Cyber-Management
FR / ENRéserver une consultation

ISO 27701

Certification ISO 27701 pour les PME : la preuve de votre gestion des données personnelles.

Vos clients demandent comment vous protégez leurs données personnelles ? Répondez par un certificat audité.

Réserver une consultation gratuite de 25 minutes

Êtes-vous concerné ?

Vos clients ou vos contrats la demandent-ils ?

ISO 27701 est volontaire. Elle vaut la peine quand vos acheteurs veulent des preuves, pas des promesses, sur les données personnelles. Oui à l’une de ces questions : regardez-y de plus près.

  • Vous traitez des données personnelles pour vos clientsComme hébergeur, éditeur de logiciel, cabinet de paie ou prestataire informatique. Les clients de la finance, de la santé et du secteur public la demandent de plus en plus.
  • Vous êtes déjà certifié ISO 27001Une grande partie du volet sécurité est faite : ajouter la vie privée est l’étape la plus courte.
  • Tous vos concurrents ont ISO 27001ISO 27701 vous distingue dans les appels d’offres et les évaluations fournisseurs.
  • Vous voulez faire auditer votre travail RGPDElle soutient votre responsabilité au titre du RGPD. Ce n’est pas une certification RGPD.

Ce qui change pour vous

Une preuve indépendante de votre gestion des données personnelles.

ISO 27701 certifie un système de management de la vie privée. Il couvre les données personnelles que vous collectez, pourquoi et pour combien de temps. Il couvre aussi les demandes des personnes et vos sous-traitants. Depuis son édition 2025, elle est autonome. ISO 27001 n’est plus exigée, même si les deux sont souvent auditées ensemble.

Elle ne remplace pas le travail RGPD. Il faut toujours choisir la base légale de chaque traitement, et désigner un délégué à la protection des données (DPO) quand c’est obligatoire. Elle vous donne un système audité, tenu à jour, que vos clients reconnaissent.

Sans elle, rien ne se passe sur le plan légal : le RGPD s’applique de toute façon. Le risque est commercial, dans les appels d’offres et les évaluations fournisseurs qui favorisent les concurrents certifiés.

Par où commencer

Réutiliser votre travail RGPD et ISO 27001, puis combler les écarts.

Ce que nous livrons

  • Un point face à la norme, selon votre rôle : responsable de traitement, sous-traitant ou les deux
  • Une revue de vos documents RGPD existants : ce qui se réutilise
  • Le système de management de la vie privée, seul ou intégré à votre système ISO 27001
  • Un audit interne vie privée avant la certification
  • Des audits de certification combinés à vos audits ISO 27001 quand c’est possible

Qui fait quoi

Nous pilotons la vie privée. Votre prestataire informatique garde la technique.

Ce que nous pilotons

  • Fixer le périmètre et votre rôle pour chaque flux de données
  • Rédiger les politiques, mentions et procédures vie privée
  • Piloter les analyses de risques et d’impact
  • Piloter l’audit interne et préparer la certification

Ce qui reste chez votre prestataire informatique

  • Configurer les accès, les durées de conservation et la suppression
  • Conserver les traces que l’auditeur demandera
  • Corriger les constats techniques

Vous désignez de votre côté un responsable vie privée ou un DPO, qui fait vivre le système au quotidien.

Pour commencer

Première étape : un point face à la norme.

Vous savez ce que votre travail RGPD et ISO 27001 couvre déjà, ce qui manque, et combien de temps prendrait la certification. La suite est dimensionnée à partir de ce point, au forfait.

Prix
Forfait fixe

Devis ferme après l'appel gratuit.

Réserver une consultation gratuite de 25 minutes

Pour votre DSI, DPO ou DAF

Ce qu'exige ISO 27701.
  1. 01Clauses 4–10

    Le système de management

    Contexte vie privée, obligations de leadership, appréciation des risques et analyse d'impact vie privée, objectifs documentés, évaluation des performances et amélioration — la même structure qu'ISO 27001.

  2. 02Annexe A · Tableau A.1

    Contrôles pour les responsables de traitement

    Conditions de collecte, gestion du consentement, mentions d'information, privacy by design, minimisation, conservation, droits des personnes, divulgation à des tiers.

  3. 03Annexe A · Tableau A.2

    Contrôles pour les sous-traitants

    Obligations envers le responsable, gestion des sous-sous-traitants, notification des violations au responsable, restitution/suppression des données en fin de contrat.

  4. 04Annexe A · Tableau A.3

    Contrôles de sécurité communs aux deux rôles

    Les contrôles de sécurité de l'information qui protègent les données personnelles — largement couverts par un SMSI ISO 27001 existant, ou construits dans le cadre du SMVP.

Pas de sanctions légales — mais les sanctions RGPD s'appliquent à la vie privée sous-jacente.

ISO 27701 elle-même est volontaire. Pas d'amendes légales pour absence de certification. Mais les sanctions RGPD pour les pratiques de protection de la vie privée qu'ISO 27701 régit sont bien réelles — 20 M€ ou 4 % du chiffre d'affaires mondial pour les violations les plus graves.

La certification est de plus en plus demandée dans les achats des secteurs réglementés (services financiers, santé, secteur public). Elle aide à démontrer la sécurité de l'article 32 du RGPD et accélère les due diligences clients.

