Punti chiave
- La ISO/IEC 27701 definisce i requisiti di un sistema di gestione per la privacy (PIMS) per titolari e responsabili del trattamento di dati personali.
- Con l'edizione 2025, valida dal 14 ottobre 2025, è diventata una norma autonoma: si certifica anche senza la ISO 27001, mentre la versione 2019 ne era un'estensione.
- Per Accredia (Circolare tecnica DC n. 33/2026) la ISO 27701 non è un meccanismo di certificazione ai sensi dell'art. 42 del GDPR: è un'evidenza utile, non una presunzione di conformità.
- L'Allegato A ha tre tabelle: controlli per i titolari (A.1), per i responsabili (A.2) e di sicurezza per entrambi (A.3), che Accredia ricorda non essere esaustivi.
- I certificati accreditati sulla 27701:2019 vanno portati alla 2025 entro il 31 marzo 2028, senza un audit di transizione dedicato ma con una gap analysis dell'organismo.
La ISO/IEC 27701 è la norma internazionale che definisce i requisiti di un sistema di gestione per la privacy (PIMS) per chi tratta dati personali come titolare o come responsabile. Con l'edizione 2025 è diventata autonoma: si certifica anche senza la ISO 27001. Aiuta a organizzare la conformità al GDPR, ma non è una certificazione prevista dall'art. 42 del GDPR.
Se ne parla quasi sempre per un motivo concreto: un cliente vuole garanzie sui dati personali che tratti per suo conto, un questionario fornitori chiede una certificazione privacy, oppure hai già la ISO 27001 e ti chiedi se la 27701 aggiunge qualcosa. Qui trovi cosa contiene, cosa è cambiato nel 2025, quanto vale rispetto al GDPR e come si arriva al certificato.
Cos'è la ISO 27701
La ISO/IEC 27701 specifica i requisiti per stabilire, attuare, mantenere e migliorare in modo continuo un sistema di gestione per la privacy, insieme a una guida per applicarli. È scritta per i titolari e i responsabili del trattamento (nella terminologia ISO, PII controller e PII processor) e vale per organizzazioni di ogni tipo e dimensione: aziende pubbliche e private, enti governativi, organizzazioni non profit.
In Italia è recepita come UNI CEI EN ISO/IEC 27701:2025, in vigore dal 27 novembre 2025 secondo la scheda dello Store UNI, che la chiama Sistema di Gestione per le Informazioni in ambito Privacy (SGIP). Nei documenti in inglese e nelle circolari di Accredia trovi la sigla PIMS, Privacy Information Management System.
Cosa è cambiato con la ISO 27701:2025
La prima edizione, del 2019, era costruita come estensione della ISO/IEC 27001 e della ISO/IEC 27002: aggiungeva requisiti privacy a un sistema di gestione della sicurezza delle informazioni già esistente. Per certificarla serviva quindi anche la 27001.
La seconda edizione, la ISO/IEC 27701:2025, è valida dal 14 ottobre 2025 secondo il catalogo dell'ente di normazione estone EVS, che dalla stessa data dà per ritirata la versione 2019. Il cambio è di impostazione. La Circolare tecnica DC n. 33/2026 di Accredia, del 6 agosto 2026, lo scrive in modo esplicito: a differenza dell'edizione precedente, la nuova norma consente di certificare il sistema di gestione per i dati personali come sistema autonomo. Segue la stessa struttura armonizzata (HS) delle altre norme ISO sui sistemi di gestione e il ciclo PDCA.
Lo conferma la Circolare tecnica DC n. 22/2026, del 17 giugno 2026: con l'edizione 2025 la 27701 non è più un'estensione della certificazione ISO 27001, e nella banca dati Accredia le certificazioni della famiglia 27000 si registrano solo su due norme, la 27001 e la 27701.
