Che cosa riguarda
ISO/IEC 27701 definisce requisiti e indicazioni per un sistema di gestione delle informazioni relative alla privacy. Si rivolge a organizzazioni che operano come titolari o responsabili del trattamento.
Un sistema di gestione per governare i dati personali con responsabilità, controlli e miglioramento continuo.
A chi si rivolge
Organizzazioni che raccolgono, utilizzano, conservano o trattano dati personali, anche per conto dei propri clienti.
Perché intraprendere questo percorso
Possibili benefici di una gestione efficace: non risultati garantiti dal solo rilascio di un certificato o di una dichiarazione.
01
Ruoli riconoscibili
Chiarire responsabilità sui trattamenti.
02
Rischi presidiati
Collegare dati personali e controlli.
03
Evidenze organizzate
Rendere dimostrabili le scelte di gestione.
I temi da presidiare
Una lettura orientativa degli ambiti da considerare. I requisiti applicabili e il campionamento sono definiti sulla norma e sullo schema pertinenti.
Ruoli e perimetro
Attività e responsabilità sui dati.
Rischi privacy
Valutazione e gestione dei rischi.
Relazioni di filiera
Rapporti con clienti e fornitori.
Monitoraggio
Verifica e miglioramento del sistema.
Dalla gestione alle evidenze
Campioni documentali e informazioni da esaminare, da selezionare in funzione del perimetro e dei rischi dell’incarico.
01. Un trattamento esaminato dall’origine dei dati fino ai tempi di conservazione e alla cancellazione.
02. Un rapporto cliente-fornitore verificato rispetto ai ruoli concretamente svolti.
03. Una richiesta relativa ai dati personali seguita attraverso il processo interno.
04. Un cambiamento di servizio valutato anche per le conseguenze sulla privacy.
Come si svolge il percorso
01
Definire il perimetro
La domanda identifica attività, sedi, addetti e norma richiesta. Il riesame verifica la possibilità di assumere l’incarico, il campo applicabile e le competenze necessarie.
02
Pianificare la valutazione
Si definiscono programma, durata, gruppo di audit e modalità, secondo le regole dello schema. Il piano chiarisce quali processi e siti saranno campionati.
03
Raccogliere evidenze
Documenti, interviste e osservazioni delle attività sono messi in relazione. Eventuali rilievi devono essere affrontati secondo le modalità e i tempi applicabili.
04
Decidere e mantenere
La decisione è distinta dall’esecuzione dell’audit. Sorveglianze, rinnovo e comunicazione dei cambiamenti seguono il programma di certificazione pertinente.
Durata e modalità non sono fisse: dipendono dal perimetro, dalla complessità e dalle regole applicabili. Il rilascio è subordinato a un esito favorevole della valutazione e della decisione.
Da sapere prima di iniziare
Non presentare il certificato come garanzia generale di conformità a ogni normativa privacy o come esonero dalle responsabilità del trattamento.
Domande frequenti
Serve sempre una ISO/IEC 27001?
L’edizione 2025 è uno standard autonomo di sistema di gestione; può anche essere integrata con ISO/IEC 27001.
Equivale a una certificazione GDPR?
Non automaticamente. Occorre distinguere il sistema ISO da specifici meccanismi di certificazione privacy e dai requisiti legali applicabili.
Che cosa cambia per un certificato 2019?
La migrazione deve essere verificata rispetto allo schema, alle regole di transizione e al campo del certificato.
L’organismo può progettare il nostro sistema?
La valutazione indipendente non va confusa con la consulenza. L’organizzazione resta responsabile del proprio sistema e delle proprie informazioni; le eventuali attività formative devono rispettare le condizioni di imparzialità applicabili.
Edizione e riferimenti
ISO/IEC 27701:2025
Edizione 2025 autonoma, non descritta come semplice estensione obbligatoria della ISO/IEC 27001.
Riferimenti consultati il 9 ottobre 2026. Prima dell’incarico sono da confermare edizione applicabile, disposizioni di transizione e condizioni dello schema. Le sintesi non sostituiscono il testo ufficiale della norma.
Questa scheda è informativa e non attribuisce automaticamente un accreditamento ad ACM CERT per il servizio descritto. L’organismo competente, lo schema, il campo di accreditamento pertinente e le condizioni del servizio sono identificati nell’offerta.
