4 Cláusula 4 — Contexto da organização

4.1
Entender o contexto da organização em relação à privacidade (questão interna/externa relevante ao tratamento de dado pessoal). Sem entender o contexto real de privacidade da organização, o PIMS acaba protegendo o dado errado ou ignorando o risco que mais importa.
Básico
4.2
Entender as necessidades e expectativas das partes interessadas em relação à privacidade (titular, cliente, regulador). Ignorar a expectativa de titular/cliente/regulador deixa o PIMS desconectado do que realmente é cobrado da organização.
Intermediário
4.3
Determinar o escopo do PIMS, incluindo o papel da organização em cada processo coberto: controlador, operador de PII, ou os dois. Escopo mal definido — inclusive sem saber se a organização é controladora ou operadora em cada processo — deixa dado pessoal fora da proteção sem que ninguém perceba, e usa o conjunto errado de controles do Anexo A.
Básico
4.4
Estabelecer, implementar, manter e melhorar continuamente o PIMS. Tratar privacidade como projeto pontual, não processo vivo, faz o programa se desatualizar assim que o negócio muda.
Básico

5 Cláusula 5 — Liderança

5.1
A alta direção demonstra liderança e comprometimento real com o PIMS, não só formalmente. Sem liderança real da alta direção, o PIMS fica sem orçamento e prioridade de verdade diante de qualquer outra demanda.
Básico
5.2
Estabelecer uma política de privacidade adequada ao porte da organização, aprovada e comunicada. Política de privacidade ausente ou desconhecida deixa cada equipe decidindo por conta própria o que fazer com dado pessoal.
Básico
5.3
Definir papéis, responsabilidades e autoridades de privacidade, incluindo quem responde pelo PIMS. Sem responsável claro, um incidente de privacidade não tem dono até que já tenha causado dano.
Básico

6 Cláusula 6 — Planejamento

6.1
Planejar ações para tratar risco e oportunidade de privacidade, incluindo avaliação de risco específica de dado pessoal. Risco de privacidade não avaliado formalmente só aparece quando já virou incidente, nunca antes.
Intermediário
6.2
Definir objetivo de privacidade mensurável e planejar como alcançá-lo. Sem objetivo mensurável, não dá pra saber se o programa de privacidade está melhorando ou só existindo no papel.
Intermediário
6.3
Planejar mudança no PIMS de forma controlada, sem deixar lacuna durante a transição. Mudança no PIMS feita sem planejamento pode deixar uma lacuna de proteção durante a transição, mesmo que a intenção fosse melhorar.
Avançado

7 Cláusula 7 — Apoio

7.1
Prover os recursos necessários ao PIMS (pessoa, orçamento, ferramenta). PIMS sem recurso suficiente vira intenção documentada que nunca vira prática real.
Intermediário
7.2
Garantir a competência de quem lida com dado pessoal (formação, experiência, treinamento). Quem lida com dado pessoal sem competência adequada comete erro evitável com consequência real pro titular.
Intermediário
7.3
Assegurar que a equipe tenha consciência da política de privacidade e do seu papel nela. Equipe sem consciência da política de privacidade não sabe que uma ação cotidiana pode violar direito do titular.
Básico
7.4
Determinar a necessidade de comunicação interna e externa sobre privacidade, incluindo com o titular do dado. Sem comunicação planejada, o titular do dado não sabe como exercer direito, e a organização não sabe como avisar sobre mudança relevante.
Intermediário
7.5
Controlar a informação documentada exigida pelo PIMS (criar, versionar, reter, descartar). Informação documentada perdida ou desatualizada tira da organização a evidência de que o PIMS funciona de verdade.
Intermediário

8 Cláusula 8 — Operação

8.1
Planejar e controlar o processo operacional que trata dado pessoal, garantindo que atenda aos requisitos definidos. Processo operacional sem controle planejado tende a tratar dado pessoal de forma inconsistente, dependendo de quem executa.
Básico
8.2
Realizar avaliação de risco de privacidade em intervalo planejado e sempre que houver mudança relevante no tratamento. Avaliação de risco feita uma vez e nunca revisitada perde mudança relevante de sistema, fornecedor ou tipo de dado tratado.
Intermediário
8.3
Implementar o plano de tratamento de risco de privacidade que resultou da avaliação. Risco identificado e nunca tratado de verdade é risco aceito por omissão, não por decisão consciente.
Intermediário

