La gestione dei dati personali non riguarda soltanto informative, consensi o adempimenti puntuali. Per molte organizzazioni è un insieme di decisioni ricorrenti: definire ruoli, governare fornitori, valutare rischi, dimostrare responsabilità e verificare che i processi restino coerenti nel tempo. In questo contesto si colloca la ISO/IEC 27701:2025, seconda edizione dello standard internazionale dedicato ai sistemi di gestione delle informazioni sulla privacy.
ISO ha pubblicato la nuova edizione il 14 ottobre 2025. In Italia, la corrispondente UNI CEI EN ISO/IEC 27701:2025 è disponibile dal 27 novembre 2025 e sostituisce la precedente UNI CEI EN ISO/IEC 27701:2021. Il documento definisce requisiti e linee guida per istituire, attuare, mantenere e migliorare continuamente un Privacy Information Management System, o PIMS.
Un PIMS non è un insieme di documenti
Un PIMS è un sistema di gestione dedicato al trattamento responsabile delle informazioni personali identificabili, indicate nello standard con l’acronimo PII. È rivolto sia ai titolari del trattamento sia ai responsabili del trattamento, pubblici, privati o non profit, indipendentemente dalle loro dimensioni.
L’idea centrale è rendere la privacy un tema organizzativo governabile. Questo significa collegare i processi che trattano dati alle responsabilità assegnate, ai rischi identificati, ai controlli applicati e alle evidenze disponibili. Il risultato non dovrebbe essere una raccolta di documenti scollegati, ma un metodo che consenta di riesaminare decisioni e prestazioni nel tempo.
In pratica, il sistema può aiutare a mettere ordine tra perimetri di trattamento, ruoli di titolare e responsabile, rapporti con fornitori, gestione delle richieste degli interessati, incidenti, registrazioni e verifiche interne. Le modalità concrete dipendono dall’attività dell’organizzazione e dal tipo di dati trattati. Lo standard non sostituisce quindi l’analisi del singolo contesto.
Il rapporto con ISO/IEC 27001
La nuova edizione merita attenzione anche per il suo rapporto con la sicurezza delle informazioni. ISO indica la ISO/IEC 27701:2025 come uno standard di sistema di gestione autonomo, utilizzabile anche singolarmente. Allo stesso tempo, chiarisce che può allinearsi a un sistema ISO/IEC 27001 esistente.
La distinzione è utile. La ISO/IEC 27001 riguarda il sistema di gestione della sicurezza delle informazioni, o ISMS. La ISO/IEC 27701 concentra l’attenzione sulla gestione della privacy e delle PII. Le due prospettive possono essere integrate, ma non sono equivalenti: proteggere informazioni da accessi non autorizzati è essenziale, ma non esaurisce tutte le responsabilità legate al trattamento dei dati personali.
UNI presenta la norma nel contesto della serie 27000 e ne evidenzia l’utilità per integrare requisiti e controlli privacy in un ISMS. Per un’organizzazione che dispone già di un sistema ISO/IEC 27001, l’integrazione può favorire coerenza tra processi, audit, competenze e riesami. Per chi parte da zero, il primo passo resta comprendere con precisione quale perimetro di trattamenti e quali responsabilità debbano essere governati.
Certificazione e GDPR: due piani distinti
La ISO/IEC 27701:2025 può supportare la dimostrazione di accountability e l’adozione di un approccio strutturato alla privacy. Non costituisce però, da sola, una dichiarazione automatica di conformità al GDPR o a ogni altra normativa applicabile. Le valutazioni giuridiche, gli obblighi settoriali e le decisioni sulle basi giuridiche restano legati al contesto dell’organizzazione.
Anche certificazione e conformità non coincidono. La certificazione è una valutazione di terza parte del sistema rispetto a uno standard; la conformità normativa richiede invece che l’organizzazione applichi correttamente le norme rilevanti alla propria attività. Un PIMS può rendere più solide le evidenze e il controllo dei processi, ma non elimina l’esigenza di verificare periodicamente gli obblighi applicabili.
La pagina Accredia dedicata al servizio mantiene, alla data di questa pubblicazione, una descrizione collegata all’impostazione della precedente edizione come estensione della ISO/IEC 27001 e ISO/IEC 27002. Prima di pianificare una certificazione riferita alla versione 2025, è quindi opportuno verificare nel database Accredia l’effettiva disponibilità dell’accreditamento applicabile e confrontarsi con l’organismo di certificazione sullo schema, sul perimetro e sulle eventuali disposizioni di transizione.
Cinque domande per impostare il percorso
Un percorso PIMS può iniziare da cinque domande semplici. Quali trattamenti e quali categorie di PII rientrano nel perimetro? Quali ruoli e responsabilità sono attribuiti a titolari, responsabili, personale e fornitori? Quali rischi privacy devono essere valutati e con quali criteri? Quali evidenze dimostrano che i processi sono attuati? Con quale frequenza direzione e funzioni coinvolte riesaminano risultati, criticità e miglioramenti?
Le risposte non sostituiscono il testo della norma o la consulenza specialistica, ma aiutano a passare da una gestione reattiva a un sistema più leggibile e verificabile. Per conoscere i percorsi di certificazione disponibili, è possibile consultare l’area Certificazioni di Autenticert.