ISO 27701 exigences : ce que la norme demande concrètement

ISO/IEC 27701 décrit un système de management de la protection de la vie privée, abrégé PIMS. Il porte sur les données personnelles que vous traitez, que vous agissiez comme responsable du traitement ou comme sous-traitant. L'édition 2025 est une norme autonome: vous pouvez la faire certifier sans ISO 27001. L'édition 2019 était une extension de l'ISO 27001 et en supposait une.

La structure suit celle des autres normes de management ISO, du chapitre 4 au chapitre 10. Si vous connaissez l'ISO 9001 ou l'ISO 27001, le squelette vous sera familier. Le contenu diffère: chaque exigence se rapporte à des personnes dont vous détenez les données, clients, collaborateurs ou candidats.

En Suisse, la norme sert de fil conducteur pour la nLPD, dans l'Union européenne pour le RGPD. Elle ne remplace pas l'analyse juridique. Elle donne une méthode pour démontrer que vous appliquez les règles.

• Présentation de la norme ISO 27701

Ces trois chapitres posent les fondations. Un auditeur ou un service achats les consulte en premier.

Chapitre 4, Contexte de l'organisme

Vous établissez votre position au regard des données: responsable du traitement, sous-traitant, ou les deux selon le service. Vous identifiez les parties intéressées, par exemple clients, collaborateurs et autorité de contrôle, et vous fixez le périmètre du PIMS. Document habituel: description du périmètre et des rôles.

Chapitre 5, Leadership

La direction approuve une politique de protection de la vie privée et attribue les responsabilités. Une personne est nommée pour suivre le sujet au quotidien. Documents habituels: politique signée, répartition des responsabilités.

Chapitre 6, Planification

Vous identifiez les risques pour les personnes concernées, pas seulement pour l'entreprise. Vous choisissez ensuite les mesures de traitement et fixez des objectifs que vous pouvez vérifier. Documents habituels: analyse de risques, plan de traitement, objectifs.

Ces chapitres décrivent le travail de tous les jours. C'est là que se voit si le système vit ou s'il reste dans un classeur.

Chapitre 7, Support

Ressources, compétences, sensibilisation, communication et maîtrise des documents. Vous montrez que les personnes qui manipulent des données personnelles savent ce qu'elles ont le droit de faire. Preuves habituelles: attestations de formation, procédure de gestion des documents.

Chapitre 8, Fonctionnement

Vous appliquez ce que vous avez planifié. Les appréciations de risques sont refaites aux intervalles prévus et le plan de traitement est mis en oeuvre. Preuves habituelles: analyse de risques à jour, état d'avancement des mesures.

Chapitre 9, Évaluation des performances

Vous surveillez le système, menez un audit interne et la direction en fait la revue. Documents habituels: rapport d'audit interne, procès-verbal de revue de direction.

Chapitre 10, Amélioration

Un écart constaté est traité: cause, correction, contrôle de l'efficacité. Document habituel: liste des non-conformités et des actions décidées.

Au-delà du cadre commun, la norme définit des mesures spécifiques. Elles figurent dans les annexes, selon que vous êtes responsable du traitement ou sous-traitant. Six exigences forment le coeur du système.

1. 01

   Déterminer votre rôle

   Pour chaque service, vous décidez si vous traitez les données pour vous-même ou pour le compte d'un client. De ce rôle dépendent les contrats et les obligations.

2. 02

   Évaluer et traiter les risques pour la vie privée

   Vous examinez ce qu'une fuite, une perte ou un usage abusif causerait aux personnes concernées, puis vous décidez des mesures.

3. 03

   Tenir un registre des activités de traitement

   Finalité, catégories de données, destinataires, durées de conservation, transferts hors de Suisse. Le registre doit rester à jour.

4. 04

   Respecter les droits des personnes concernées dans les délais

   Accès, rectification, effacement: une procédure indique qui reçoit la demande, qui la traite et dans quel délai la réponse part.

5. 05

   Appliquer la protection des données dès la conception et par défaut

   Un nouveau produit ou un nouvel outil est examiné avant son lancement. Les réglages de départ ne collectent que le strict nécessaire.

6. 06

   Détecter et annoncer les violations de données

   Vous savez qui constate un incident, qui décide s'il faut informer l'autorité ou les personnes touchées, et dans quel ordre.

• ISO pour les PME

La norme ne fixe pas de modèle de document. Elle attend des preuves que vous pouvez montrer. Le tableau relie les exigences aux pièces que l'on vous demande le plus naturellement, et aux questions qui reviennent dans un questionnaire fournisseur ou un appel d'offres.

L'évaluation en ligne compte 42 questions oui/non pour ISO 27701. Quinze reprennent des exigences obligatoires de la norme: toutes doivent recevoir un oui. Sur les 27 autres, au moins 18 oui sont nécessaires pour réussir.

Le certificat est émis par Zertify sous licence de SICE, qui examine chaque évaluation avant l'émission. Il n'y a pas d'audit sur place. Vous recevez le certificat dans les 4 heures après l'évaluation réussie et le paiement. Le PDF porte un numéro et un QR code, et votre client le contrôle sur la page de vérification publique.

Le prix est de 799 CHF la première année, puis de 529 CHF par an, ré-audit annuel en ligne inclus. Le certificat est valable 3 ans. L'abonnement annuel se résilie à tout moment pour la fin de l'année en cours, dans l'espace client.

• Démarrer l'évaluation gratuite
• Voir les prix
• Comparer les voies de certification