  • Risque RGPD sous-jacent

    20 M€ / 4 %

    du chiffre d'affaires — plafond RGPD des infractions les plus graves ; la certification ne le réduit pas.

  • Levier achats

    Réglementés

    les secteurs exigent de plus en plus ISO 27701 comme qualification fournisseur.

Calendrier type

Dépend de la présence ou non d'ISO 27001 existant.

  1. 4–8 mois

    Avec ISO 27001 existant

    Analyse d'écarts vie privée, extension PIMS, mise en œuvre des contrôles, audit interne, audit de certification (combiné à la surveillance ISO 27001).

  2. 10–14 mois

    ISO 27001 + ISO 27701 ensemble

    Programme intégré combiné — plus rapide, moins cher, moins de perturbation interne que la mise en œuvre séquentielle. Se termine par une certification sur les deux normes, avec des audits combinés.

FAQ

Ce que nous demandent DPO et DSI sur ISO 27701.

Qu’est-ce qu’ISO/IEC 27701, exactement ?
Elle spécifie un Système de Management de la Protection de la Vie Privée (SMVP). Là où ISO 27001 protège l'information sous l'angle de la sécurité, ISO 27701 gère les données personnelles sous l'angle de la vie privée : le pourquoi et le comment des traitements. Les certificats sont délivrés par des organismes accrédités, comme AFNOR (France), TÜV (Allemagne), TrustCB (Pays-Bas), AENOR (Espagne), plus les acteurs paneuropéens comme Bureau Veritas, BSI, LRQA, SGS et DNV.
À qui ISO 27701 s’adresse-t-elle ?
Aux organisations certifiées ISO 27001 qui traitent des données personnelles ; aux sous-traitants qui servent des clients de secteurs réglementés (informatique en nuage, SaaS, paie, infogérance) ; aux organisations qui veulent une preuve auditée de leur gouvernance vie privée ; aux opérateurs présents dans plusieurs pays qui veulent un cadre commun ; aux organisations dotées d'un DPO, qui y trouve un cadre documenté ; et aux fournisseurs qui veulent se distinguer dans les appels d'offres où beaucoup de concurrents ont déjà ISO 27001.
La certification ISO 27701 équivaut-elle à la conformité RGPD ?
Non. Elle aide à démontrer la responsabilité et la sécurité de l'article 32, mais ce n'est pas une certification RGPD au sens de l'article 42 et elle ne lie pas les autorités de contrôle. Certaines obligations RGPD demandent un travail juridique séparé qu'elle ne remplace pas : la base légale de chaque traitement, la désignation obligatoire d'un DPO et la consultation de l'autorité pour les AIPD à haut risque.
Pouvons-nous viser ISO 27701 sans ISO 27001 ?
Oui, depuis l'édition 2025. ISO/IEC 27701:2025 est un système de management autonome : ISO 27001 n'est plus un prérequis à la certification ; sans SMSI, le SMVP intègre les contrôles de sécurité de l'information qui protègent les données personnelles. Si vous détenez ou visez ISO 27001, les deux normes sont couramment mises en œuvre et auditées ensemble, et votre SMSI couvre déjà une grande partie du volet sécurité.
Quelle est la différence entre ISO 27701 et un audit RGPD ?
Un audit RGPD donne une photographie de votre situation à un instant donné ; il ne produit aucun certificat. La certification ISO 27701 est évaluée de façon indépendante, tenue à jour et renouvelée par des audits de surveillance annuels et une recertification tous les trois ans, ce qui pèse davantage auprès des grands comptes et des acheteurs.
ISO 27701 s'applique-t-elle à la fois aux responsables et aux sous-traitants ?
Oui — l'Annexe A prévoit des contrôles distincts pour les responsables et pour les sous-traitants, ainsi que des contrôles de sécurité communs aux deux. De nombreuses organisations sont les deux : responsable pour leurs propres données employés/clients, sous-traitant pour les données de leurs clients. ISO 27701 prend en charge le double rôle ; vous mettez en œuvre les contrôles pertinents des deux ensembles et définissez clairement vos rôles dans la Déclaration d'Applicabilité.
Comment ISO 27701 affecte-t-elle notre obligation de DPO ?
Elle ne remplace pas la désignation d'un DPO exigée par l'article 37 du RGPD : si vous devez en désigner un, vous le faites de toute façon. Les deux fonctionnent bien ensemble, la norme donnant au DPO un cadre documenté. Nous associons souvent ISO 27701 et le service DPO externalisé dans un même programme vie privée.
ISO 27701 est-elle reconnue hors UE ?
Oui. En tant que norme internationale, le même système de management peut soutenir des programmes vie privée sous plusieurs législations ; les exigences propres à chaque juridiction demandent toujours leur propre analyse. Une organisation qui traite des données de plusieurs régions peut utiliser ISO 27701 comme cadre central, complété par des addenda propres à chaque juridiction.

À découvrir

La pile vie privée.

ISO 27001

Plus un prérequis depuis l'édition 2025, mais le complément naturel — un SMSI couvre une grande partie du volet sécurité.

En savoir plus

RGPD

Le règlement vers lequel ISO 27701 cartographie. La certification est une preuve ; le travail RGPD complet reste séparé.

En savoir plus

DPO externalisé

La désignation au titre de l'article 37 est distincte d'ISO 27701 — elles s'associent naturellement.

En savoir plus
Retour au hub conformité