ISO 27701: estendere la ISO 27001 alla gestione della privacy

La ISO 27701 è lo standard internazionale per gestire la privacy come un sistema, non come una pila di documenti. Per molte aziende il problema è concreto: i clienti chiedono prove di conformità al GDPR, i questionari di sicurezza dei fornitori si allungano e la sola ISO 27001 non basta più a rispondere alle domande sui dati personali.

Nell'ottobre 2025 lo standard è stato profondamente rivisto. La nuova ISO/IEC 27701:2025 non è più un'estensione della ISO 27001: è diventata una norma autonoma, certificabile anche da sola. Chi è certificato sulla versione 2019 deve passare alla nuova edizione entro una scadenza precisa, e chi sta valutando la certificazione oggi deve capire se conviene partire dalla 27001, dalla 27701 o da entrambe.

In questa guida trovi cosa certifica la ISO 27701, cosa è cambiato con la revisione 2025, come si collega al GDPR, chi ne ha davvero bisogno, come si integra con un sistema ISO 27001 già esistente e quali passi seguire, con gli errori da evitare lungo il percorso.

Cos'è la ISO 27701 e cosa certifica?

La ISO 27701 definisce i requisiti di un sistema di gestione delle informazioni privacy, chiamato PIMS (Privacy Information Management System). In pratica stabilisce come un'organizzazione deve pianificare, attuare, controllare e migliorare nel tempo il modo in cui tratta i dati personali, che la norma chiama PII (Personally Identifiable Information).

Cos'è un PIMS? Un PIMS è l'insieme di ruoli, regole, processi e controlli con cui un'azienda governa i trattamenti di dati personali. Non è un software né un singolo documento: è il modo in cui l'organizzazione decide chi fa cosa, come valuta i rischi per le persone, come risponde alle loro richieste e come verifica che tutto funzioni.

Dalla conformità "a documenti" a un sistema di gestione

Molte aziende italiane hanno affrontato il GDPR con un approccio documentale: informative, nomine, registro dei trattamenti, qualche procedura. Il limite emerge dopo un anno o due. Il registro non viene aggiornato quando cambia un fornitore, le richieste di accesso arrivano in casella generica e nessuno sa chi deve rispondere, le valutazioni d'impatto restano ferme alla prima versione.

La ISO 27701 risolve questo problema applicando alla privacy la logica dei sistemi di gestione ISO. Ci sono obiettivi misurabili, una direzione che se ne assume la responsabilità, audit interni, riesami periodici e azioni correttive. Ciò che cambia, rispetto a un adeguamento solo documentale, è la capacità di dimostrare nel tempo che le regole vengono applicate. È la stessa differenza che passa tra avere una procedura sul data breach e poter mostrare a un auditor il registro degli incidenti dell'ultimo anno, con tempi di gestione e decisioni motivate.

Titolare e responsabile del trattamento nel linguaggio della norma

La norma distingue due ruoli che chi conosce il GDPR riconosce subito. Il PII controller corrisponde al titolare del trattamento: decide perché e come trattare i dati. Il PII processor corrisponde al responsabile del trattamento: tratta i dati per conto del titolare, seguendone le istruzioni.

La distinzione non è teorica. I controlli che l'azienda deve applicare cambiano in base al ruolo: un titolare deve occuparsi di basi giuridiche, informative, consensi e diritti degli interessati; un responsabile deve dimostrare di rispettare le istruzioni del cliente, di gestire correttamente i sub-responsabili e di restituire o cancellare i dati a fine contratto. Molte aziende sono entrambe le cose: una software house è titolare per i dati dei propri dipendenti e dei propri lead commerciali, ma responsabile per i dati che i clienti caricano nella sua piattaforma. Definire bene il ruolo per ogni trattamento è il primo passo del progetto, e da lì dipende il perimetro della certificazione.

ISO/IEC 27701:2025: cosa è cambiato rispetto alla versione 2019?

La ISO/IEC 27701:2025 è stata pubblicata il 14 ottobre 2025 come seconda edizione della norma e sostituisce la prima edizione del 2019. Il cambiamento principale è strutturale: la norma non è più un'estensione della ISO 27001 e della ISO 27002, ma uno standard di sistema di gestione autonomo.