9 Cláusula 9 — Avaliação de desempenho

9.1
Monitorar, medir, analisar e avaliar o desempenho e a eficácia do PIMS. Sem medir o próprio desempenho, a organização não sabe se o PIMS está funcionando até que um incidente prove o contrário.
Intermediário
9.2
Realizar auditoria interna periódica do PIMS. Auditoria interna é o que revela gap antes de uma auditoria externa ou de um incidente real revelar por conta própria.
Avançado
9.3
Realizar análise crítica do PIMS pela alta direção, com decisão registrada. Sem análise crítica da alta direção, decisão importante sobre o PIMS fica só no nível operacional, sem respaldo institucional.
Avançado

10 Cláusula 10 — Melhoria

10.1
Melhorar continuamente a adequação, suficiência e eficácia do PIMS. PIMS que nunca melhora tende a ficar cada vez mais desatualizado em relação ao risco real que a organização enfrenta.
Avançado
10.2
Tratar não conformidade de privacidade identificada e adotar ação corretiva. Não conformidade identificada e não corrigida se repete, porque a causa raiz nunca chega a ser tratada.
Intermediário

A.1 A.1 — Controles do Controlador de PII

A.1.2.2
Identificar e documentar a finalidade de cada tratamento de dado pessoal (Identify and Document Purpose). Tratamento sem finalidade documentada não tem como ser avaliado quanto à base legal nem limitado ao necessário.
Básico
A.1.2.3
Identificar a base legal aplicável a cada finalidade de tratamento (Identify Lawful Basis). Tratar dado pessoal sem base legal identificada é, por si só, uma não conformidade — mesmo com boa intenção.
Básico
A.1.2.4
Determinar quando o consentimento é a base legal apropriada pra um tratamento (Determine Consent). Usar consentimento quando outra base legal seria mais apropriada cria dependência desnecessária da vontade do titular, que pode retirá-lo a qualquer momento.
Intermediário
A.1.2.5
Obter e registrar o consentimento de forma auditável, quando ele for a base legal (Obtain and Record Consent). Consentimento não registrado de forma auditável não pode ser comprovado se o titular ou o regulador questionar depois.
Intermediário
A.1.2.6
Realizar avaliação de impacto de privacidade (PIA/DPIA) antes de tratamento de maior risco (Privacy Impact Assessment). Tratamento de maior risco sem avaliação prévia (PIA) deixa a organização sem ter pensado no impacto antes de agir.
Intermediário
A.1.2.7
Formalizar contrato com todo operador de PII contratado, definindo obrigação e responsabilidade (Contracts with PII Processors). Operador sem contrato formal é uma relação de fato sem responsabilidade clara se algo der errado com o dado.
Intermediário
A.1.2.8
Definir e documentar responsabilidade quando houver controlador conjunto do mesmo dado pessoal (Joint PII Controller). Controlador conjunto sem responsabilidade definida gera disputa exatamente no momento em que o titular precisa de resposta rápida.
Avançado
A.1.2.9
Manter registro das atividades de tratamento de dado pessoal (Records of Processing PII). Sem registro de atividade de tratamento, a organização não tem como provar o que faz com o dado pessoal se questionada.
Intermediário
A.1.3.2
Determinar e cumprir a obrigação legal específica com o titular do dado, conforme a base legal aplicável (Determining and Fulfilling Obligations to PII Principals). Obrigação com o titular não identificada de antemão só é descoberta quando ele já reclamou.
Intermediário
A.1.3.3
Determinar qual informação deve ser dada ao titular sobre o tratamento (Determining Information for PII Principals). Titular sem saber o que precisa ser informado não consegue exercer nenhum outro direito de forma consciente.
Intermediário
A.1.3.4
Fornecer essa informação ao titular de forma clara e acessível (Providing Information to PII Principals). Informação existente mas não entregue ao titular de forma acessível equivale, na prática, a não informar.
Intermediário
A.1.3.5
Permitir que o titular modifique ou retire o consentimento a qualquer momento (Modify or Withdraw Consent). Consentimento que não pode ser retirado facilmente não é consentimento livre, é permanente por padrão.
Intermediário
A.1.3.6
Permitir que o titular se oponha ao tratamento do próprio dado, quando aplicável (Object to PII Processing). Sem canal pra objeção, o titular perde um direito que a lei garante, mesmo que a organização nunca tenha negado formalmente.
