ISO 27701 conseil : un consultant est-il nécessaire ?

Cela dépend de ce que vous avez déjà en main. Une entreprise qui tient un registre des activités de traitement, a défini son rôle de responsable du traitement ou de sous-traitant et traite les demandes d'accès dans les délais n'a pas besoin d'un projet de conseil. Il lui reste à vérifier ses pratiques face aux exigences et à le documenter.

À l'inverse, une PME qui n'a jamais cartographié ses données personnelles part de plus loin. Là, un consultant fait gagner du temps, surtout sur l'analyse des risques et sur la rédaction des procédures.

L'édition 2025 de la norme est autonome. Elle ne demande plus de système ISO 27001 en place, ce qui réduit le travail préalable pour les entreprises qui n'en ont pas.

• Voir la norme ISO 27701
• ISO pour les PME

Un mandat classique suit les exigences de la norme. Le consultant ne certifie rien, il prépare l'entreprise à y répondre.

Analyse des écarts

Il compare vos pratiques actuelles aux exigences de la norme et liste ce qui manque.

Rôles et registre des traitements

Il détermine avec vous si vous agissez comme responsable du traitement ou comme sous-traitant, puis établit le registre des activités de traitement.

Analyse des risques pour la vie privée

Il évalue les risques pour les personnes concernées et propose des mesures de traitement.

Procédures

Il rédige les processus pour les droits des personnes concernées, la protection des données dès la conception et par défaut, et l'annonce des violations de données.

Formation et revue interne

Il forme les équipes concernées et contrôle l'ensemble avant la certification.

Les chiffres ci-dessous sont des ordres de grandeur indicatifs. Ils varient selon la taille de l'entreprise, le nombre de traitements et le prestataire. Pour le tarif journalier, comptez à titre indicatif entre 1 200 et 2 000 CHF.

• Coût d'une certification ISO

Zertify délivre le certificat à partir d'une auto-évaluation en ligne, sous licence de SICE (Swiss Institute of Certification and Education). SICE examine chaque évaluation avant l'émission. Il n'y a pas d'audit sur place.

Le tarif est de 799 CHF (799 €) la première année, puis de 529 CHF (529 €) par an, ré-audit en ligne annuel compris. Le certificat est valable 3 ans. L'abonnement se résilie à tout moment dans votre compte, jusqu'à la fin de l'année en cours.

1. 01

   Répondre à 42 questions par oui ou non

   Elles couvrent les exigences de l'ISO 27701:2025 et se remplissent en ligne, sans compte.

2. 02

   Valider les 15 exigences obligatoires

   Ces 15 questions portent sur des exigences de la norme. Toutes doivent recevoir un oui.

3. 03

   Atteindre au moins 18 oui sur les 27 autres questions

   Ce seuil complète les exigences obligatoires pour réussir l'évaluation.

4. 04

   Payer et recevoir le certificat

   Le certificat arrive dans les 4 heures après la réussite et le paiement. Un numéro et un code QR sur le PDF mènent à la page de vérification publique.

• Démarrer l'auto-évaluation gratuite
• Voir les prix
• Page ISO 27701

Les réponses de l'auto-évaluation doivent refléter votre situation réelle. Si vous répondez non à une exigence obligatoire, vous savez où agir. Certaines entreprises préfèrent alors confier ce travail à un spécialiste, par exemple un prestataire RH ou un laboratoire qui traite des données sensibles pour de nombreux clients.

Les deux approches se combinent. Un consultant met en place le registre et les procédures, puis vous passez l'évaluation Zertify pour obtenir le certificat. Vous payez alors le conseil uniquement pour la préparation.

Si votre client exige un audit sur place par un organisme de certification, demandez-lui la forme exacte attendue avant de choisir.

• Comparer les voies de certification
• Certification sans audit sur place