È utile a titolari e responsabili del trattamento che gestiscono informazioni personali in processi interni, servizi digitali o catene di fornitura. Una PMI può partire da pochi trattamenti ad alto impatto e dal proprio ruolo nei flussi di dati; fornitori che trattano dati per conto dei clienti possono usare il sistema per rendere più chiari responsabilità e controlli contrattuali.
Un riferimento da calare nel contesto.
- Collega le attività di trattamento a responsabilità, rischi e controlli verificabili.
- Rende più ordinata la gestione di richieste, incidenti, fornitori e cambiamenti nei trattamenti.
- Può sostenere la fiducia dei clienti, senza sostituire gli obblighi di legge o una valutazione legale.
Cosa mette a fuoco.
- 01Perimetro del PIMS, contesto, ruoli privacy e parti interessate.
- 02Gestione dei rischi per le informazioni personali e selezione dei controlli.
- 03Processi per titolari e responsabili, fornitori, richieste degli interessati e incidenti.
- 04Verifiche, competenze, audit, riesame e miglioramento del sistema.
Dal riferimento alle attività.
- Mappatura di trattamenti, flussi, ruoli, fornitori e confini del PIMS.
- Analisi degli scostamenti e pianificazione dei processi e controlli richiesti.
- Supporto nell’organizzazione delle evidenze, delle responsabilità e delle verifiche interne.
- Preparazione all’audit e coordinamento con l’organismo indipendente; gli obblighi GDPR richiedono una valutazione dedicata.
Un sistema nuovo, con un perimetro chiaro.
Il percorso iniziale chiarisce quali informazioni personali sono trattate, per quali servizi, in quali ruoli e con quali soggetti. Da questa mappa si definiscono il perimetro, le responsabilità e i controlli prioritari, coordinando il lavoro con le funzioni privacy e sicurezza già presenti.
Il PIMS deve seguire i cambiamenti nei trattamenti, nei fornitori, nei servizi e nelle responsabilità. Per le organizzazioni certificate, il mantenimento comporta verifiche periodiche, gestione delle non conformità, riesame e preparazione alle sorveglianze; l’integrazione con ISO/IEC 27001 può ridurre sovrapposizioni, ma non rende identici i due sistemi.
Il rinnovo segue il ciclo del certificato e il programma dell’organismo accreditato. La verifica deve considerare l’efficacia del PIMS e gli eventuali cambiamenti dei ruoli, dei trattamenti e dei rischi privacy.
Edizione e transizione.
ISO/IEC 27701:2025 è pubblicata e definisce requisiti per un PIMS autonomo e certificabile. Accredia ha pubblicato nel 2026 le disposizioni per accreditare gli organismi che certificano secondo questa edizione.
La Circolare Accredia DC 33/2026 prevede per il proprio schema la transizione degli accreditamenti entro il 31 ottobre 2027 e delle certificazioni accreditate ISO/IEC 27701:2019 entro il 31 marzo 2028, con ritiro di quelle non transitate dal 1° aprile 2028. Il certificatore deve svolgere una gap analysis per ciascun cliente e definire gli eventuali approfondimenti. Le scadenze vanno riferite allo schema applicabile, non estese automaticamente a ogni certificato nel mondo.
Domande frequenti.
ISO/IEC 27701:2025 richiede anche ISO/IEC 27001?
L’edizione 2025 è configurata come standard autonomo per il PIMS. Può essere integrata con ISO/IEC 27001, ma il quadro 2025 non è più soltanto un’estensione della certificazione 27001.
La certificazione sostituisce la conformità al GDPR?
No. Un sistema di gestione può aiutare a governare processi e controlli, ma non sostituisce gli obblighi del GDPR né una valutazione legale del singolo trattamento.
Come verificare un certificatore in Italia?
Occorre verificare che l’organismo abbia l’accreditamento e lo specifico campo di applicazione pertinenti alla ISO/IEC 27701:2025, consultando Accredia e l’organismo stesso.
Fonti ufficiali.
Riferimenti consultati per le informazioni sullo standard. I collegamenti si aprono in una nuova scheda.
Un percorso ISO/IEC 27701:2025 per la tua organizzazione.
Prima certificazione, mantenimento, rinnovo o adeguamento: indica il punto di partenza.