Chi ha già un certificato sulla 27701:2019
La circolare DC n. 33/2026 fissa le regole per i certificati emessi sotto accreditamento Accredia:
- non serve un audit di transizione dedicato, perché la revisione non introduce modifiche sostanziali ai controlli per titolari e responsabili;
- l'organismo di certificazione fa per ogni cliente una gap analysis e adegua il contratto; le eventuali giornate di audit in più si svolgono alla prima verifica utile o in un audit straordinario;
- tutti i certificati accreditati sulla 2019 vanno portati alla 2025 entro il 31 marzo 2028; dal 1° aprile 2028 quelli non transitati vanno revocati.
Se il tuo organismo è accreditato da un ente di un altro paese, chiedi a lui quali scadenze applica.
Cosa contiene la norma
Il testo della norma è a pagamento, ma la circolare Accredia ne descrive l'impianto. Il sistema si regge su tre passaggi:
- analisi del contesto e delle parti interessate, partendo dai trattamenti di dati personali che si vogliono certificare;
- valutazione e trattamento del rischio privacy, guardando agli effetti del trattamento sulle persone a cui i dati si riferiscono e, più in generale, sui loro diritti e libertà fondamentali;
- adozione dei controlli necessari per trattare quel rischio.
Attorno ci sono gli elementi di ogni sistema di gestione: una politica per la protezione dei dati personali, obiettivi misurabili, ruoli e responsabilità, monitoraggio e riesame dell'efficacia.
I controlli dell'Allegato A
- Tabella A.1: controlli specifici per i titolari del trattamento;
- Tabella A.2: controlli specifici per i responsabili del trattamento;
- Tabella A.3: alcuni controlli di sicurezza delle informazioni, validi per entrambi.
Accredia avverte che questi controlli, in particolare quelli della tabella A.3, non sono esaustivi: in base alla valutazione del rischio e ai requisiti legali, regolamentari e contrattuali possono servirne altri, per esempio su inventario degli asset, continuità operativa o sicurezza fisica. La Dichiarazione di Applicabilità deve comprendere tutti i controlli necessari, anche quelli presi da fonti diverse dall'Allegato A, con la giustificazione di inclusioni ed esclusioni e lo stato di attuazione.
ISO 27701 e GDPR: cosa vale e cosa no
Molti temi della norma hanno un riscontro nel GDPR: i ruoli di titolare e responsabile, la valutazione del rischio per i diritti delle persone, le misure tecniche e organizzative, il ciclo di vita del dato dalla raccolta alla cancellazione. Il rapporto tra le due cose però va letto con precisione.
Non è una certificazione GDPR
L'art. 42 del Regolamento (UE) 2016/679 prevede meccanismi di certificazione della protezione dei dati, rilasciati dagli organismi dell'art. 43 o dall'autorità di controllo sulla base di criteri approvati dall'autorità di controllo competente o dal Comitato europeo per la protezione dei dati. La circolare Accredia DC n. 33/2026 chiarisce che la ISO/IEC 27701, basandosi sulla ISO/IEC 17021-1, non va considerata un meccanismo di certificazione ai sensi dell'art. 42.
La conseguenza pratica riguarda due rinvii del GDPR. L'art. 24 par. 3, sulla responsabilità del titolare, e l'art. 32 par. 3, sulla sicurezza del trattamento, dicono che l'adesione a un meccanismo di certificazione dell'art. 42 può essere usata come elemento per dimostrare la conformità. Un certificato ISO 27701 non rientra in quei rinvii.
Cosa vale, allora
L'art. 24 par. 1 chiede al titolare di mettere in atto misure adeguate e di essere in grado di dimostrare che il trattamento è conforme. L'art. 28 par. 1 gli chiede di affidarsi solo a responsabili che presentino garanzie sufficienti. Un sistema di gestione privacy verificato da un organismo terzo produce proprio le evidenze che servono in queste due situazioni: valutazioni del rischio, controlli documentati e motivati, risultati di audit e riesami. È un elemento utile nel fascicolo, accanto alle misure di sicurezza dell'art. 32, ma non è una presunzione di conformità: la valutazione resta del titolare.
Se tratti dati personali con sistemi di intelligenza artificiale, la stessa logica di accountability si incrocia con gli obblighi dell'AI Act: il quadro è in AI Act e GDPR.
ISO 27701 e ISO 27001: servono entrambe?
