Uma fintech que auditei no início do ano mantinha um dashboard de conformidade LGPD alimentado pelos mesmos controles que sustentavam o SGSI certificado em ISO 27001. O raciocínio da liderança era direto: se os dois frameworks tratam de proteção de dados, o mapeamento de um pro outro resolveria ambos. O problema apareceu quando a ANPD pediu a base legal de tratamento pra perfilamento comportamental, e a resposta disponível era inventário de ativos, sem registro de atividades. Os dois documentos parecem vizinhos, mas descrevem sistemas diferentes, e essa diferença aparece no momento em que o regulador pergunta algo que o auditor certificador nunca perguntaria.
A ISO 27001 define um SGSI com foco em confidencialidade, integridade e disponibilidade sobre ativos. A LGPD regula o tratamento de dados pessoais e estabelece direitos do titular, bases legais, obrigações do controlador e do operador, e sanções administrativas. O objeto de proteção da norma é o ativo informacional; o da lei é a pessoa natural cujos dados são tratados. A sobreposição é real, mas parcial, e tratá-la como equivalência produz gaps.
A sobreposição mais imediata está nos controles técnicos e organizacionais que a LGPD exige nos artigos 46 a 49 e que o Anexo A da ISO 27001:2022 descreve em seus noventa e três controles. Criptografia em trânsito e em repouso, controle de acesso baseado em função, registro de logs, gestão de incidentes, continuidade operacional, segregação de ambientes, gestão de fornecedores e classificação da informação aparecem nos dois lados. Uma organização com SGSI maduro atende boa parte do que o artigo 46 exige em medidas aptas a proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas. A ANPD, em suas publicações técnicas pra pequenos agentes de tratamento, reconhece a ISO 27001 como referência aceitável. Existe ainda a ISO/IEC 27701, publicada em 2019 como extensão de privacidade sobre a 27001 e a 27002, que transforma o SGSI num Privacy Information Management System com papéis de controlador e operador, registros de tratamento e mapeamentos pra LGPD e GDPR. Quem já mantém SGSI certificado encontra nela o caminho pra estender processos à exigência de privacidade sem duplicar infraestrutura.
A divergência começa onde o objeto de proteção se desloca da informação pro titular. A LGPD exige registro de operações de tratamento com finalidade, base legal, categorias de dados e titulares, prazo de retenção, compartilhamentos e medidas de segurança aplicáveis, conforme o artigo 37. A ISO 27001 exige inventário de ativos, mas não registro de tratamento. Um ativo é uma base de dados, um sistema, um servidor; um tratamento é uma finalidade aplicada a uma categoria de dado pessoal com base legal definida. O inventário responde "o que existe e quem é responsável"; o registro responde "por que estamos tratando este dado, com que autorização, por quanto tempo e com quem compartilhamos". A 27701 endereça esse ponto ao somar ao inventário um registro com finalidade, base legal e ciclo de vida, mas a adoção é escolha da organização.
A gestão de incidentes tem o mesmo problema. A ISO 27001 exige processo de resposta que vai da detecção e contenção até erradicação, recuperação e lições aprendidas. A LGPD, no artigo 48, exige comunicação à ANPD e ao titular num prazo razoável, fixado em três dias úteis pela Resolução CD/ANPD nº 15/2024. O runbook do SGSI escala pra CISO, jurídico interno e comunicação; o exigido pela LGPD precisa incluir avaliação de risco ao titular, decisão de notificação, formato do comunicado, canal oficial junto à ANPD e critérios de materialidade. O gatilho da ISO é operacional; o da LGPD é de impacto ao titular. Quem copia o runbook de um pro outro descobre no primeiro incidente real.
A figura do encarregado, o DPO do artigo 41, não tem correspondente direto na ISO 27001. A norma exige papéis de segurança, materializados em CISO ou equivalente, com foco em governança do SGSI. O encarregado interlocuta com titulares e com a ANPD, e suas atribuições são jurídicas tanto quanto técnicas. Concentrar as duas funções na mesma pessoa é comum em organizações menores, mas o conflito aparece quando a defesa do SGSI diverge da do titular.
Há ainda o Relatório de Impacto à Proteção de Dados Pessoais, previsto no artigo 38, que a ANPD pode exigir em tratamentos de alto risco. O RIPD avalia necessidade, proporcionalidade, riscos aos titulares e medidas de mitigação. A análise de risco da ISO 27001 avalia ameaças a ativos, probabilidade e impacto operacional. Vocabulário parecido, documentos distintos: o RIPD pergunta se o tratamento é legítimo e proporcional; a análise do SGSI pergunta se o controle é adequado ao nível de exposição aceito.
O erro comum é tratar a certificação como prova de conformidade legal. A certificação ISO 27001 demonstra maturidade de gestão de segurança da informação, e isso conta na avaliação da ANPD sobre medidas técnicas, inclusive como atenuante na aplicação de sanção prevista no artigo 52, parágrafo primeiro, inciso oitavo. Não demonstra atendimento aos direitos do titular, bases legais, registro de tratamento ou comunicação de incidentes nos prazos legais. Quem parte do SGSI maduro tem duas rotas: construir uma camada de privacidade sob medida sobre os controles existentes, com registros, papéis e gatilhos próprios; ou adotar a 27701 como extensão normativa, reaproveitando auditoria e governança ao custo de adequação aos requisitos adicionais. Quem parte da LGPD sem SGSI consegue conformidade formal, mas sem estrutura operacional pra sustentá-la sob a pressão real de um incidente.