

Considere uma empresa que pretende contratar uma plataforma de atendimento capaz de gravar chamadas, transcrever conversas e analisar a qualidade do suporte. O projeto envolve dados pessoais de clientes e funcionários, possíveis informações financeiras ou de saúde mencionadas durante a ligação, fornecedor externo, armazenamento em nuvem, modelos de análise e retenção de áudio e texto.

O RoPA descreve as finalidades de atender solicitações, treinar equipes, comprovar operações e melhorar o serviço. O PIMS ajuda a registrar papéis, transparência, direitos, retenção e responsabilidades. O SGSI identifica ativos, acessos, criptografia, segregação entre clientes, monitoramento, continuidade e resposta a incidentes. O contrato define o papel do fornecedor, subprocessadores, uso secundário, auditoria, eliminação e comunicação de eventos.

A avaliação de risco pode mostrar que guardar todas as gravações por tempo indeterminado é desnecessário. A medida pode ser reduzir a retenção, remover dados de pagamento da transcrição, aplicar acesso por função, impedir que o fornecedor use o conteúdo para treinamento próprio e criar um processo para localizar ou eliminar uma conversa. Os controles precisam ter evidência: configuração, teste, revisão de acesso, relatório de fornecedor, registro de treinamento e amostra de eliminação.

Se ocorrer acesso indevido às gravações, o processo de incidentes identifica o evento, os dados envolvidos, os titulares, o risco e a necessidade de comunicação. Se um titular solicitar acesso, o atendimento consulta a operação e os sistemas relacionados. Se o fornecedor mudar o modelo de processamento ou a região de armazenamento, a avaliação é reaberta. Essa é a integração na prática: a mesma operação é vista por segurança, privacidade, contrato e negócio sem que cada área mantenha uma história incompatível.

Uma integração entre LGPD, SGSI e PIMS não precisa começar com uma grande transformação. O caminho mais seguro é escolher um escopo, testar a conexão entre registros e ampliar a partir de evidências. A ordem abaixo pode ser adaptada ao porte, ao risco e à maturidade da organização.

Um painel integrado não deve mostrar apenas o número de vulnerabilidades ou o percentual de políticas aprovadas. Essas medidas podem esconder problemas importantes. Uma organização pode reduzir vulnerabilidades e continuar sem saber quais fornecedores acessam dados pessoais. Pode aumentar o número de treinamentos e não conseguir atender uma solicitação do titular. A métrica precisa ajudar a tomar decisão, não apenas produzir uma aparência de maturidade.

Combine indicadores de segurança, privacidade, operação e efetividade. Observe o tempo para corrigir riscos críticos, o percentual de tratamentos relacionados a ativos, a quantidade de acessos privilegiados revisados, a duração das pendências, o número de solicitações de titulares atendidas, os incidentes classificados como pessoais, os fornecedores sem avaliação e os controles que falharam em testes.

Também meça a qualidade da evidência. Quantos controles têm responsável? Quantos possuem teste recente? Quantas medidas dependem de documento manual? Quantas alterações de sistema atualizaram o RoPA? Quantos incidentes geraram revisão de risco? O objetivo não é criar uma pontuação definitiva, mas identificar onde a governança está desconectada da operação.

O primeiro erro é criar três programas isolados, com reuniões, planilhas e classificações diferentes. Essa duplicidade aumenta o trabalho e cria contradições. O segundo é mapear ativos sem mapear finalidades, ou mapear tratamentos sem identificar os sistemas e fornecedores que sustentam o fluxo. Nos dois casos, a organização não consegue acompanhar a mudança de ponta a ponta.

Outro erro é usar a ISO como selo de segurança absoluta. Nenhum sistema de gestão impede todos os incidentes. O que ele deve fazer é ajudar a identificar riscos, definir controles, verificar desempenho, corrigir falhas e melhorar continuamente. Também é incorreto dizer que um certificado prova que toda obrigação legal foi cumprida. A conclusão precisa respeitar escopo, data, controles avaliados e contexto do tratamento.

Um quarto erro é medir documentação em vez de resultado. Políticas sem treinamento, procedimentos sem execução, acessos sem revisão e planos sem responsáveis não sustentam uma defesa forte. A auditoria deve verificar se o controle existe, se foi implementado, se funciona e se gera evidência suficiente para a decisão.

A LGPD Cloud se apresenta como uma plataforma cloud para governança e conformidade em proteção de dados. Entre os módulos divulgados pela empresa estão Mapeamento de Dados, RIPD ou DPIA, LIA, gestão de incidentes, eliminação de dados, direitos dos titulares, consentimentos, políticas, contratos e diligência de fornecedores.

Em um programa integrado, esse tipo de plataforma pode funcionar como camada de organização da governança. O RoPA pode ser relacionado ao processo, ao ativo, ao fornecedor, ao risco e ao responsável. Um plano de ação pode registrar a medida, o prazo, a evidência e a validação. Um incidente pode abrir tarefas para segurança, privacidade, jurídico e negócio. Uma revisão pode atualizar a operação e indicar quais controles precisam ser reavaliados.

A plataforma não substitui o SGSI, o auditor, o CISO, o encarregado, o jurídico ou a decisão da direção. Ela também não transforma uma política incompleta em um controle efetivo. Seu papel é reduzir a dispersão, manter histórico e tornar visível o que foi decidido, o que foi implementado e o que continua pendente. O ganho aparece quando a ferramenta acompanha uma rotina de responsabilidades e melhoria contínua.

Integrar LGPD, ISO/IEC 27001 e ISO/IEC 27701 não significa criar uma certificação híbrida nem encontrar uma fórmula que garanta conformidade. Significa construir uma linguagem de gestão capaz de relacionar o tratamento de dados ao ativo que o suporta, ao risco que pode ocorrer, ao controle que reduz a exposição e à evidência que demonstra sua execução.

O trabalho começa com escopo e inventário. Depois, conecta RoPA, ativos, fornecedores, riscos, SoA, PIMS, incidentes, direitos dos titulares, contratos, auditorias e melhoria contínua. A organização precisa saber quem decide a finalidade, quem implementa o controle, quem acompanha o resultado e quando a análise deve ser reaberta.

Essa integração torna a governança mais útil porque evita duas respostas incompletas. A segurança deixa de olhar apenas para sistemas e ameaças técnicas. A privacidade deixa de ficar limitada a documentos e avaliações que não chegam à operação. A direção recebe uma visão mais clara dos riscos, os times conseguem priorizar ações e os titulares se beneficiam de processos mais responsáveis.

O objetivo final não é produzir mais papéis. É fazer com que segurança, privacidade e negócio trabalhem sobre o mesmo tratamento, com decisões proporcionais, controles aplicados e capacidade de aprender com mudanças e incidentes. Quando esse ciclo existe, a organização está mais preparada para demonstrar governança sem transformar uma norma, uma certificação ou uma plataforma em promessa de proteção absoluta.