Da estensione a standard autonomo

Nella versione 2019 la ISO 27701 non poteva vivere da sola. Era costruita come "aggiunta" alla ISO 27001: per certificarsi bisognava avere (o ottenere contestualmente) un sistema di gestione della sicurezza delle informazioni conforme alla 27001, a cui si sommavano requisiti e controlli specifici per la privacy. Per questo, per anni, la ISO 27701 è stata descritta come "l'estensione privacy della 27001", ed è il motivo del titolo di questa guida.

Con l'edizione 2025 questo vincolo cade. La ISO 27701 contiene ora le proprie clausole di sistema di gestione e può essere certificata anche da un'organizzazione che non ha la ISO 27001. Questo non significa che la sicurezza delle informazioni sparisca: la norma include controlli di sicurezza applicabili ai dati personali, perché proteggere i dati resta un requisito della privacy. Significa che un'azienda il cui obiettivo principale è la governance dei dati personali può costruire il proprio sistema partendo dalla privacy, senza dover prima certificare l'intero perimetro della sicurezza informatica.

Struttura armonizzata e rischio privacy al centro

La nuova edizione adotta la struttura armonizzata comune a tutte le norme ISO sui sistemi di gestione, con le clausole da 4 a 10: contesto, leadership, pianificazione, supporto, attività operative, valutazione delle prestazioni, miglioramento. È la stessa architettura della ISO 27001:2022, della ISO 9001 e della ISO 42001, e questo semplifica molto la gestione di sistemi integrati.

Secondo le sintesi pubblicate dagli enti di accreditamento, la revisione ha inoltre rafforzato i requisiti su leadership, governance e valutazione delle prestazioni, ha inserito formalmente la gestione del rischio privacy all'interno del sistema di gestione e ha introdotto le considerazioni sul cambiamento climatico già aggiunte alle altre norme ISO sui sistemi di gestione. In termini pratici, la valutazione dei rischi non riguarda più solo la sicurezza dei dati (riservatezza, integrità, disponibilità), ma anche il rischio per i diritti e le libertà delle persone: un trattamento perfettamente protetto da attacchi informatici può comunque essere rischioso se raccoglie più dati del necessario o li conserva troppo a lungo.

Controlli riorganizzati per titolari e responsabili

I controlli specifici per titolari e responsabili sono stati ristrutturati e chiariti. Nella 2025 sono raccolti nell'Annex A, un allegato normativo organizzato in tre tabelle: la A.1 con i controlli per i titolari, la A.2 con i controlli per i responsabili e la A.3 con alcuni controlli di sicurezza delle informazioni comuni a entrambi. L'Annex B fornisce la guida all'attuazione dei controlli; tra gli allegati informativi la norma include una mappatura con il GDPR (Annex D) e una tabella di corrispondenza con l'edizione 2019 (Annex F), utile a chi deve fare la transizione.

Per chi lavora già con la ISO 27001 l'effetto è familiare: come per l'Annex A della 27001, l'azienda seleziona i controlli applicabili in base ai rischi e al proprio ruolo e motiva le esclusioni. Un'azienda che agisce solo come responsabile del trattamento, ad esempio, potrà escludere con motivazione i controlli pensati per i titolari, e viceversa. Come ricorda Accredia, inoltre, i controlli dell'Annex A, e in particolare quelli di sicurezza della tabella A.3, non sono esaustivi: in base alla valutazione dei rischi possono servire controlli ulteriori, ad esempio su inventario degli asset, continuità operativa e sicurezza fisica.

Certificati sulla versione 2019: entro quando passare alla 2025?

Per i certificati emessi in Italia sotto accreditamento Accredia, il passaggio alla versione 2025 va completato entro il 31 marzo 2028. Lo stabilisce la circolare tecnica Accredia DC n. 33/2026, secondo cui dal 1° aprile 2028 i certificati non transitati devono essere revocati. A livello internazionale, il calendario concordato tra gli enti di accreditamento nel gruppo di lavoro IAF e adottato ad esempio nel Regno Unito e in Canada fissa invece il termine al 31 ottobre 2028.

