ISO 27001 vs GDPR: differenze e cosa copre il certificato

Il GDPR (Regolamento UE 2016/679) è una legge: si applica a chi tratta dati personali e guarda al rischio per le persone. La ISO/IEC 27001 è una norma volontaria sulla sicurezza delle informazioni aziendali. Un certificato ISO 27001 non basta per essere conformi al GDPR: aiuta a dimostrare le misure di sicurezza, non copre basi giuridiche, principi e diritti.

La domanda arriva da chi ha appena ottenuto la 27001 e si chiede se il capitolo privacy sia chiuso, o da chi deve sistemare il GDPR e valuta la certificazione come strada. Qui trovi dove le due cose coincidono, dove no e come farle lavorare insieme senza fare il lavoro due volte.

Le differenze in breve

• Natura. Il GDPR è un regolamento europeo direttamente applicabile in ogni Stato membro dal 25 maggio 2018 (art. 99). La ISO/IEC 27001 è una norma tecnica internazionale: in Italia è la UNI CEI EN ISO/IEC 27001:2024+A1:2024, e ci si certifica per scelta.
• Chi riguarda. Il GDPR vale per titolari e responsabili che trattano dati personali nell'ambito di uno stabilimento nell'Unione, o che offrono beni e servizi a persone che si trovano nell'Unione o ne monitorano il comportamento (art. 3). La 27001 è applicabile a qualsiasi organizzazione, di ogni tipo, dimensione e natura, che decida di adottarla.
• Oggetto. Il GDPR riguarda i dati personali e tutto il loro trattamento, dalla raccolta alla cancellazione. La 27001 riguarda tutte le informazioni dell'azienda, personali e no: progetti, contratti, codice, dati di produzione.
• Il rischio di chi. Il GDPR chiede di valutare il rischio per i diritti e le libertà delle persone fisiche (artt. 24, 25, 32). La 27001 chiede di valutare il rischio per la riservatezza, l'integrità e la disponibilità delle informazioni, con criteri che fissa l'organizzazione.
• Chi controlla. Sul GDPR vigila l'autorità di controllo, in Italia il Garante per la protezione dei dati personali (D.Lgs. 196/2003, art. 2-bis). Sulla 27001 verifica un organismo di certificazione, accreditato in Italia da Accredia.
• Cosa succede se manca. Una violazione del GDPR può portare a sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per gli obblighi di titolare e responsabile, sicurezza e notifica comprese, e fino a 20 milioni o al 4% per principi, basi giuridiche e diritti (art. 83, par. 4 e 5). Senza la 27001 non c'è sanzione: c'è un requisito di gara o una domanda di un cliente a cui non si risponde.

Cosa chiede il GDPR

Il GDPR parte dai principi dell'art. 5: liceità, correttezza e trasparenza, limitazione della finalità, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza. Il par. 2 aggiunge la responsabilizzazione: il titolare deve rispettare i principi ed essere in grado di comprovarlo.

Da lì discendono obblighi che hanno poco a che fare con la tecnologia e molto con le decisioni sul trattamento:

• una base giuridica per ogni trattamento (art. 6) e le informazioni agli interessati (artt. 13 e 14);
• i diritti degli interessati, dall'accesso alla cancellazione fino all'opposizione e ai processi decisionali automatizzati (artt. 12-22);
• la protezione dei dati fin dalla progettazione e per impostazione predefinita (art. 25);
• il registro delle attività di trattamento (art. 30) e, per i trattamenti a rischio elevato, la valutazione d'impatto (art. 35);
• contratti e garanzie con i responsabili del trattamento (art. 28);
• la sicurezza del trattamento (art. 32) e la notifica delle violazioni all'autorità di controllo entro 72 ore, ove possibile (art. 33);
• la designazione del responsabile della protezione dei dati nei casi dell'art. 37 e le regole sui trasferimenti fuori dall'Unione (capo V).

La sicurezza è un pezzo del GDPR, importante, ma un pezzo.

Cosa chiede la ISO 27001

La norma specifica i requisiti per stabilire, attuare, mantenere e migliorare un sistema di gestione per la sicurezza delle informazioni (SGSI), compresa la valutazione e il trattamento dei rischi. Secondo l'introduzione, il sistema preserva riservatezza, integrità e disponibilità delle informazioni applicando un processo di gestione del rischio.

