Artigos de segurança do RGPD mapeados: a parte de segurança da lei
O RGPD (GDPR) trata principalmente do uso lícito de dados pessoais, mas alguns de seus artigos são requisitos de segurança, ainda que não se apresentem como tal. Veja como eles se alinham aos frameworks que as equipes de segurança já utilizam.
O RGPD (GDPR) é uma lei de privacidade. A maior parte dele trata de saber se você pode tratar dados pessoais, como informa as pessoas sobre isso e quais direitos elas têm. Mas vários artigos impõem deveres de segurança, e é aí que as equipes de segurança encontram o regulamento. A ControlMapping mapeia apenas esses artigos: integridade e confidencialidade (Artigo 5(1)(f)), responsabilização (24), proteção de dados desde a concepção (25), operadores (28), registros de tratamento (30), segurança do tratamento (32), notificação de violação (33 e 34), avaliações de impacto (35) e encarregados da proteção de dados (37 a 39).
Como a ISO 27001 os cobre
Dos 13 artigos sobre segurança de GDPR, 12 (92%) mapeiam para algo em ISO 27001, 0 são apenas vagamente relacionados e 1 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →
Quase todo artigo do RGPD relacionado à segurança tem correspondência na ISO 27001. Um SGSI (ISMS) oferece medidas de segurança baseadas em risco (Artigo 32), gestão de incidentes que pode alimentar a notificação de violações (Artigos 33 e 34), controles de fornecedores para operadores (Artigo 28) e responsabilidades documentadas. O único artigo sem mapeamento na ISO é o Artigo 38, sobre a posição do encarregado da proteção de dados, que trata de independência e linhas de reporte que a ISO 27001 não aborda.
Artigo por artigo
| GDPR | Requisito | Correspondência | ISO 27001 |
|---|---|---|---|
| Art.5(1)(e) | Principles relating to processing of personal data | Editorial | A.5.14A.8.10A.8.11A.5.31 |
| Art.24(1) | Responsibility of the controller | Editorial | Clause 6.1.1Clause 6.1.3A.5.37Clause 5.2 |
| Art.25(1) | Data protection by design and by default | Editorial | A.8.25A.8.26A.8.28A.8.29 |
| Art.28(1) | Processor | Editorial | A.5.19A.5.20A.5.21A.5.22 |
| Art.29 | Processing under the authority of the controller or processor | Editorial | A.6.1A.6.4A.8.16 |
| Art.30(1) | Records of processing activities | Editorial | A.5.9A.5.11A.7.14 |
| Art.32(1)(a) | Security of processing | Editorial | A.8.24A.5.16A.5.18A.5.29 |
| Art.33(1) | Notification of a personal data breach to the supervisory authority | Editorial | A.5.5A.5.24A.5.25A.5.26 |
| Art.34(1) | Communication of a personal data breach to the data subject | Editorial | A.5.5A.5.26A.6.8Clause 7.4 |
| Art.35(1) | Data protection impact assessment | Editorial | Clause 6.1.2Clause 6.1.3 |
| Art.37(1) | Designation of the data protection officer | Editorial | A.5.2A.5.4 |
| Art.38 | Position of the data protection officer | Sem mapeamento em nossos dados | — |
| Art.39(1) | Tasks of the data protection officer | Editorial | A.5.2A.5.4A.6.3Clause 7.3 |
O que o RGPD acrescenta que a ISO 27001 não traz
Mesmo dentro dos artigos de segurança, o RGPD é mais específico em alguns pontos:
- Prazos de notificação de violação. Notifique a autoridade de controle em até 72 horas após tomar conhecimento de uma violação de dados pessoais (Artigo 33), e as pessoas afetadas sem demora injustificada quando o risco para elas for elevado (Artigo 34). A ISO exige gestão de incidentes, não notificação regulatória com prazo definido.
- Pseudonimização e criptografia são citadas no Artigo 32 como medidas a considerar.
- Proteção de dados desde a concepção e por padrão (Artigo 25) alcança a forma como os sistemas são projetados e configurados, não apenas protegidos.
- Avaliações de impacto (Artigo 35) para tratamentos de alto risco são uma avaliação de privacidade, mais ampla que uma avaliação de risco de segurança da ISO.
No sentido inverso
Dos 123 Controlos do Anexo A e cláusulas do SGSI de ISO 27001, 47 (38%) mapeiam para algo em GDPR, 47 são apenas vagamente relacionados e 29 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →
Do RGPD para a ISO 27001, a maior parte do Anexo A tem mapeamento ou está vagamente relacionada, mas as cláusulas do SGSI, a segurança física e alguns controles técnicos não têm contrapartida no RGPD. O RGPD não exige um sistema de gestão nem prescreve controles técnicos; exige medidas adequadas ao risco e deixa a escolha para você.
Como usar a sobreposição
- Trate o Artigo 32 como um requisito do seu SGSI: liste-o nos requisitos legais e contratuais (ISO A.5.31) e referencie-o a partir da avaliação de risco.
- Amplie o processo de incidentes para violações de dados pessoais: uma decisão sobre notificar ou não, o prazo de 72 horas e registros de todas as violações, notificadas ou não (Artigo 33(5)).
- Use controles de fornecedores para operadores, com as cláusulas do Artigo 28 nos contratos.
- Vá além da segurança para a privacidade: a ISO/IEC 27701 estende um SGSI à gestão da privacidade.
Cada link do RGPD neste site é um julgamento editorial da ControlMapping, porque não existe correspondência oficial. A comparação ISO 27001 vs RGPD e a página do framework RGPD listam cada mapeamento com seu motivo, e a análise de lacunas os exporta.
Perguntas
O que o Artigo 32 do RGPD (GDPR) exige?
Segurança do tratamento: medidas técnicas e organizacionais adequadas a um nível de segurança apropriado ao risco, incluindo, quando apropriado, a pseudonimização e a criptografia, a confidencialidade, integridade, disponibilidade e resiliência contínuas, a restauração oportuna após um incidente e a testagem regular das medidas.
A ISO 27001 garante sua conformidade com o RGPD (GDPR)?
Não. Ela apoia as obrigações de segurança, especialmente o Artigo 32, mas o RGPD também exige uma base legal, transparência, direitos dos titulares de dados e muito mais que a ISO 27001 não cobre.
Dados atualizados em 2026-10-27: os números deste artigo são calculados a partir da correspondência atual e são atualizados quando ela muda. Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Não é aconselhamento de conformidade.
Publicações relacionadas
Análise · 2026-10-27APRA CPS 234 e ISO 27001: o que seu ISMS cobre e o que a APRA acrescentaUm ISMS ISO 27001 cobre quase todos os parágrafos da CPS 234 da APRA, mas a APRA acrescenta deveres do Conselho, garantia de terceiros e prazos rigorosos de notificação.
Análise · 2026-10-27Cyber Essentials vs Essential Eight: duas bases nacionaisO Cyber Essentials do Reino Unido e o Essential Eight da Austrália visam ataques comuns, mas cobrem terrenos diferentes. O que se sobrepõe, o que não se sobrepõe e por quê.
Análise · 2026-10-27DORA vs NIS2: o que um programa NIS2 já cobreDORA e NIS2 compartilham a maior parte do seu conteúdo de segurança, mas o DORA acrescenta um registro, cláusulas contratuais e testes orientados por ameaças. Artigo por artigo, veja o que se aproveita.