Intermediário
A.1.3.7
Atender pedido de acesso, correção ou eliminação do dado pessoal (Access, Correction or Erasure). Pedido de acesso/correção/eliminação sem processo formal tende a ser esquecido ou tratado de forma inconsistente.
Intermediário
A.1.3.8
Informar terceiro que recebeu o dado sobre correção, eliminação ou objeção feita pelo titular (Obligations to Inform Third Parties). Terceiro que já não devia ter mais o dado (após eliminação/correção) continua com ele se não for avisado.
Avançado
A.1.3.9
Fornecer ao titular cópia do próprio dado pessoal tratado, quando solicitado (Providing Copy of PII Processed). Titular sem acesso à cópia do próprio dado não consegue verificar se ele está correto ou sendo usado como deveria.
Intermediário
A.1.3.10
Manter processo formal pra tratar pedido do titular dentro do prazo (Handling Requests). Pedido tratado de forma ad hoc, sem processo, tende a estourar prazo legal sem que ninguém perceba a tempo.
Intermediário
A.1.3.11
Dar tratamento específico à decisão automatizada que afeta o titular, incluindo direito de contestação (Automated Decision Making). Decisão automatizada sem tratamento específico deixa o titular sem entender nem contestar algo que o afetou diretamente.
Avançado
A.1.4.2
Limitar a coleta de dado pessoal ao estritamente necessário pra finalidade declarada (Limit Collection). Coletar mais dado do que a finalidade exige aumenta o dano possível de um vazamento, sem nenhum ganho real pra organização.
Intermediário
A.1.4.3
Limitar o processamento do dado ao que a finalidade declarada realmente exige (Limit Processing). Processar o dado além do que a finalidade declarada permite é desvio de finalidade, mesmo sem coleta excessiva.
Intermediário
A.1.4.4
Manter o dado pessoal preciso e atualizado, corrigindo quando identificado erro (Accuracy and Quality). Dado impreciso gera decisão errada sobre a pessoa, às vezes com consequência real (crédito, emprego, benefício).
Intermediário
A.1.4.5
Definir e perseguir objetivo formal de minimização de dado pessoal coletado (PII Minimization Objectives). Sem meta formal de minimização, a tendência natural é acumular cada vez mais dado 'por via das dúvidas'.
Intermediário
A.1.4.6
Aplicar desidentificação ou eliminação de dado pessoal quando a finalidade original deixar de existir (De-identification and Deletion). Dado que já cumpriu sua finalidade e continua identificável é risco puro, sem benefício nenhum pra organização.
Avançado
A.1.4.7
Controlar e eliminar arquivo temporário que contenha dado pessoal (Temporary Files). Arquivo temporário esquecido é uma cópia do dado pessoal fora do controle formal do sistema principal.
Intermediário
A.1.4.8
Definir e aplicar prazo de retenção de dado pessoal, sem guardar além do necessário (Retention). Sem prazo de retenção definido, dado pessoal se acumula indefinidamente, ampliando o impacto de qualquer incidente futuro.
Intermediário
A.1.4.9
Descartar dado pessoal de forma segura quando o prazo de retenção expirar (Disposal). Descarte malfeito pode deixar dado pessoal recuperável mesmo depois de 'apagado'.
Intermediário
A.1.4.10
Aplicar controle técnico na transmissão de dado pessoal, protegendo em trânsito (PII Transmission Controls). Dado pessoal transmitido sem proteção pode ser interceptado no caminho entre origem e destino.
Intermediário
A.1.5.2
Definir a base legal específica pra transferência internacional de dado pessoal (Basis for PII Transfer Between Jurisdictions). Transferência internacional sem base legal específica pode violar a lei mesmo que a transferência em si fosse tecnicamente segura.
Avançado
A.1.5.3
Identificar formalmente pra quais países e organizações o dado pessoal é transferido (Countries and Organizations for PII Transfer). Sem saber pra onde o dado vai, a organização não consegue avaliar se o destino oferece proteção equivalente.
Avançado
A.1.5.4
Manter registro de toda transferência internacional de dado pessoal realizada (Records of Transfer of PII). Transferência internacional sem registro não pode ser auditada nem comprovada depois.
Avançado
A.1.5.5
Manter registro de toda divulgação de dado pessoal a terceiro (Records of PII Disclosures to Third Parties). Divulgação a terceiro sem registro deixa a organização sem rastro de quem mais tem acesso ao dado.
Avançado

