ISO/IEC 27701:2025 Sistema di gestione delle informazioni privacy
Dimostrate con un certificato internazionale di trattare i dati personali in modo responsabile — come titolare, responsabile o entrambi.
- nuova edizione
- 2025
- sistema autonomo
- PIMS
- evidenza di conformità
- GDPR
- validità del certificato
- 3 anni
La ISO/IEC 27701:2025 è ora una norma autonoma
La seconda edizione è stata pubblicata a ottobre 2025. Il cambiamento più importante: la 27701 non è più un’estensione della ISO/IEC 27001 e può essere certificata da sola.
I certificati sull'edizione 2019 devono passare alla nuova entro un periodo di transizione che gli organismi di certificazione fissano fino al 2028. L'edizione pone maggiore enfasi su leadership, governance della privacy e dati personali nell'IA e negli ecosistemi digitali.
Cos'è la ISO/IEC 27701
La ISO/IEC 27701 definisce i requisiti di un sistema di gestione delle informazioni privacy (PIMS). Trasforma i principi di protezione dei dati in processi operativi — ruoli, responsabilità, controlli ed evidenze.
La norma distingue gli obblighi di titolari e responsabili del trattamento ed è allineata a regolamenti come il GDPR.
Dal 2025 può essere implementata da sola o insieme alla ISO/IEC 27001 — la combinazione è la prova più forte di sicurezza e privacy.
Titolare, responsabile — o entrambi?
La ISO/IEC 27701:2025 suddivide i controlli per ruolo. Scegliete il vostro e vedete quanti dei 78 controlli vi riguardano.
- Controlli per il titolare 31
- Controlli per il responsabile 18
- Negozio online
- Clinica e laboratorio
- Banca e assicurazione
- Scuola e università
- Hosting e cloud
- Piattaforma SaaS
- Outsourcing paghe
- Call center
- Studio contabile
- Agenzia di marketing
- Assistenza IT
Il viaggio di un dato — dalla registrazione alla cancellazione
Maria fa un ordine in un negozio online. Ecco come il PIMS protegge i suoi dati a ogni passo — e come lo si dimostra.
Raccolta
Maria si registra e ordina.
- Base giuridica
- Informativa privacy
- Consenso marketing separato
Minimizzazione
Il modulo chiede solo il necessario — niente codice fiscale.
- Minimizzazione dei dati
- Registro dei trattamenti
- Accesso per ruoli
Condivisione
Il corriere riceve solo nome, indirizzo e telefono.
- Accordo con il responsabile
- Solo i campi necessari
- Valutazione del fornitore
Conservazione
I dati sono in un cloud UE — cifrati.
- Cifratura
- Periodo di conservazione
- Backup
Richiesta
Maria chiede la cancellazione dei suoi dati.
- Procedura per i diritti
- Verifica dell’identità
- Risposta entro 1 mese
Cancellazione
Cancellati ovunque — anche presso il corriere.
- Prova di cancellazione
- Notifica ai destinatari
- Annotazione nel registro
Il GDPR dice cosa. La ISO 27701 mostra come.
Il regolamento fissa gli obblighi. La norma li traduce in processi, responsabilità ed evidenze che reggono una verifica dell’autorità.
art. 5 Principi Politica privacy, minimizzazione e tempi di conservazione art. 6–9 Base giuridica Una base definita per ogni finalità, gestione dei consensi art. 12–22 Diritti degli interessati Procedura, scadenze e modelli per accesso, rettifica, cancellazione art. 24–25 Responsabilizzazione e privacy by design Valutazione dei rischi, leadership e protezione per impostazione predefinita art. 28 Responsabili Contratti, valutazione e controllo dei sub-responsabili art. 30 Registro dei trattamenti Registro mantenuto come parte del sistema art. 32 Sicurezza Controlli di sicurezza comuni, compatibili con la ISO 27001 art. 33–34 Violazioni Procedura per gli incidenti — notifica entro 72 ore art. 35 DPIA Valutazione d’impatto per i trattamenti a rischio art. 44–49 Trasferimenti extra UE Controllo dei trasferimenti e garanzie adeguate Un sistema funzionante, non una cartella di documenti
Tutto ciò che l’auditor o l’autorità possono chiedere — e che il team usa davvero.
Consulenza gratuita- Ruoli definiti — titolare e/o responsabile
- Registro delle attività di trattamento
- Politica privacy e informative
- Valutazione dei rischi privacy e DPIA
- Procedura per i diritti degli interessati con modelli
- Accordi con responsabili e sub-responsabili
- Procedura per le violazioni — 72 ore
- Formazione del team e audit interno
Sicurezza e privacy — in un unico sistema
La ISO 27701 ora si certifica da sola, ma dà il meglio in combinazione.