La struttura è quella di ogni norma sui sistemi di gestione:

• punti da 4 a 10: contesto e parti interessate, leadership e politica, pianificazione e valutazione del rischio, supporto e informazioni documentate, attività operative, valutazione delle prestazioni con audit interni e riesame di direzione, miglioramento. Chi dichiara conformità alla norma non può escluderne nessuno;
• Appendice A: un elenco di controlli di riferimento da cui l'azienda sceglie, in base al rischio, quelli da applicare. Le scelte e le esclusioni motivate finiscono nella Dichiarazione di Applicabilità.

L'aggiornamento Amd 1:2024 ha integrato i punti 4.1 e 4.2 con il tema dei cambiamenti climatici, come ricorda la Circolare tecnica Accredia DC n. 22/2026. Per il percorso completo c'è la nostra guida alla ISO 27001.

Dove si sovrappongono

La sovrapposizione vera sta nell'art. 32 del GDPR, che chiede misure tecniche e organizzative adeguate al rischio e ne cita quattro come esempi. Ognuna ha un corrispondente diretto in un SGSI:

• Pseudonimizzazione e cifratura (lett. a): il controllo 8.24 dell'Appendice A, sull'uso della crittografia.
• Riservatezza, integrità, disponibilità e resilienza dei sistemi (lett. b): è la definizione stessa dello scopo di un SGSI, e la coprono i controlli su accessi, sistemi e fornitori.
• Ripristino tempestivo dopo un incidente (lett. c): i controlli 8.13 sui backup e quelli sulla continuità.
• Verifica regolare dell'efficacia delle misure (lett. d): audit interni e riesame di direzione (punti 9.2 e 9.3), oltre ai test tecnici. Accredia chiede agli organismi di verificare se l'azienda certificata fa periodicamente vulnerability assessment o penetration test in funzione del rischio (DC n. 22/2026).

Ci sono poi altri punti di contatto. La gestione degli incidenti (dal controllo 5.24 in poi) dà la procedura su cui innestare la notifica dell'art. 33 e la documentazione delle violazioni del par. 5. La gestione dei fornitori aiuta a scegliere responsabili con garanzie sufficienti, come chiede l'art. 28. E nell'Appendice A ci sono controlli che richiamano gli obblighi di legge dentro il sistema: il 5.31, sui requisiti legali, regolamentari e contrattuali, e il 5.34, intitolato alla privacy e alla protezione dei dati personali. Le misure dell'art. 32 sono spiegate nel dettaglio in art. 32 GDPR, le misure di sicurezza.

Cosa la ISO 27001 non copre del GDPR

Il Comitato europeo per la protezione dei dati (EDPB) lo osserva nelle Linee guida 1/2018 sulla certificazione (par. 69): gli standard di settore guardano spesso alla sicurezza dell'organizzazione contro le minacce, mentre il GDPR guarda ai diritti fondamentali delle persone fisiche. È la differenza di prospettiva che lascia scoperti interi capitoli:

• La liceità. Un SGSI può rendere sicuro un trattamento che non ha base giuridica, o che conserva dati più a lungo del necessario. La 27001 non chiede se quel dato andava raccolto.
• I diritti degli interessati. Rispondere a una richiesta di accesso o di cancellazione nei tempi previsti è un processo che la 27001 non descrive.
• Informative, registro e valutazione d'impatto. Sono documenti del GDPR con contenuti fissati dal regolamento. L'analisi del rischio della 27001 si può estendere, ma la valutazione d'impatto dell'art. 35 misura il rischio per le persone, non per l'azienda.
• La notifica al Garante. La 27001 chiede di gestire gli incidenti, non di notificarli a un'autorità entro 72 ore.
• DPO e trasferimenti extra UE. Sono obblighi giuridici che nessun controllo di sicurezza sostituisce.

C'è anche un tema di perimetro. Il certificato vale per il campo di applicazione dichiarato: se i trattamenti con più dati personali, per esempio paghe o CRM, ne restano fuori, la certificazione non dice niente su di loro.