Le date da tenere a mente

Il calendario prevede tre tappe. La prima è la pubblicazione della norma, avvenuta il 14 ottobre 2025. La seconda riguarda gli organismi di certificazione, che devono essere accreditati sulla nuova edizione: in Italia la transizione degli accreditamenti va completata entro il 31 ottobre 2027 e dal 1° novembre 2027 gli accreditamenti non transitati saranno revocati. La terza è quella che interessa direttamente le aziende: entro il 31 marzo 2028 tutte le certificazioni ISO/IEC 27701:2019 emesse sotto accreditamento Accredia devono essere transitate alla versione 2025. Per i certificati emessi sotto un altro accreditamento vale la scadenza fissata dal rispettivo ente.

Fino ad allora, un certificato 2019 resta valido alle condizioni normali, cioè a patto che gli audit di sorveglianza si svolgano regolarmente e il sistema continui a funzionare. Un dettaglio pratico: per la transizione Accredia non richiede un audit dedicato. L'organismo di certificazione svolge per ogni cliente una gap analysis e, se servono, aggiunge giornate di audit alla prima verifica utile o con un audit straordinario; conviene quindi chiedere per tempo quale finestra propone.

Come pianificare la transizione senza stress

Il modo più efficiente di affrontare la transizione è agganciarla a un audit già previsto, di sorveglianza o di rinnovo, evitando una visita aggiuntiva: è la strada prevista anche da Accredia, che consente di svolgere le eventuali giornate di audit complementari alla prima verifica utile. Il lavoro da fare prima dell'audit si può riassumere in pochi passi operativi:

1. Gap analysis tra il sistema attuale e i requisiti della 2025, usando la tabella di correlazione della norma per mappare i vecchi controlli sui nuovi.

2. Aggiornamento della valutazione dei rischi, includendo esplicitamente il rischio per gli interessati e non solo quello per la sicurezza dei dati.

3. Revisione della Dichiarazione di Applicabilità, con i nuovi riferimenti ai controlli e le motivazioni delle esclusioni.

4. Allineamento delle clausole di sistema di gestione (contesto, obiettivi, ruoli della direzione, riesame) alla struttura armonizzata.

5. Formazione mirata di chi gestisce il sistema e audit interno sulla nuova edizione prima della visita dell'organismo.

Un esempio concreto

Pensiamo a un'azienda italiana certificata ISO 27001 e ISO 27701:2019, con il rinnovo del certificato previsto a metà 2027. In questo caso ha senso far coincidere la transizione con il rinnovo: il sistema viene aggiornato nei mesi precedenti e l'audit di ricertificazione verifica già la versione 2025. Se invece il ciclo di certificazione scade dopo il marzo 2028, la transizione andrà fatta durante una sorveglianza intermedia o con un audit straordinario, perché il rinnovo arriverebbe troppo tardi. Un altro scenario frequente: l'azienda ha la 27001 e la 27701:2019 nello stesso certificato. Con la versione 2025 può valutare se mantenere i due standard integrati o gestire la 27701 come certificazione separata, ad esempio con un perimetro diverso.

ISO 27701 e GDPR: cosa dimostra la certificazione e cosa no?

La ISO 27701 è uno strumento per dimostrare l'accountability richiesta dal GDPR, ma non equivale a una certificazione di conformità al GDPR. È la distinzione più importante da capire prima di avviare il progetto, e anche quella più spesso confusa nella comunicazione commerciale.

Uno strumento di accountability

Il GDPR chiede al titolare non solo di rispettare i principi del regolamento, ma di essere in grado di dimostrarlo (art. 5, par. 2, e art. 24). Il regolamento però non dice come organizzare questa dimostrazione. Qui la ISO 27701 è utile: offre una struttura riconosciuta a livello internazionale per tenere sotto controllo trattamenti, rischi, diritti degli interessati, fornitori e incidenti, con evidenze verificate da un soggetto terzo.

