ISO 27001, LGPD e sistema de requisitos legais de privacidade: pare de tratar dado como “TI resolve”

Toda empresa média que cresce online chega num ponto estranho: o comercial promete “estamos adequados à LGPD”, o jurídico tem um parecer de 2021 e a TI jura que o firewall está ok. Aí vem um pedido de titular — ou um incidente — e ninguém sabe quem responde. Isso é falta de sistema de requisitos legais de privacidade e segurança.

ISO 27001 e ISO 27701 ajudam a organizar controle e privacidade. A LGPD cobra base legal, finalidade, direitos do titular, contratos com operador, comunicação de incidente. Separar os três é o caminho mais caro — e o mais comum.

O que a LGPD exige na prática (sem juridiquês)

Um sistema de requisitos legais alinhado à LGPD precisa, no mínimo, enxergar:

• quais tratamentos existem (ROPA / inventário de dados);
• base legal e finalidade de cada tratamento;
• quando DPIA faz sentido (risco alto para o titular);
• canal e prazo para DSAR (acesso, correção, exclusão, portabilidade…);
• fornecedores que processam dado (contrato, avaliação, DPA);
• incidente: detectar, conter, registrar, decidir se comunica.

Se isso está só em e-mail e drive aberto, você não tem sistema de requisitos legais. Tem esperança com logo no rodapé do site.

ISO 27001: a espinha de controle

A ISO 27001 traz risco de SI, ativos de informação, incidentes, controles e SoA (declaração de aplicabilidade). Isso não substitui a LGPD — sustenta. O sistema de requisitos legais junta: o que a lei manda + o controle que a norma exige + a evidência que auditor (e, indiretamente, a ANPD) quer ver.

ISO 27701 entra como extensão de privacidade. Quem já sofre com “dois mundos” (SI num lado, DPO no outro) conhece o preço: retrabalho, gap na auditoria e resposta lenta a titular.

Erros que matam confiança (e o orgânico também)

• política linda no site, ROPA desatualizado;
• cookie banner sem processar de verdade o consentimento;
• planilha de titulares no Drive com link “qualquer um com o link”;
• fornecedor de TI/cloud sem avaliação de privacidade;
• incidente resolvido no WhatsApp, sem registro formal;
• promessa de “adequação LGPD” no marketing sem operação atrás.

Conteúdo sobre sistema de requisitos legais + LGPD + ISO 27001 só cresce orgânico de forma saudável se a operação for crível. Lead chega pelo Google; fica se a demo mostrar ROPA, DSAR e incidente de verdade — não slide.

Como montar o sistema sem paralizar a empresa

1. inventarie tratamentos (começe pelos que geram lead e RH);
2. marque base legal e dono do processo;
3. liste operadores/fornecedores críticos;
4. defina canal de DSAR com prazo e responsável;
5. ligue incidentes SI ao fluxo de privacidade;
6. revise SoA / controles ISO 27001 com o mesmo mapa de risco.

Isso é sistema de requisitos legais de privacidade. O resto é enfeite.

Como a Legnova encaixa

Módulos de segurança da informação e privacidade no mesmo SGI: riscos SI, controles/SoA, ROPA, DPIA, DSAR, avaliação de fornecedor TI, incidentes com SLA. O fio é o mesmo do resto da plataforma — sistema de requisitos legais com evidência, não discurso. Integra com o restante do SGI (NC, planos, auditoria) quando o gap de privacidade vira não conformidade.

Quer discutir o recorte da sua operação (nem toda empresa precisa de tudo no dia 1)? Fale com o time. Visão geral em Recursos e Preços.

FAQ

LGPD exige ISO 27001?
Não exige o certificado. Exige segurança adequada. ISO 27001 é caminho estruturado; o sistema de requisitos legais é o que prova o cumprimento no dia a dia.

Pequena empresa precisa de ROPA?
Se trata dado pessoal, precisa saber o que trata — inventário/ROPA em escala adequada. Sistema de requisitos legais cabe no tamanho da operação; não cabe “não sei o que faço com o dado”.