Con l'edizione 2025 non è più obbligatorio averle insieme. Nella pratica, però, stanno bene insieme per due ragioni.
- L'impianto è lo stesso. Contesto, valutazione del rischio, Dichiarazione di Applicabilità, audit interno e riesame seguono la stessa struttura: chi ha già un sistema ISO 27001 riusa gran parte del lavoro.
- La sicurezza della tabella A.3 non basta da sola. Accredia ricorda che quei controlli non sono esaustivi, e un sistema di gestione della sicurezza delle informazioni copre proprio la parte che manca.
Accredia osserva anche che chi è certificato sulla 27701:2019 è già certificato ISO 27001:2022: con l'edizione precedente non poteva essere altrimenti. Il percorso completo verso la 27001 è nella nostra guida completa alla ISO 27001; se vendi anche negli Stati Uniti, il confronto tra certificazione ISO e attestazione SOC 2 è in ISO 27001 vs SOC 2.
Da non confondere con la ISO/IEC 27018, che raccoglie controlli per i dati personali trattati in un cloud pubblico e, per Accredia, non si certifica da sola. La differenza è spiegata in ISO 27017 e ISO 27018.
Chi ne ha bisogno
- Chi tratta dati personali per conto dei clienti (servizi SaaS, servizi gestiti, outsourcing di processi come paghe o assistenza clienti): è la situazione dell'art. 28, in cui il cliente titolare deve verificare le tue garanzie.
- Chi tratta molti dati personali come titolare, per esempio nella sanità privata o nei servizi finanziari, e vuole un modo strutturato per dimostrare l'accountability a direzione, partner e clienti.
- Chi ha già la ISO 27001 e riceve domande sulla privacy che il perimetro della sicurezza delle informazioni non copre.
Il GDPR non la impone. La chiedono, quando la chiedono, i clienti e i contratti.
Come si arriva alla certificazione
- Definisci perimetro e ruolo. Quali trattamenti entrano nel certificato e, per ciascuno, se agisci da titolare, da responsabile o da entrambi: cambia quali tabelle dell'Allegato A ti riguardano.
- Analizza contesto e parti interessate. Clienti, interessati, autorità, fornitori: cosa si aspettano dal trattamento e cosa può influire sui risultati del sistema.
- Valuta il rischio privacy. Per ogni fase del trattamento, dalla raccolta alla cancellazione o anonimizzazione, guarda gli effetti sulle persone. Se hai già un'analisi del rischio ISO 27001 il metodo si estende, ma l'oggetto cambia: qui conta il danno alle persone, non solo all'azienda.
- Scrivi politica e obiettivi. Una politica per la protezione dei dati personali approvata dalla direzione, coerente con la politica di sicurezza delle informazioni se ce l'hai già.
- Scegli i controlli e compila la SoA. Allegato A più tutto ciò che la valutazione del rischio richiede, con le giustificazioni.
- Fai girare il sistema e misuralo. Audit interno e riesame della direzione chiudono il ciclo PDCA prima dell'audit esterno.
- Scegli un organismo accreditato. In Italia Accredia accredita gli organismi per la 27701 sulla UNI CEI EN ISO/IEC 17021-1 integrata dalla ISO/IEC 27706:2025, e dal 1° luglio 2026 rilascia nuovi accreditamenti solo sull'edizione 2025. Chiedi all'organismo se è già accreditato sulla 2025 e come scriverà lo scopo.
In sintesi
In sintesi: la ISO/IEC 27701:2025 è un sistema di gestione per la privacy certificabile da solo, per titolari e responsabili del trattamento. Organizza in modo verificabile molte cose che il GDPR chiede, ma non è una certificazione dell'art. 42. Chi ha un certificato accreditato Accredia sulla versione 2019 ha tempo fino al 31 marzo 2028 per la transizione.
Se stai costruendo la ISO 27001, o ce l'hai già, e un cliente ti chiede garanzie sui dati personali, conviene decidere presto se la 27701 entra nello stesso percorso: valutazione del rischio, SoA e audit si progettano una volta sola. Ne parliamo nella pagina sulla certificazione ISO 27001 con AmagisTech.