ISO 27701 avantages : ce que le certificat change pour votre entreprise

ISO/IEC 27701 décrit un système de management de la protection de la vie privée, en anglais PIMS. Il fixe comment une entreprise traite les données personnelles, en tant que responsable du traitement ou sous-traitant, et comment elle le prouve. Le certificat est la preuve que ce système existe et qu'il a été évalué.

Les avantages se situent à cinq endroits de l'entreprise.

Relation client

Vos clients confient des données à votre entreprise. Un numéro de certificat vérifiable répond à leur question sans longue explication.

Appels d'offres

Le certificat s'ajoute au dossier comme pièce justificative. Il évite de rédiger les mêmes réponses à chaque demande.

Organisation interne

Rôles, registre des traitements et procédures sont écrits. Chacun sait qui répond à une demande d'accès ou signale un incident.

Risques

Les risques pour les personnes concernées sont évalués par écrit, avant qu'un incident ne force à le faire.

Communication

Le PDF porte un QR code et renvoie à une page de vérification publique. Vous pouvez le joindre à une offre ou le publier sur votre site.

• La norme ISO 27701 en détail

Le service achats d'un client envoie un questionnaire fournisseur. On y demande qui est responsable du traitement, où se trouve le registre des activités, dans quel délai une demande d'accès est traitée, comment une violation de données est annoncée. Sans certificat, chaque question exige une réponse rédigée et parfois des pièces jointes.

Un certificat ISO 27701 ne remplace pas toutes les réponses. Il donne une référence que l'acheteur peut contrôler lui-même, par le numéro ou le QR code. Cela compte surtout pour les fournisseurs SaaS, les prestataires informatiques, les services RH et salaires, les fiduciaires et les laboratoires, qui traitent des données pour le compte de leurs clients.

• ISO pour les petites et moyennes entreprises

Préparer le certificat oblige à répondre à des questions que beaucoup d'entreprises repoussent. Les exigences clés de la norme se traduisent en tâches précises.

1. 01

   Déterminer votre rôle

   Vous décidez, traitement par traitement, si vous agissez comme responsable du traitement ou comme sous-traitant. Les contrats et les devoirs en découlent.

2. 02

   Tenir le registre des traitements

   Chaque activité est listée avec sa finalité, ses données et ses destinataires. Lors d'une demande d'un client, le document existe déjà.

3. 03

   Traiter les demandes dans les délais

   Une personne reçoit une demande d'accès ou de suppression. La procédure indique qui répond et jusqu'à quand.

4. 04

   Intégrer la protection dès la conception

   Un nouveau produit ou un nouvel outil passe par une vérification de la protection des données avant sa mise en service, avec des réglages par défaut restrictifs.

5. 05

   Détecter et annoncer les violations

   Les incidents sont reconnus, évalués et annoncés selon un processus connu de l'équipe.

La norme décrit comment démontrer sa responsabilité selon la nLPD suisse et le RGPD. Le chapitre 6, planification, impose d'évaluer et de traiter les risques pour la vie privée. Le chapitre 8, fonctionnement, impose de mettre en œuvre les mesures décidées. Les risques sont donc nommés, classés et suivis.

Un certificat ne vaut pas attestation de conformité légale. Il montre qu'une méthode est appliquée et qu'une évaluation indépendante de l'auto-évaluation a eu lieu. En cas de contrôle ou de litige, cette trace pèse plus qu'une déclaration d'intention.

L'édition 2025 est une norme de système de management autonome. Vous pouvez la faire certifier sans ISO 27001. L'édition 2019, elle, exigeait un SMSI ISO 27001 existant, ce qui écartait de nombreuses PME. Si vous avez déjà un SMSI, ISO 27701 s'appuie dessus sans refaire le travail.

• ISO 27001 : sécurité de l'information

Chaque certificat Zertify a un numéro et un QR code. Quiconque scanne le code arrive sur une page de vérification publique qui confirme que le certificat existe et qu'il est valide. Votre client n'a pas besoin de vous écrire pour le contrôler.

Joignez le PDF à vos offres, ajoutez le lien de vérification à la page de confiance de votre site ou à votre signature de courriel. Indiquez ce qu'il est : un certificat fondé sur une auto-évaluation en ligne, sans audit sur site, confirmé chaque année par un court réaudit en ligne. Cette précision évite les malentendus avec les acheteurs qui comparent les voies de certification.

L'auto-évaluation compte 42 questions oui/non. Quinze d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Il faut en plus au moins 18 oui parmi les 27 autres questions. SICE examine chaque évaluation avant l'émission, et le certificat est émis par Zertify sous licence de SICE, dans les 4 heures après la réussite et le paiement.

Le prix est de 799 CHF la première année, puis 529 CHF par an, réaudit en ligne compris. Le certificat est valable 3 ans. L'abonnement annuel se résilie à tout moment dans votre compte, jusqu'à la fin de l'année en cours, et le certificat prend fin avec l'année payée. Un rabais de 20 % s'applique pour deux normes et de 30 % dès trois, y compris sur la cotisation annuelle. La TVA suisse de 8,1 % est incluse pour la Suisse et le Liechtenstein. Un compte n'est pas nécessaire pour l'achat.

• Démarrer l'auto-évaluation gratuite
• Voir les prix
• Comparer les voies de certification