Curso Cyber Cultura
ISO 27701: Práticas de Conformidade e Controlos
O PIMS da ISO/IEC 27701:2025, autónomo ou integrado no SGSI.
Prepara o formando para implementar um Sistema de Gestão da Privacidade da Informação (PIMS) em conformidade com a ISO/IEC 27701:2025, cumprindo os requisitos de privacidade para controladores e operadores.
A edição de 2025 transformou a 27701 numa norma de sistema de gestão autónoma: o PIMS pode ser implementado e certificado sem a ISO/IEC 27001, ou integrado num SGSI existente. O curso abrange os dois caminhos.
- Carga horária
- 5 horas
- Formato
- Online ou in-company
- Investimento
- Sob consulta
Respondemos com datas, formato e investimento.
Para quem é
- DPOs e profissionais de privacidade que vão implementar ou manter um PIMS.
- Responsáveis por SGSI que querem integrar a privacidade no sistema de gestão.
- Empresas que tratam dados pessoais como operadoras e precisam de demonstrar conformidade aos seus clientes.
O que vai desenvolver
- Mapear os tratamentos (ROPA) e as bases legais e executar o RIPD.
- Governar os direitos dos titulares e os avisos de privacidade.
- Implementar os controlos do Anexo A para controladores e operadores e os contratos com terceiros.
- Integrar a privacidade no ciclo de desenvolvimento, nos logs, na ocultação de dados, na conservação e na eliminação.
- Medir a conformidade: Declaração de Aplicabilidade do PIMS, métricas de LGPD e 27701 e auditorias.
Conteúdo programático
5 horas
01Fundamentos da ISO/IEC 27701:2025 e do PIMS
- O PIMS como sistema de gestão autónomo, certificável sem a ISO/IEC 27001, e a integração com um SGSI existente
- O que mudou em relação à edição de 2019 e como fazer a transição
- Papéis e responsabilidades: controlador e operador, DPO ou Encarregado, proprietários de processos e de dados
- Princípios de privacidade e a sua evidência (LGPD)
02Estrutura da ISO/IEC 27701:2025
- Cláusulas 4 a 10: requisitos do PIMS (contexto, liderança, planeamento, suporte, operação, avaliação do desempenho e melhoria)
- Anexo A: controlos de referência do PIMS para controladores, para operadores e de segurança da informação comuns a ambos
- Anexo B: orientações de implementação dos controlos
- Correspondência com a ISO/IEC 27001 e 27002 e com regulamentos de privacidade
03Governação da privacidade e documentos do PIMS
- Política corporativa de privacidade, normas e procedimentos (arquitetura documental)
- Comité de Privacidade, cadência, registo de decisões e integração com o comité de segurança
- Riscos de privacidade (integração com a ISO/IEC 27005 e a ISO 31000) e critérios de risco elevado
04Inventário de tratamentos (ROPA) e bases legais
- Campos mínimos: finalidades, bases legais, categorias, sistemas, terceiros, conservação e medidas
- Bases legais da LGPD e seleção com evidências
- LIA (interesse legítimo): finalidade, necessidade e ponderação
- Atualização contínua: mudanças, novos terceiros e novas finalidades
05RIPD: Relatório de Impacto à Proteção de Dados
- Critérios que o exigem: risco elevado, dados sensíveis e de crianças, decisões automatizadas, monitorização e novas tecnologias
- Estrutura: necessidade e proporcionalidade, riscos para os titulares, medidas de mitigação e decisão
- Aprovação pelo DPO ou pelo Comité e revalidação em caso de alteração relevante
06Direitos dos titulares
- Portal e canais, verificação de identidade, prazos e exceções
- Fluxos por direito: acesso, retificação, eliminação, portabilidade, revogação e revisão de decisão automatizada
- Pistas de auditoria e métricas de eficácia
07Controlador: controlos do Anexo A
- Transparência e avisos, finalidade e minimização, privacy by default
- Consentimento e preferências; gestão de cookies e SDKs
- Conservação e eliminação; classificação e ciclo de vida
- Transferências internacionais: fundamentos legais e salvaguardas
- Contratos com operadores: instruções, suboperadores, segurança, auditoria, eliminação e devolução
08Operador: controlos do Anexo A
- Tratamento segundo as instruções do controlador e registo de atividades
- Segurança e confidencialidade; segregação; notificação de incidentes
- Suboperadores: aprovação e controlo; devolução e eliminação dos dados no fim do contrato
- Evidências periódicas ao controlador: relatórios, testes e certificações
09Privacidade na engenharia e no ciclo de desenvolvimento
- Requisitos de privacidade nas histórias de utilizador; modelação de ameaças, incluindo LINDDUN
- SAST, DAST, SCA e deteção de segredos com verificações de privacidade
- Logs com minimização e ocultação de dados; segregação de ambientes; policy-as-code no CI/CD
- Desidentificação: pseudonimização, anonimização, tokenização, cifragem e gestão de chaves
10Terceiros e cadeia de abastecimento
- Due diligence por criticidade: evidências, certificações, SOC 2, pentest e postura na nuvem
- Acordo de tratamento de dados (DPA) e cláusulas de LGPD: notificação, apoio aos direitos, eliminação e transferência
- Monitorização contínua, SLAs e offboarding seguro, com certificado de destruição ou devolução
11Incidentes com dados pessoais
- Classificação da gravidade e do risco para o titular; coordenação com as SecOps
- Critérios e conteúdo da comunicação aos titulares e à ANPD, quando aplicável
- Cadeia de custódia, comunicação e ações corretivas; atualização do RIPD e dos controlos
12Continuidade e prontidão das TIC para a privacidade
- RTO e RPO para serviços com dados pessoais; failover e restore com validação da integridade e da segurança
- Backups imutáveis e eliminação coerente com a política de conservação
- Testes integrados (tabletops) com cenários de dados pessoais
13Métricas, auditorias e Declaração de Aplicabilidade
- KPIs e KRIs: pedidos de titulares, bases legais evidenciadas, RIPDs em vigor, operadores com DPA e incidentes
- Declaração de Aplicabilidade do PIMS (Anexo A) e matriz de conformidade entre LGPD e 27701
- Auditorias internas e externas, não conformidades e ações corretivas; exceções e aceitação do risco de privacidade
14Exemplo simulado e artefactos práticos
O que o curso inclui
- Exemplo simulado
- Artefactos práticos
Para a sua equipa
Este curso também está disponível em formato in-company, presencial ou à distância, com turma fechada para a sua empresa.
Curso Cyber Cultura
ISO 27701: Práticas de Conformidade e Controlos
Respondemos com datas, formato e investimento.
cyber@cyberconsulting.com.br