La norma contiene una tabella informativa che collega i propri requisiti e controlli agli articoli del GDPR. È uno strumento di lavoro prezioso per il DPO o il referente privacy, perché permette di capire quali parti del sistema rispondono a quali obblighi. Resta però informativa: l'audit di certificazione verifica la norma ISO, non il regolamento. Se vuoi ripassare gli obblighi del regolamento, li trovi nella nostra guida al GDPR, alle sue origini e alle novità.

Il rapporto con i fornitori: l'articolo 28

Per i responsabili del trattamento la ISO 27701 ha un valore molto concreto. L'art. 28 del GDPR impone al titolare di ricorrere solo a responsabili che presentino garanzie sufficienti sulle misure tecniche e organizzative. In pratica, ogni cliente deve verificare i propri fornitori, e lo fa con questionari, richieste di documenti e talvolta audit.

Un certificato ISO 27701 non sostituisce questa verifica per legge, ma la semplifica molto: il cliente trova in un unico documento la prova che il fornitore ha un sistema di gestione della privacy controllato da terzi, con controlli specifici per i responsabili come il rispetto delle istruzioni, la gestione dei sub-responsabili, la restituzione o cancellazione dei dati e la notifica degli incidenti. Per un'azienda SaaS che riceve decine di questionari all'anno, questo si traduce in cicli di vendita più brevi e in meno ore spese a rispondere sempre alle stesse domande.

Perché non è una "certificazione GDPR" ai sensi dell'art. 42

Il GDPR prevede propri meccanismi di certificazione (artt. 42 e 43), basati su criteri approvati dalle autorità di controllo nazionali o, per il sigillo europeo, dal Comitato europeo per la protezione dei dati (EDPB). La ISO 27701 non è uno di questi meccanismi: è una norma tecnica volontaria, e la stessa Accredia precisa che la certificazione ISO 27701 non va considerata un meccanismo di certificazione ai sensi dell'art. 42. Per questo è corretto dire che la certificazione ISO 27701 "supporta" o "facilita" la conformità al GDPR, mentre è scorretto presentarla come "certificazione GDPR". La differenza conta anche in caso di ispezione: davanti al Garante Privacy il certificato è un elemento utile a dimostrare l'organizzazione, ma non esonera dalla responsabilità sui singoli trattamenti. Del resto, nemmeno le certificazioni previste dal GDPR riducono la responsabilità del titolare o del responsabile (art. 42, par. 4).

Chi ha bisogno della certificazione ISO 27701?

La ISO 27701 non è obbligatoria per legge per nessuna azienda. Diventa però molto utile, e a volte di fatto necessaria, per chi tratta dati personali per conto di altri o per chi gestisce trattamenti delicati su larga scala.

Responsabili del trattamento, SaaS e fornitori IT

È il pubblico per cui la ISO 27701 ha il ritorno più immediato. Software house, piattaforme SaaS, provider di servizi cloud, data center, società di sviluppo, call center e outsourcer di servizi HR o amministrativi trattano dati personali dei loro clienti e devono dimostrare di saperlo fare. Quando il cliente è una grande azienda, una banca o una pubblica amministrazione, la procedura di qualifica dei fornitori chiede sempre più spesso evidenze specifiche sulla privacy, oltre alla ISO 27001.

Un esempio tipico: una software house che gestisce un gestionale per studi medici tratta dati sanitari, che rientrano nelle categorie particolari dell'art. 9 del GDPR. I suoi clienti hanno l'obbligo di verificare che il fornitore offra garanzie adeguate. Con la ISO 27701 la software house può rispondere con un certificato e una Dichiarazione di Applicabilità che mostra quali controlli applica come responsabile, invece di compilare ogni volta questionari di cinquanta domande.

Titolari del trattamento con dati delicati o volumi elevati

Anche i titolari possono trarre grande beneficio dalla norma, soprattutto in alcuni contesti. Sono i casi in cui la gestione della privacy è parte del valore offerto al cliente o del rischio d'impresa:

• aziende sanitarie private, laboratori, centri diagnostici e realtà che trattano dati sanitari o genetici;

• e-commerce, retail e aziende con programmi fedeltà che gestiscono grandi basi clienti e attività di profilazione;

• società di selezione e gestione del personale, che trattano dati di candidati e lavoratori;

• aziende che operano con più Paesi e devono gestire trasferimenti di dati extra UE;

• gruppi societari con più titolari e contitolari, che hanno bisogno di regole comuni.

