Cos'è la ISO/IEC 27701 e certifica la conformità al GDPR?

La ISO/IEC 27701 è lo standard internazionale che definisce i requisiti di un sistema di gestione delle informazioni sulla privacy, il PIMS: politiche, ruoli, valutazioni d'impatto e controlli con cui un'organizzazione gestisce i dati personali che tratta da titolare o da responsabile del trattamento. L'edizione 2019 la definiva come estensione della ISO/IEC 27001 e della ISO/IEC 27002, certificabile solo da chi aveva già un sistema di gestione della sicurezza delle informazioni (ISMS) attivo. L'edizione corrente, ISO/IEC 27701:2025, pubblicata nell'ottobre 2025 come seconda edizione, cambia questo punto: adotta la struttura armonizzata delle norme di sistema e diventa certificabile in autonomia, senza un ISMS come prerequisito, restando comunque pensata per integrarsi con la 27001 quando questa esiste già. Il certificato lo rilascia un organismo di certificazione terzo, che in Italia è accreditato da Accredia, dopo un audit iniziale e poi verifiche periodiche annuali per tutta la durata del certificato.

Leggi anche: ISO/IEC 27001 · Lo standard internazionale del sistema di gestione della sicurezza delle informazioni, certificabile da enti terzi.

Cosa dimostra il certificato, e cosa no

Un audit ISO/IEC 27701 verifica che esista un sistema: un inventario dei trattamenti, ruoli assegnati, una procedura per rispondere alle persone che chiedono conto dei propri dati, una valutazione d'impatto quando serve. Non verifica che ogni trattamento sia lecito secondo il GDPR, né che le basi giuridiche scelte siano quelle corrette: quel giudizio richiede un'analisi legale caso per caso, che nessun ente di certificazione svolge. La struttura della norma distingue esplicitamente requisiti per chi decide come trattare i dati personali (PII controller) e per chi li tratta per conto di altri (PII processor), lo stesso confine che nel diritto europeo separa titolare e responsabile del trattamento: chi vuole capire quella distinzione nel merito la trova nella voce su titolare e responsabile del trattamento. Il certificato attesta che l'organizzazione applica quei ruoli in modo coerente, non che li abbia scelti bene per ogni singolo trattamento.

Un esempio enterprise

Un fornitore di software HR tratta dati di dipendenti per conto di decine di clienti aziendali, quindi agisce da responsabile del trattamento. Un cliente bancario chiede in gara una prova verificabile che i dati siano gestiti con un metodo, non solo una dichiarazione di conformità firmata dal fornitore. Il fornitore ottiene la certificazione ISO/IEC 27701 sopra un ISMS 27001 già esistente: l'auditor verifica il registro dei trattamenti per conto terzi, i contratti con le clausole richieste dall'articolo 28 del GDPR e la procedura di notifica in caso di data breach. Il certificato non sostituisce l'accordo di trattamento dei dati che il cliente firma comunque, ma riduce le domande a cui il fornitore deve rispondere una per una in ogni due diligence, perché la struttura è già documentata e verificata da un terzo.

Perché conta per chi decide

Il rischio commerciale è vendere o comprare la ISO/IEC 27701 come se fosse una certificazione di conformità al GDPR. Non lo è: il GDPR ha i suoi meccanismi di certificazione, previsti dall'articolo 42, e la 27701 non è uno di quelli. Soprattutto, lo stesso articolo 42, al paragrafo 4, chiarisce che nessuna certificazione GDPR riduce la responsabilità del titolare o del responsabile. Chi presenta il certificato come "siamo a norma GDPR" sta confondendo due cose diverse. Quello che il certificato dimostra a un cliente o a un'autorità è più modesto e più solido insieme: un metodo esiste, è documentato, ed è stato verificato da un terzo indipendente. Per un'azienda che tratta dati personali su larga scala, o per conto di clienti regolamentati, quella prova accorcia le due diligence e le gare; per la conformità sostanziale al GDPR e AI resta necessaria una valutazione legale propria, che il certificato non sostituisce.

Questa voce è informativa e non costituisce consulenza legale: per decisioni sulla conformità al GDPR conviene coinvolgere il DPO o un legale.