Il certificato ISO 27001 vale come certificazione GDPR?

No. L'art. 42 del GDPR prevede meccanismi di certificazione della protezione dei dati, e l'art. 43 chiede che gli organismi che li rilasciano siano accreditati secondo la norma EN-ISO/IEC 17065/2012, con i requisiti aggiuntivi dell'autorità di controllo, oppure dall'autorità stessa. Per l'EDPB (Linee guida 1/2018, par. 55) l'oggetto di queste certificazioni sono i trattamenti o insiemi di trattamenti.

La certificazione ISO 27001 segue un'altra strada: gli organismi sono accreditati secondo la UNI CEI EN ISO/IEC 17021-1 e la ISO/IEC 27006-1 (Circolare Accredia DC n. 22/2026), e l'oggetto è un sistema di gestione. Accredia ha scritto la stessa conclusione per la norma gemella sulla privacy: la ISO/IEC 27701, basandosi sulla 17021-1, non è un meccanismo di certificazione ai sensi dell'art. 42 (Circolare tecnica DC n. 33/2026).

La conseguenza pratica: gli artt. 24, 25 e 32 dicono che un meccanismo approvato ai sensi dell'art. 42 può essere usato come elemento per dimostrare la conformità, e l'art. 83 par. 2 lett. j) lo conta tra i fattori per graduare una sanzione. Il certificato 27001 non rientra in quei rinvii.

Cosa vale, allora

Vale il lavoro che c'è dietro. L'art. 24 chiede al titolare di essere in grado di dimostrare la conformità; l'art. 28 gli chiede di scegliere responsabili con garanzie sufficienti; l'art. 83 par. 2 lett. d) fa pesare, nel decidere una sanzione, le misure tecniche e organizzative messe in atto ai sensi degli artt. 25 e 32. Un SGSI verificato da un terzo produce proprio queste evidenze: valutazioni del rischio, controlli motivati, registrazioni degli incidenti, esiti di audit. Sono prove utili, non una presunzione di conformità.

Se ti serve un sistema di gestione che copra anche la parte privacy, la norma da guardare è la ISO 27701, che con l'edizione 2025 si certifica anche da sola.

Come farle lavorare insieme

1. Metti i trattamenti dentro il perimetro. Quando definisci il campo di applicazione della 27001, parti dal registro dei trattamenti: i sistemi che ospitano dati personali dovrebbero esserci.
2. Usa due lenti nella stessa analisi del rischio. Per ogni asset che contiene dati personali, valuta l'impatto sull'azienda e l'impatto sulle persone. Il metodo è in analisi del rischio ISO 27001.
3. Collega la SoA all'art. 32. Per ogni controllo applicato, indica quale trattamento e quale lettera dell'art. 32 copre: il fascicolo per il Garante e quello per l'auditor diventano lo stesso.
4. Una sola procedura incidenti, due uscite. La gestione degli incidenti della 27001 deve prevedere la valutazione della violazione di dati personali e la notifica entro 72 ore. Se sei anche soggetto NIS2, le autorità da avvisare diventano due, con tempi diversi: il quadro è in NIS2 vs GDPR e NIS2 vs ISO 27001.
5. Fornitori e contratti insieme. La valutazione dei fornitori del SGSI e i contratti dell'art. 28 si fanno nello stesso passaggio.
6. Il resto resta al privacy. Basi giuridiche, informative, diritti, valutazioni d'impatto e conservazione restano in mano a chi segue la protezione dei dati, con il DPO dove previsto. Il SGSI dà le evidenze tecniche, non le decisioni sul trattamento.

In sintesi

In sintesi: il GDPR è un obbligo di legge che tutela le persone, la ISO 27001 un sistema volontario che tutela le informazioni dell'azienda. Si sovrappongono sulla sicurezza del trattamento, non sul resto, e il certificato 27001 non è una certificazione dell'art. 42. Costruita tenendo dentro i trattamenti di dati personali, però, la 27001 diventa la parte più solida delle evidenze che il GDPR chiede.

Se stai impostando la ISO 27001 e vuoi che serva anche al fascicolo GDPR, ne parliamo nella pagina sulla certificazione ISO 27001 con AmagisTech.