Per questi profili la ISO 27701 aiuta a passare da un adeguamento fatto "una volta" a un controllo continuo, con audit interni e riesami che fanno emergere i problemi prima che diventino reclami o violazioni.

Quando la ISO 27701 non è la prima priorità

Ci sono casi in cui la certificazione può aspettare. Una piccola azienda che tratta solo dati di dipendenti e clienti B2B, senza categorie particolari né trattamenti su larga scala, e che non riceve richieste dai clienti, trae più beneficio da un buon adeguamento GDPR e dall'eventuale supporto di un DPO. Allo stesso modo, se i clienti chiedono soprattutto garanzie di sicurezza informatica, ad esempio per obblighi legati alla NIS2, la priorità è spesso la ISO 27001, a cui la 27701 si può aggiungere in un secondo momento. Decidere l'ordine giusto evita di investire tempo in una certificazione che il mercato non chiede ancora.

Come si integra la ISO 27701 con la ISO 27001?

Se hai già un sistema ISO 27001, la ISO 27701 si integra in modo naturale: le due norme condividono la struttura e buona parte degli strumenti. Anche se la versione 2025 è autonoma, per chi ha già la 27001 la strada più efficiente resta quasi sempre un sistema integrato sicurezza più privacy.

Cosa puoi riutilizzare del sistema ISO 27001

Grazie alla struttura armonizzata, molte componenti del sistema di gestione della sicurezza delle informazioni possono essere estese invece che duplicate. L'analisi del contesto e delle parti interessate, la gestione documentale, l'audit interno, il riesame della direzione, la gestione delle non conformità e delle azioni correttive, la formazione e la gestione degli incidenti possono restare unici, con integrazioni dedicate alla privacy.

Anche i controlli di sicurezza dell'Annex A della 27001, come controllo degli accessi, crittografia, backup, sicurezza dei fornitori e gestione degli incidenti, forniscono la base su cui poggiano i controlli di sicurezza comuni della 27701. Se il sistema 27001 è ben costruito, una parte rilevante del lavoro è già fatta. Per un ripasso di clausole, Annex A e Dichiarazione di Applicabilità puoi partire dalla nostra guida completa alla ISO 27001.

Cosa devi aggiungere per la privacy

Ciò che la 27001 non copre è la prospettiva dell'interessato. Per la ISO 27701 vanno aggiunti, o portati a un livello verificabile, alcuni elementi specifici: l'identificazione del ruolo (titolare, responsabile o entrambi) per ogni trattamento, il registro dei trattamenti collegato all'inventario degli asset, la valutazione dei rischi privacy e delle valutazioni d'impatto, la gestione delle basi giuridiche e dei consensi, i processi per rispondere ai diritti degli interessati, le regole di conservazione e cancellazione, la gestione dei trasferimenti extra UE e i contratti con i sub-responsabili.

Un esempio concreto: nel sistema 27001 il processo di gestione degli incidenti valuta l'impatto sull'azienda. Nel sistema integrato lo stesso processo deve anche valutare se l'incidente è una violazione di dati personali, se va notificata al Garante entro 72 ore e se va comunicata agli interessati, documentando la decisione anche quando la notifica non è necessaria.

Audit integrato o separato

Con la versione 2025 l'azienda può scegliere. Può certificare la 27001 e la 27701 nello stesso audit integrato, con un unico calendario di sorveglianze e un perimetro coerente, oppure tenere due certificazioni distinte, magari con perimetri diversi: ad esempio la 27001 sull'intera azienda e la 27701 solo sulla piattaforma che tratta i dati dei clienti. La scelta dipende da cosa chiede il mercato e da come è organizzata l'azienda. Se non hai ancora la 27001, vale la pena valutare la certificazione ISO 27001 insieme alla 27701, perché costruire i due sistemi in parallelo richiede meno lavoro che farlo in due momenti diversi.