La struttura della norma
L'edizione 2025 segue la struttura comune dei sistemi di gestione — punti 4–10 più controlli suddivisi per ruolo.
Punto 4 — Contesto dell'organizzazione
Il vostro ruolo — titolare, responsabile o entrambi — parti interessate, leggi applicabili, campo di applicazione.
Punto 5 — Leadership
Impegno della direzione, politica privacy, ruoli e responsabilità.
Punto 6 — Pianificazione
Valutazione e trattamento dei rischi per i dati personali e per gli interessati, obiettivi.
Punto 7 — Supporto
Risorse, competenza, consapevolezza, comunicazione, informazioni documentate.
Punto 8 — Attività operative
Applicazione dei controlli privacy e dei diritti degli interessati.
Punto 9 — Valutazione delle prestazioni
Monitoraggio e misurazione, audit interno, riesame della direzione.
Punto 10 — Miglioramento
Violazioni dei dati personali, azioni correttive, miglioramento continuo.
Cosa coprono i controlli
I controlli sono suddivisi per ruolo — titolare o responsabile — e trasformano i requisiti del GDPR in pratica quotidiana.
- 01
Base giuridica e finalità
Perché e su quale base si tratta ogni categoria di dati.
- 02
Diritti degli interessati
Accesso, rettifica, cancellazione, portabilità — con procedure e termini.
- 03
Minimizzazione e conservazione
Solo i dati necessari, solo per il tempo necessario.
- 04
Responsabili e trasferimenti
Contratti, sub-responsabili e trasferimenti fuori dall’UE.
- 05
Valutazione d'impatto
Valutazione d'impatto sulla protezione dei dati (DPIA) per i trattamenti ad alto rischio.
- 06
Violazioni dei dati personali
Rilevazione, documentazione e notifica entro il termine di legge.
Cosa ottenete
Evidenze GDPR
Evidenze strutturate per clienti e autorità di controllo.
Fiducia dei clienti
Soprattutto quando trattate dati per conto dei clienti.
Un vantaggio nelle gare
Un certificato privacy riconosciuto a livello internazionale.
Ordine nei dati
Sapete quali dati avete, dove sono e chi vi accede.
Preparazione alle violazioni
Una procedura di risposta e notifica provata.
Sinergia con la ISO 27001
Processi condivisi di rischio, audit e miglioramento.
Il percorso verso la certificazione
Sei fasi con un risultato chiaro in ognuna.
- 01 1–2 sett.
Mappatura dei dati
Registro dei trattamenti e flussi di dati.
- 02 1–2 sett.
Ruoli e basi giuridiche
Titolare o responsabile, basi, finalità.
- 03 2–3 sett.
Rischi e DPIA
Valutazione dei rischi per gli interessati.
- 04 2–4 sett.
Politiche e procedure
Diritti degli interessati, conservazione, violazioni, responsabili.
- 05 1–2 sett.
Audit interno
Verifica e riesame della direzione.
- 06 Fase 1 + 2
Audit di certificazione
Fase 1 e Fase 2 da parte di un organismo accreditato.
Tempi e costi — da cosa dipendono
Il costo dipende soprattutto da volume e sensibilità dei dati. Questi sono i fattori — più una stima.
Dipendenti e sedi
Determinano il carico di lavoro e i giorni di audit.
Volume e sensibilità
Le categorie particolari di dati richiedono più controlli.
Ruolo
Titolare, responsabile o entrambi.
ISO 27001 esistente
Accorcia notevolmente l'implementazione.
Trasferimenti fuori UE
Servizi cloud e fornitori in paesi terzi.
Costo di certificazione
Si paga a parte all'organismo di certificazione.
01 Serve la ISO 27001 per ottenere la ISO 27701?
Dall'edizione 2025 — no. La ISO/IEC 27701 è ora una norma autonoma. Le due si completano a vicenda, però, e spesso si implementano insieme.
02 Un certificato 27701 significa conformità al GDPR?
Non automaticamente — la conformità al GDPR la valutano le autorità di controllo. Il certificato è una forte evidenza che avete un sistema di protezione dei dati funzionante.
03 Cosa succede ai certificati 2019?
Devono passare all'edizione 2025 entro il periodo di transizione fissato dagli organismi di certificazione (fino al 2028).
04 È adatta alle piccole aziende?
Sì, soprattutto se trattate dati per conto dei clienti — ad esempio servizi IT, contabili, di marketing o HR.
05 Quanto tempo richiede?
Di solito da 2 a 5 mesi; meno se avete già la ISO 27001.
Questa domanda non è nell’elenco — chiedeteci direttamente e risponderemo.
La prima consulenza è gratuita
Raccontateci della vostra azienda e del vostro obiettivo. Riceverete un piano chiaro e un preventivo entro un giorno lavorativo.