A.2 A.2 — Controles do Operador/Processador de PII

A.2.2.2
Formalizar acordo com o cliente/controlador definindo escopo e limite do processamento (Customer Agreement). Processar sem acordo formal com o controlador deixa o escopo do que é permitido indefinido, abrindo espaço pra uso indevido.
Básico
A.2.2.3
Não usar o dado pessoal recebido pra finalidade própria fora do acordado com o controlador (Organization's Purposes). Operador que usa o dado recebido pra finalidade própria vira, na prática, um controlador não declarado daquele dado.
Intermediário
A.2.2.4
Não usar o dado pessoal recebido pra marketing/publicidade sem instrução expressa do controlador (Marketing and Advertising Use). Usar dado de cliente pra marketing próprio sem autorização é o tipo de desvio de finalidade mais comum entre operadores.
Intermediário
A.2.2.5
Identificar e recusar instrução do controlador que viole lei de proteção de dado, comunicando o risco (Infringing Instruction). Cumprir instrução ilegal do controlador não isenta o operador — identificar e recusar protege os dois lados.
Intermediário
A.2.2.6
Cumprir a obrigação específica definida no acordo com o controlador/cliente (Customer Obligations). Obrigação contratual não cumprida pelo operador vira responsabilidade também do controlador perante o titular.
Intermediário
A.2.2.7
Manter registro do processamento de dado pessoal feito em nome do controlador (Records Related to Processing PII). Sem registro do que foi processado, o operador não consegue provar conformidade se o controlador ou uma autoridade perguntar.
Intermediário
A.2.3.2
Dar suporte ao controlador pra que ele cumpra a própria obrigação com o titular do dado (Comply with Obligations to PII Principals). Controlador sem suporte do operador fica sozinho pra cumprir obrigação sobre dado que fisicamente está com outra empresa.
Intermediário
A.2.4.2
Controlar e eliminar arquivo temporário que contenha dado pessoal processado em nome de terceiro (Temporary Files). Mesma lógica do lado do operador: arquivo temporário é uma cópia do dado fora do controle formal, dobrando o risco quando há dois elos na cadeia.
Intermediário
A.2.4.3
Devolver, transferir ou descartar o dado pessoal ao final do contrato, conforme instrução do controlador (Return, Transfer or Disposal of PII). Dado não devolvido/eliminado ao fim do contrato continua sendo risco de vazamento, mesmo sem relação comercial ativa.
Intermediário
A.2.4.4
Aplicar controle técnico na transmissão do dado pessoal processado (PII Transmission Controls). Transmissão sem proteção entre operador e controlador expõe o dado exatamente na passagem entre os dois.
Intermediário
A.2.5.2
Definir a base legal específica pra transferência internacional de dado que processa em nome de terceiro (Basis for PII Transfer Between Jurisdictions). Mesmo risco de transferência internacional do lado do controlador, só que aqui é o operador decidindo em nome de outra empresa.
Avançado
A.2.5.3
Identificar formalmente pra quais países e organizações o dado é transferido em nome do controlador (Countries and International Organizations for PII Transfer). Controlador não informado sobre destino internacional não pode avaliar se aquilo é aceitável antes de acontecer.
Avançado
A.2.5.4
Manter registro de toda divulgação de dado a terceiro feita em nome do controlador (Records of PII Disclosures to Third Parties). Divulgação feita pelo operador sem registro deixa o controlador sem saber quem mais teve acesso ao dado dele.
Avançado
A.2.5.5
Notificar o controlador sempre que receber pedido de divulgação de dado de autoridade ou terceiro (Notification of PII Disclosure Requests). Controlador que não é avisado de um pedido de divulgação perde a chance de contestar antes que aconteça.
Avançado
A.2.5.6
Documentar toda divulgação de dado feita por obrigação legal, mesmo sem autorização prévia do controlador (Legally Binding PII Disclosures). Divulgação por obrigação legal sem documentação não pode ser diferenciada depois de um vazamento não autorizado.
Avançado
A.2.5.7
Divulgar ao controlador todo subcontratado envolvido no processamento do dado (Disclosure of Subcontractors Used to Process PII). Controlador sem saber quem são os subcontratados não consegue avaliar o risco real da cadeia inteira.
Intermediário
A.2.5.8
Contratar subcontratado só com autorização (geral ou específica) prévia do controlador (Engagement of a Subcontractor to Process PII). Subcontratado não autorizado é elo extra na cadeia que o controlador nunca aprovou nem conhece.
Intermediário
A.2.5.9
Notificar o controlador antes de trocar de subcontratado, dando oportunidade de objeção (Change of Subcontractor to Process PII). Troca de subcontratado sem aviso prévio tira do controlador a chance de avaliar o novo elo antes que ele já esteja processando o dado.
Intermediário