Come ottenere la certificazione ISO 27701: le fasi operative

Il percorso verso la certificazione ISO 27701 segue le fasi tipiche di ogni sistema di gestione ISO, con alcune attività specifiche per la privacy. La sequenza è la stessa sia che si parta da zero, sia che si estenda un sistema 27001 esistente; cambia la quantità di lavoro in ciascuna fase.

Fase 1: perimetro, ruoli e gap analysis

Il primo passo è decidere cosa certificare. Si definiscono il perimetro (tutta l'azienda, una business unit, un prodotto), i trattamenti inclusi e il ruolo che l'azienda ricopre in ciascuno. Poi si confronta la situazione attuale con i requisiti della norma: quali documenti GDPR esistono già e sono aggiornati, quali processi funzionano davvero, dove mancano evidenze.

Un errore da evitare in questa fase è definire un perimetro troppo ampio "per fare bella figura". Un perimetro più stretto ma ben governato si certifica prima e regge meglio negli anni; si può sempre allargare in un secondo momento.

Fase 2: costruzione del sistema

In questa fase si scrivono o aggiornano politiche e procedure, si completa il registro dei trattamenti, si svolge la valutazione dei rischi privacy e si prepara la Dichiarazione di Applicabilità con la selezione dei controlli. Si rivedono i contratti con clienti e fornitori, in particolare gli accordi sul trattamento dei dati, e si definiscono i processi per diritti degli interessati, conservazione dei dati e gestione delle violazioni.

È anche la fase in cui si forma il personale. Non serve un corso generico sul GDPR: servono istruzioni chiare per chi risponde alle richieste degli interessati, per chi gestisce i fornitori, per chi sviluppa il prodotto e deve applicare la privacy by design.

Fase 3: messa in esercizio e audit interno

Un sistema di gestione deve funzionare per un periodo prima dell'audit di certificazione, così da produrre evidenze reali: richieste degli interessati gestite, fornitori valutati, incidenti registrati, obiettivi monitorati. In questo periodo si svolge l'audit interno, che verifica il sistema rispetto alla norma, e il riesame della direzione, in cui il vertice aziendale valuta risultati e priorità. Se fai il percorso con Complaion, l'audit interno lo conduce il tuo Lead Auditor Complaion. Le non conformità emerse vanno trattate con azioni correttive documentate.

Fase 4: audit di certificazione e mantenimento

L'audit di certificazione è condotto da un organismo di certificazione accreditato e verifica sia la documentazione e la preparazione dell'azienda, sia l'effettiva applicazione del sistema. Superato l'audit, il certificato si mantiene con audit di sorveglianza periodici e si rinnova con un audit di ricertificazione alla scadenza del ciclo, secondo le regole della ISO/IEC 17021-1 integrate dalla ISO/IEC 27706. Il mantenimento è la parte che molte aziende sottovalutano: registri, valutazioni e contratti devono restare aggiornati ogni mese, non solo nelle settimane prima della visita.

Tempi e impegno: quali fattori incidono sul percorso?

Non esiste una durata standard per ottenere la ISO 27701: tempi e impegno dipendono dal punto di partenza dell'azienda e dalla complessità dei trattamenti. Per questo la stima corretta si fa solo dopo una prima analisi, con un preventivo costruito sul caso specifico.

Il punto di partenza

Il fattore che incide di più è ciò che esiste già. Un'azienda con un sistema ISO 27001 maturo e un adeguamento GDPR aggiornato deve soprattutto integrare e formalizzare. Un'azienda senza 27001 e con documentazione privacy datata deve invece costruire il sistema quasi da zero. Contano anche la presenza di un DPO o di un referente privacy con tempo dedicato e la qualità del registro dei trattamenti: se è completo, la gap analysis è rapida; se va ricostruito, servono interviste con ogni funzione aziendale.

Complessità dei trattamenti e del perimetro

A parità di dimensione, i tempi cambiano molto in base a cosa si tratta. Pesano il numero e la varietà dei trattamenti, la presenza di categorie particolari di dati, la profilazione, i trasferimenti extra UE, il numero di sub-responsabili e di sedi, la scelta di certificarsi come titolare, come responsabile o in entrambi i ruoli. Un SaaS con un solo prodotto e pochi fornitori cloud ha un perimetro più semplice di un gruppo con più società, più sedi e decine di fornitori.

