ISO 27701: Proteção de Dados e Privacidade

ISO 27701: Proteção de Dados e Privacidade

A ISO 27701 é uma extensão da renomada ISO 27001 (Gestão de Segurança da Informação), com um foco específico na privacidade da informação. Ela estabelece diretrizes e requisitos para um Sistema de Gestão de Informações de Privacidade (PIMS – Privacy Information Management System), ajudando organizações a demonstrar conformidade com regulamentações de privacidade de dados, como a GDPR (General Data Protection Regulation) e a LGPD (Lei Geral de Proteção de Dados).

Por que a ISO 27701 é importante?

Em um cenário global cada vez mais preocupado com a privacidade, a ISO 27701 oferece uma estrutura robusta para gerenciar e proteger dados pessoais. Ela é crucial para:

• Reconhecimento global: Sua natureza internacional a torna ideal para empresas multinacionais ou aquelas que buscam parcerias globais.

• Confiança de clientes e parceiros: A certificação demonstra um compromisso sério com a privacidade, aumentando a confiança de clientes, parceiros e outras partes interessadas.

• Conformidade regulatória: Ajuda as organizações a cumprirem os requisitos de diversas leis de privacidade de dados em todo o mundo.

• Redução de riscos: Minimiza o risco de violações de dados, multas e danos à reputação.

• Diferencial competitivo: Em um mercado cada vez mais consciente da privacidade, a certificação pode ser um diferencial importante.

Passos para Conquistar a Certificação ISO 27701

O processo para obter a certificação ISO 27701 geralmente envolve as seguintes etapas:

1. Entendimento e planejamento:

   • Familiarize-se com os requisitos da ISO 27701 e suas diretrizes.

   • Defina o escopo do seu PIMS, ou seja, quais dados, sistemas e processos serão abrangidos.

   • Realize uma análise de lacunas (gap analysis) para identificar as áreas onde sua organização precisa se adequar.

2. Implementação do PIMS:

   • Desenvolva e implemente políticas, procedimentos e controles de privacidade alinhados com a ISO 27701.

   • Estabeleça papéis e responsabilidades para a gestão da privacidade, incluindo a nomeação de um Encarregado de Proteção de Dados (DPO), se aplicável.

   • Realize treinamentos para conscientizar os funcionários sobre as políticas e procedimentos de privacidade.

   • Implemente medidas de segurança técnicas e organizacionais para proteger dados pessoais.

   • Estabeleça processos para gerenciar as bases legais e bases de consentimentos dos titulares de dados pessoais, como os tratamentos destes dados, além da gestão de riscos e prevenção de incidentes de privacidade ou vazamentos.

3. Auditoria interna:

   • Conduza auditorias internas para avaliar a eficácia do seu PIMS e identificar quaisquer não conformidades.

   • Registre as não conformidades e implemente ações corretivas.

4. Revisão pela alta direção:

   • A alta direção da organização deve revisar periodicamente o desempenho do PIMS para garantir sua adequação e melhoria contínua.

5. Auditoria de certificação (por organismo certificador):

   • Estágio 1 (Revisão da documentação): O organismo certificador revisará a documentação do seu PIMS para garantir que ela atenda aos requisitos da ISO 27701.

   • Estágio 2 (Auditoria no local): Auditores do organismo de certificação visitarão sua organização para verificar a implementação e a eficácia do seu PIMS na prática. Entrevistar os funcionários, revisar registros e observar processos.

   • Emissão do certificado: Se sua organização for aprovada na auditoria, o certificado ISO 27701 será emitido.

6. Manutenção e melhoria contínua:

   • A certificação não é um evento único. Sua organização precisará manter o PIMS, realizar auditorias internas regulares, revisões pela alta direção e auditorias de vigilância periódicas pelo organismo certificador para manter a certificação.

Como e Quem Pode Certificar?

A certificação ISO 27701 é concedida por organismos de certificação independentes e credenciados. Esses organismos são entidades terceirizadas que avaliam se o sistema de gestão de uma organização está em conformidade com os requisitos da norma.

No Brasil, assim como em outros países, existem diversos organismos de certificação reconhecidos que podem auditar e conceder a certificação ISO 27701. É fundamental escolher um organismo que seja acreditado por um órgão nacional ou internacional de acreditação (como o INMETRO no Brasil ou o UKAS no Reino Unido), o que garante a competência e imparcialidade do processo de certificação.

Alguns exemplos de organismos de certificação globalmente reconhecidos que atuam no Brasil incluem:

• BSI (British Standards Institution)

• SGS

• Bureau Veritas

• DNV

• TÜV Rheinland

• LRQA (Lloyd’s Register Quality Assurance)

Ao escolher um organismo de certificação, é recomendável pesquisar sua reputação, experiência no setor da sua empresa e se ele é devidamente acreditado.