A.3 A.3 — Controles de Segurança Compartilhados

A.3.3
Manter política de segurança da informação formal, cobrindo o tratamento de dado pessoal (Information Security Policies). Sem política de segurança, cada decisão sobre proteção de dado pessoal é tomada de forma isolada e inconsistente.
Básico
A.3.4
Definir papel e responsabilidade de segurança da informação, incluindo quem responde por incidente com dado pessoal (Information Security Roles and Responsibilities). Sem responsável definido, um incidente de segurança com dado pessoal não tem quem assuma a resposta imediata.
Básico
A.3.5
Classificar a informação, incluindo marcar formalmente o que é dado pessoal (Classification of Information). Dado pessoal não classificado como tal pode acabar tratado com o mesmo cuidado de uma informação qualquer, sem proteção extra.
Intermediário
A.3.6
Rotular a informação conforme a classificação, pra tratamento consistente (Labelling of Information). Sem rótulo visível, quem manuseia a informação não sabe, olhando pra ela, que precisa de cuidado especial.
Intermediário
A.3.7
Proteger a informação durante toda transferência, interna ou externa (Information Transfer). Transferência sem proteção é um dos pontos mais comuns de exposição de dado pessoal, interno ou externo.
Intermediário
A.3.8
Gerenciar identidade de forma centralizada, com ciclo de vida completo de criação a desativação (Identity Management). Identidade sem gestão de ciclo de vida deixa acesso de ex-funcionário ou ex-fornecedor ativo além do necessário.
Intermediário
A.3.9
Conceder e revisar direito de acesso ao dado pessoal pelo princípio do menor privilégio (Access Rights). Acesso além do necessário aumenta o dano possível de uma única credencial comprometida.
Básico
A.3.10
Endereçar segurança da informação em todo acordo com fornecedor que toque dado pessoal (Addressing Information Security within Supplier Agreements). Fornecedor sem cláusula de segurança no contrato é elo fraco que ninguém formalmente cobrou de proteger o dado.
Intermediário
A.3.11
Planejar e se preparar pra resposta a incidente de segurança envolvendo dado pessoal (Incident Management Planning and Preparation). Resposta a incidente improvisada na hora é mais lenta e mais sujeita a erro do que uma planejada com antecedência.
Intermediário
A.3.12
Responder formalmente a incidente de segurança da informação, incluindo vazamento de dado pessoal (Response to Information Security Incidents). Incidente sem resposta formal tende a ser mal documentado, dificultando cumprir prazo legal de notificação (LGPD/GDPR).
Básico
A.3.13
Identificar e cumprir requisito legal, estatutário, regulatório e contratual aplicável (Legal, Statutory, Regulatory and Contractual Requirements). Requisito legal não identificado é não conformidade que a organização nem sabe que tem até ser fiscalizada.
Intermediário
A.3.14
Proteger registro/log contra alteração e acesso não autorizado (Protection of Records). Registro/log adulterável não serve como evidência confiável numa investigação de incidente.
Intermediário
A.3.15
Realizar revisão independente da segurança da informação periodicamente (Independent Review of Information Security). Revisão feita só por quem implementou o controle tende a não enxergar o próprio ponto cego.
Avançado
A.3.16
Verificar conformidade com política, regra e norma de segurança aplicável (Compliance with Policies, Rules and Standards). Sem verificação periódica, a conformidade com política e norma degrada silenciosamente com o tempo.
Intermediário
A.3.17
Manter programa de conscientização, educação e treinamento em segurança da informação (Information Security Awareness, Education and Training). Falta de treinamento é a causa mais comum de incidente de segurança envolvendo erro humano evitável.