Disponibilità interna

Infine conta quanto tempo l'azienda può dedicare al progetto. Le figure chiave, cioè referente privacy, responsabile IT, ufficio legale o acquisti e direzione, devono essere disponibili per interviste, decisioni e revisione dei documenti. Un progetto in cui le decisioni arrivano in pochi giorni procede molto più rapidamente di uno in cui ogni approvazione richiede settimane. Per una stima su misura, il passo giusto è richiedere un preventivo personalizzato dopo una prima analisi della situazione.

Quali sono gli errori più comuni con la ISO 27701?

Gli errori più frequenti non riguardano i documenti mancanti, ma l'impostazione del progetto. Riconoscerli in anticipo fa risparmiare mesi.

Confondere il ruolo di titolare e responsabile

È l'errore più diffuso. Molte aziende SaaS si dichiarano solo responsabili del trattamento e dimenticano i trattamenti di cui sono titolari: marketing, analisi dell'uso del prodotto, dati dei dipendenti, log usati per migliorare il servizio. Altre si dichiarano titolari di dati che in realtà trattano solo per conto dei clienti. Il risultato è una Dichiarazione di Applicabilità incoerente, con controlli esclusi senza motivazione valida, che l'auditor rileva subito. La soluzione è mappare il ruolo trattamento per trattamento, non a livello di azienda.

Trattare la privacy come un'appendice della sicurezza

Chi estende un sistema 27001 tende a riutilizzare la valutazione dei rischi esistente aggiungendo qualche voce. Ma il rischio privacy guarda alle persone, non solo agli asset: raccogliere dati non necessari, conservarli oltre il tempo dichiarato o usarli per finalità nuove sono rischi anche in assenza di qualsiasi attacco informatico. Una valutazione dei rischi che non considera questi aspetti non regge un audit sulla 27701, soprattutto nella versione 2025, che ha reso più esplicita la gestione del rischio privacy.

Documenti GDPR mai collegati alla realtà

Informative, registro e valutazioni d'impatto esistono, ma descrivono un'azienda di tre anni fa. L'auditor confronta il registro con i sistemi reali e con l'elenco dei fornitori: se compaiono strumenti nuovi non censiti, o fornitori senza accordo di trattamento, emerge una non conformità. Il registro va legato ai processi di acquisto e di sviluppo, così che ogni nuovo strumento passi dalla valutazione privacy.

Rimandare la transizione alla 2025

Per chi è certificato sulla versione 2019, aspettare il 2028 è rischioso. In Italia, se la transizione non viene completata entro il 31 marzo 2028 il certificato viene revocato, e ripartire da zero richiede molto più impegno che aggiornare il sistema durante una sorveglianza. Conviene pianificarla subito, in accordo con il proprio organismo di certificazione.

Come Complaion ti accompagna verso la ISO 27701

La ISO 27701 permette di trasformare la privacy da insieme di documenti a sistema verificabile, e con la versione 2025 è diventata una certificazione che puoi ottenere da sola o integrare con la ISO 27001. Complaion lavora su entrambi i fronti: un Lead Auditor dedicato segue la tua azienda dalla gap analysis all'audit, mentre la piattaforma Complaion raccoglie le evidenze, gestisce i documenti, tiene lo scadenziario di sorveglianze e rinnovi e prepara l'audit. Prima della visita dell'organismo l'audit interno lo conduce il tuo Lead Auditor e, se hai già la ISO 27001, copre sicurezza e privacy in un'unica verifica. Se ti serve anche un presidio continuo sulla privacy, puoi affidarti al nostro servizio di DPO esternalizzato. Lavoriamo già con oltre 1.000 clienti.

Scopri il percorso per la certificazione ISO 27701 oppure richiedi una consulenza gratuita per capire da dove partire.

Domande frequenti sulla ISO 27701

La ISO 27701 è obbligatoria?

