Checklist de préparation
ISO 27701 checklist : les points à vérifier avant la certification
Cette checklist suit les chapitres 4 à 10 de la norme et indique, pour chaque point, la preuve que vous devez pouvoir présenter. Si vous répondez oui à presque tous les points, vous êtes prêt pour l'auto-évaluation en ligne de Zertify.
01: Mode d'emploi
Comment utiliser cette checklist ISO 27701
La norme ISO/IEC 27701 décrit un système de management de la protection de la vie privée (PIMS). Elle suit la structure des normes de management, du chapitre 4 au chapitre 10. La checklist reprend cet ordre. Si vous connaissez déjà ISO 27001 ou ISO 9001, vous retrouverez vos repères.
Un mot sur l'édition. L'édition 2025 est une norme autonome : elle peut être certifiée sans ISO 27001. L'édition 2019 étend un SMSI existant et en exige un. Cette checklist vise l'édition 2025.
Répondez oui à un point seulement si vous pouvez montrer un document, un enregistrement ou une configuration de système. Une pratique qui n'existe que dans la tête de l'équipe ne compte pas.
| Chapitre | Thème | Preuve principale |
|---|---|---|
| 4 | Contexte de l'organisme | Périmètre du PIMS, tableau des rôles, liste des exigences légales |
| 5 | Leadership | Politique de protection de la vie privée signée par la direction |
| 6 | Planification | Évaluation des risques et plan de traitement |
| 7 | Support | Attestations de formation, documents sous contrôle de version |
| 8 | Réalisation des activités | Registre des traitements, journal des demandes, registre des incidents |
| 9 | Évaluation des performances | Rapport d'audit interne, procès-verbal de revue de direction |
| 10 | Amélioration | Liste des actions correctives avec responsable et échéance |
02: Chapitres 4 et 5
Contexte et direction : ce qui doit être posé en premier
Ces points paraissent administratifs. Ils déterminent pourtant tout le reste, car ils fixent ce que votre système couvre et qui en répond.
Le périmètre est défini
Vous savez quels services, sites et systèmes traitent des données personnelles. Preuve : un document de périmètre, d'une page suffit.
Votre rôle est déterminé pour chaque activité
Pour chaque traitement, vous êtes responsable du traitement ou sous-traitant. Preuve : un tableau des rôles et, pour les traitements faits pour le compte de clients, les contrats de sous-traitance.
Les exigences applicables sont recensées
nLPD, RGPD si vous traitez des données de personnes dans l'UE, clauses de protection des données de vos clients. Preuve : une liste datée avec la source de chaque exigence.
La direction a approuvé une politique et attribué les responsabilités
Preuve : une politique signée et la désignation nominative d'une personne chargée de la protection des données.
03: Chapitres 6 et 7
Planification et support : risques, objectifs, compétences
Le risque s'apprécie ici du point de vue des personnes dont vous traitez les données, pas seulement de celui de l'entreprise. C'est la différence avec une analyse de risques ISO 27001.
Les risques pour la vie privée sont évalués
Preuve : une méthode d'évaluation écrite et un registre des risques qui décrit l'impact sur les personnes concernées.
Un plan de traitement existe
Chaque risque retenu a une mesure, un responsable et une date. Preuve : le plan de traitement, mis à jour.
Des objectifs mesurables sont fixés
Par exemple le délai de réponse aux demandes d'accès. Preuve : une liste d'objectifs avec indicateur et valeur cible.
Les collaborateurs sont formés
Preuve : listes de présence, attestations ou résultats d'un module de formation en ligne.
Les documents sont maîtrisés
Version, date, auteur et approbation figurent sur chaque document du système. Preuve : l'en-tête des documents ou un index central.
04: Chapitre 8
Exploitation : le registre, les droits, les incidents
C'est le chapitre le plus concret. Un client ou une autorité qui vous interroge regarde presque toujours ici.
Le registre des activités de traitement est tenu
Il indique la finalité, les catégories de données, les destinataires et la durée de conservation. Preuve : le registre lui-même, avec une date de dernière révision.
Les droits des personnes sont traités dans les délais
Accès, rectification, effacement. Preuve : une procédure écrite et un journal des demandes avec la date de réception et la date de réponse.
La protection dès la conception et par défaut est appliquée
Tout nouveau projet ou produit passe par un contrôle de vie privée. Preuve : une checklist de projet remplie et les paramètres par défaut documentés.
Les sous-traitants et les transferts sont maîtrisés
Preuve : la liste de vos sous-traitants, les contrats de traitement signés et, pour les transferts vers l'étranger, la base juridique retenue.
Les violations de données sont détectées et annoncées
Preuve : une procédure d'incident, un modèle de notification et un registre des incidents, même vide s'il n'y a eu aucun cas.
Les fournisseurs SaaS, les prestataires RH et les fiduciaires reçoivent souvent des questionnaires fournisseurs qui reprennent ces cinq points presque mot pour mot.
05: Chapitres 9 et 10
Évaluation et amélioration : prouver que le système vit
Un système bien rédigé mais jamais vérifié ne tient pas. Ces trois points montrent que vous contrôlez ce que vous avez écrit.
- Audit interne
- Une personne qui n'a pas rédigé les procédures les vérifie par sondage. Preuve : un rapport avec les constats et la date.
- Revue de direction
- La direction examine les résultats, les incidents et les demandes des personnes concernées. Preuve : un procès-verbal avec les décisions prises.
- Actions correctives
- Chaque écart trouve une cause, une action, un responsable et une échéance. Preuve : une liste d'actions avec statut.
06: Avec Zertify
De la checklist au certificat ISO 27701
L'auto-évaluation en ligne de Zertify compte 42 questions à répondre par oui ou non. 15 d'entre elles reprennent des exigences obligatoires de la norme : toutes doivent recevoir un oui. Parmi les 27 autres questions, il faut au moins 18 oui pour réussir. Votre checklist remplie vous donne les réponses.
SICE, le Swiss Institute of Certification and Education, examine chaque évaluation. Le certificat est ensuite émis par Zertify sous licence de SICE, dans les 4 heures après la réussite et le paiement. Il repose sur l'auto-évaluation et ne comporte pas d'audit sur site. Chaque certificat est vérifiable publiquement par son numéro et par le QR code du PDF.
Le prix est de 799 CHF (799 €) la première année, puis de 529 CHF (529 €) par an, réaudit annuel en ligne inclus. Le certificat est valable 3 ans.
07: FAQ
Questions fréquentes sur la checklist ISO 27701
08: Guide
Pages liées
Testez votre état de préparation ISO 27701
L'auto-évaluation de 42 questions vous montre en quelques minutes quels points de la checklist sont remplis.
Gratuit et sans inscription.