Básico
A.3.18
Formalizar acordo de confidencialidade/não divulgação com quem acessa dado pessoal (Confidentiality or Non-disclosure Agreements). Sem acordo de confidencialidade formal, não há instrumento legal claro se alguém vazar dado pessoal intencionalmente.
Intermediário
A.3.19
Aplicar política de mesa e tela limpa pra proteger dado pessoal visível fisicamente (Clear Desk and Clear Screen). Documento com dado pessoal visível sobre a mesa ou tela desbloqueada é exposição física evitável e comum.
Intermediário
A.3.20
Controlar mídia de armazenamento que contenha dado pessoal, incluindo mídia removível (Storage Media). Mídia removível sem controle é uma forma fácil de tirar grande volume de dado pessoal do ambiente controlado.
Intermediário
A.3.21
Descartar ou reutilizar equipamento de forma segura, sem deixar dado pessoal residual (Secure Disposal or Re-use of Equipment). Equipamento descartado sem sanitização pode ter dado pessoal recuperável por quem o adquire depois.
Intermediário
A.3.22
Proteger dispositivo de usuário final (endpoint) que acessa dado pessoal (User Endpoint Devices). Dispositivo de usuário final é onde o dado pessoal fica mais exposto no dia a dia, fora do perímetro do servidor.
Intermediário
A.3.23
Exigir autenticação segura pra acesso a sistema que trata dado pessoal (Secure Authentication). Autenticação fraca é a porta de entrada mais comum pra acesso não autorizado a dado pessoal.
Básico
A.3.24
Manter backup regular do dado pessoal, testando a restauração (Information Backup). Backup ausente ou nunca testado significa que um incidente de disponibilidade pode apagar dado pessoal de forma definitiva.
Básico
A.3.25
Registrar (log) evento relevante de segurança envolvendo dado pessoal (Logging). Sem log, um incidente de segurança com dado pessoal não pode ser investigado depois que já aconteceu.
Intermediário
A.3.26
Usar criptografia apropriada pra proteger dado pessoal em repouso e em trânsito (Use of Cryptography). Dado pessoal sem criptografia fica legível por qualquer um que consiga acesso não autorizado, mesmo que temporário.
Intermediário
A.3.27
Aplicar ciclo de vida de desenvolvimento seguro em sistema que trata dado pessoal (Secure Development Life Cycle). Sistema desenvolvido sem prática de segurança carrega vulnerabilidade desde o nascimento, mais cara de corrigir depois.
Avançado
A.3.28
Definir requisito de segurança específico pra aplicação que processa dado pessoal (Application Security Requirements). Aplicação sem requisito de segurança específico pra dado pessoal trata esse dado com o mesmo padrão de qualquer outro.
Avançado
A.3.29
Aplicar princípio de arquitetura e engenharia segura desde o design do sistema (Secure System Architecture and Engineering Principles). Arquitetura insegura desde o início é estruturalmente mais difícil (e cara) de corrigir do que prevenir no design.
Avançado
A.3.30
Supervisionar a segurança de desenvolvimento terceirizado que toque dado pessoal (Outsourced Development). Desenvolvimento terceirizado sem supervisão de segurança é um ponto cego que a organização não controla diretamente.
Avançado
A.3.31
Proteger dado pessoal usado em ambiente de teste, evitando dado real sem necessidade (Test Information). Dado real usado em ambiente de teste (geralmente menos protegido) expõe o titular sem necessidade nenhuma.
Avançado

ISO/IEC 27701:2025 Norma internacional

4 Cláusula 4 — Contexto da organização

5 Cláusula 5 — Liderança

6 Cláusula 6 — Planejamento

7 Cláusula 7 — Apoio

8 Cláusula 8 — Operação

9 Cláusula 9 — Avaliação de desempenho

10 Cláusula 10 — Melhoria

A.1 A.1 — Controles do Controlador de PII

A.2 A.2 — Controles do Operador/Processador de PII

A.3 A.3 — Controles de Segurança Compartilhados