No, la ISO 27701 è una norma volontaria e nessuna legge italiana o europea ne impone l'adozione. Può però diventare un requisito contrattuale: clienti, gare d'appalto e procedure di qualifica dei fornitori possono chiederla o premiarla. Per i fornitori che trattano dati per conto di altri è spesso il modo più semplice per dimostrare le garanzie richieste dall'art. 28 del GDPR. La scelta di certificarsi dipende quindi dal mercato in cui l'azienda opera.

Posso ottenere la ISO 27701 senza la ISO 27001?

Sì, con la versione ISO/IEC 27701:2025 è possibile. La nuova edizione è uno standard autonomo e non richiede più un sistema ISO 27001 come base, a differenza della versione 2019. La norma include comunque controlli di sicurezza per proteggere i dati personali, quindi un livello adeguato di sicurezza delle informazioni resta necessario. Per chi ha già la 27001, l'integrazione dei due sistemi resta la strada più efficiente.

Cosa succede al mio certificato ISO 27701:2019?

Il certificato rimane valido fino alla fine del periodo di transizione, a condizione che gli audit di sorveglianza si svolgano regolarmente. Per i certificati emessi sotto accreditamento Accredia il passaggio alla versione 2025 va completato entro il 31 marzo 2028: dal 1° aprile 2028 i certificati non transitati saranno revocati. Se il certificato è emesso sotto un altro accreditamento, vale la scadenza fissata da quell'ente, che in diversi Paesi è il 31 ottobre 2028. Il modo più efficiente è far coincidere la transizione con un audit di sorveglianza o di rinnovo già previsto.

La certificazione ISO 27701 equivale a una certificazione GDPR?

No. Il GDPR prevede propri meccanismi di certificazione agli artt. 42 e 43, con criteri approvati dalle autorità di controllo o dall'EDPB, e la ISO 27701 non è tra questi, come precisa anche Accredia. La ISO 27701 è una norma tecnica che aiuta a organizzare e dimostrare l'accountability richiesta dal regolamento. È corretto dire che supporta la conformità al GDPR, non che la certifica.

Qual è la differenza tra ISO 27001 e ISO 27701?

La ISO 27001 riguarda la sicurezza di tutte le informazioni aziendali: dati personali, ma anche segreti industriali, dati finanziari, codice sorgente. La ISO 27701 riguarda specificamente i dati personali e la tutela delle persone a cui si riferiscono, inclusi temi che la 27001 non tratta, come basi giuridiche, consensi, diritti degli interessati e rapporti tra titolari e responsabili. Le due norme condividono la struttura e si integrano bene in un unico sistema di gestione.

Quanto dura il certificato ISO 27701?

La durata del certificato e la frequenza degli audit seguono le regole delle certificazioni accreditate dei sistemi di gestione, cioè la ISO/IEC 17021-1, integrate per la privacy dalla ISO/IEC 27706. In pratica il certificato copre un ciclo di certificazione durante il quale si svolgono audit di sorveglianza periodici, che verificano che il sistema continui a funzionare. Alla scadenza del ciclo si svolge un audit di rinnovo. Tra un audit e l'altro l'azienda deve mantenere aggiornati registri, valutazioni dei rischi e contratti.

Serve un DPO per ottenere la ISO 27701?

La norma non impone di nominare un DPO: l'obbligo deriva dal GDPR (art. 37) solo in alcuni casi, ad esempio per autorità pubbliche o per chi effettua monitoraggio regolare e sistematico su larga scala. La ISO 27701 richiede però di assegnare responsabilità chiare per la privacy. Nella pratica, avere un DPO o un referente privacy competente semplifica molto il progetto e il mantenimento. Molte PMI scelgono un DPO esterno per avere competenze specialistiche senza creare una nuova funzione interna.

Un'azienda SaaS deve certificarsi come titolare o come responsabile?

Nella maggior parte dei casi entrambi. Una piattaforma SaaS è responsabile del trattamento per i dati che i clienti caricano nel servizio, ma è titolare per i dati dei propri dipendenti, dei lead commerciali e spesso per alcuni dati d'uso del prodotto. Il perimetro della certificazione può includere uno o entrambi i ruoli. La scelta va fatta trattamento per trattamento e motivata nella Dichiarazione di Applicabilità.