ISO 27701 · Finance
ISO 27701 pour finance : prouver la maîtrise des données personnelles
Les clients d'une banque, d'une assurance ou d'une fiduciaire demandent de plus en plus une preuve concrète de la manière dont leurs données personnelles sont traitées. L'ISO 27701 fournit un cadre reconnu, et Zertify délivre le certificat en ligne après une auto-évaluation. Le certificat est émis en général dans les 4 heures suivant la réussite et le paiement.
01: Demande du marché
Pourquoi les clients de la finance demandent l'ISO 27701
Une fiduciaire tient les pièces comptables et les salaires de dizaines d'entreprises. Un courtier d'assurance conserve des dossiers de sinistre. Un gestionnaire de fortune détient des pièces d'identité et des justificatifs de provenance des fonds. Dans chaque cas, le client confie des données personnelles à un tiers et veut savoir comment elles sont protégées.
Cette question arrive sous plusieurs formes : une rubrique du questionnaire fournisseur envoyé par le service achats, une ligne dans un appel d'offres, une demande lors d'un audit client. Répondre « oui, nous respectons la nLPD et le RGPD » ne suffit pas à celui qui doit documenter son choix de prestataire. Un certificat ISO 27701 avec un numéro vérifiable donne une réponse que le service achats peut classer au dossier.
02: Risques
Quels traitements de données la norme couvre dans la finance
La norme ne vise pas un produit financier précis. Elle porte sur la manière dont l'organisme traite les données personnelles, en tant que responsable du traitement ou en tant que sous-traitant. Voici des situations typiques du secteur :
- Dossiers clients et identification
- Copies de passeport, justificatifs de domicile, déclarations d'ayant droit économique. Le risque : des pièces conservées sans limite de durée et accessibles à trop de collaborateurs.
- Salaires et données RH pour des tiers
- Une fiduciaire qui établit les fiches de salaire de ses clients agit comme sous-traitant. Elle doit pouvoir montrer sur instruction de qui elle traite ces données.
- Dossiers de sinistre
- Ils contiennent des informations sur la santé, la famille ou la situation financière. Une fuite touche directement les personnes concernées.
- Pièces comptables et relevés
- Les relevés bancaires circulent par e-mail, par plateforme d'échange ou sur papier. Chaque canal est un point de perte possible.
- Prestataires informatiques et cloud
- Hébergement, logiciel de comptabilité, outil de signature électronique. L'organisme reste responsable des données qu'il leur confie.
03: Exigences
Comment une entreprise financière remplit les exigences clés
Les exigences de la norme se traduisent en gestes de travail ordinaires. Le tableau montre pour chacune un exemple réaliste dans une fiduciaire, un cabinet de courtage ou une petite banque privée.
| Exigence | Exemple dans la finance |
|---|---|
| Déterminer le rôle de responsable du traitement ou de sous-traitant | La fiduciaire note qu'elle est responsable du traitement pour ses propres collaborateurs et sous-traitant pour les salaires de ses mandants. |
| Évaluer et traiter les risques pour la vie privée | Le courtier évalue ce qui arrive aux personnes si un dossier de sinistre est envoyé à la mauvaise adresse, et décide du chiffrement des envois. |
| Tenir un registre des activités de traitement | Un tableau liste chaque traitement : finalité, catégories de données, destinataires, durée de conservation. |
| Respecter les droits des personnes concernées dans les délais | Une demande d'accès reçue par e-mail est enregistrée, attribuée à une personne et traitée avant l'échéance interne fixée. |
| Appliquer la protection des données dès la conception et par défaut | Le nouveau portail clients n'affiche par défaut que les documents du mandat concerné. |
| Détecter et annoncer les violations de données | Un document décrit qui décide, qui informe et dans quel ordre quand un portable contenant des dossiers disparaît. |
Ces points relèvent des chapitres de planification, d'exploitation et d'évaluation des performances de la norme. L'auto-évaluation Zertify les reprend sous forme de questions auxquelles vous répondez par oui ou par non.
04: ISO 27001
Faut-il déjà détenir l'ISO 27001 ?
Cela dépend de l'édition. L'édition 2025 de l'ISO 27701 est une norme de système de management autonome : elle peut être certifiée sans ISO 27001. L'édition 2019 étendait un système de management de la sécurité de l'information existant et en exigeait un.
Une petite fiduciaire sans ISO 27001 peut donc viser directement l'ISO 27701:2025. Une entreprise qui possède déjà un SMSI réutilise ses processus de gestion des risques et de revue de direction.
05: Avec Zertify
Obtenir le certificat ISO 27701 avec Zertify
Le certificat est émis par Zertify sous licence de SICE, le Swiss Institute of Certification and Education. SICE examine chaque évaluation avant l'émission. Il n'y a pas d'audit sur site : tout se passe en ligne, sans compte pour l'achat.
Le prix est de 799 CHF la première année, puis 529 CHF par an, re-audit en ligne annuel inclus. Le certificat est valable 3 ans. Si vous certifiez deux normes, un rabais de 20 % s'applique, et de 30 % à partir de trois, y compris sur la redevance annuelle.
Répondre à 42 questions
L'auto-évaluation se fait en ligne, par oui ou non, et ne demande ni inscription ni paiement.
Atteindre le seuil
15 questions correspondent à des questions obligatoires de l'évaluation et doivent toutes recevoir un oui. Parmi les 27 autres, 18 oui au minimum sont nécessaires.
Payer et recevoir le certificat
Après la réussite et le paiement, le certificat PDF est émis en général dans les 4 heures.
Le présenter à vos clients
Chaque certificat se vérifie publiquement par son numéro ou son code QR.
06: Vérification
Ce que votre client peut contrôler
Le PDF porte un numéro et un code QR. Le service achats d'un client scanne le code et arrive sur la page de vérification publique de Zertify, qui confirme que le certificat existe et reste en cours. Vous n'avez rien à envoyer de plus.
Chaque année, un court re-audit en ligne confirme que votre système de protection des données est toujours en place. L'abonnement est annuel et se résilie à tout moment dans votre espace client, pour la fin de l'année en cours. En cas de résiliation, le certificat prend fin avec l'année payée.
Si vous hésitez entre cette voie et la voie classique avec un audit sur site par un organisme de certification, le guide de comparaison présente les différences.
07: FAQ
Questions fréquentes sur l'ISO 27701 dans la finance
Oui. L'auto-évaluation ne dépend pas de la taille de l'entreprise. Vous répondez à 42 questions sur vos pratiques réelles : registre des traitements, gestion des demandes d'accès, procédure en cas de violation. Il faut pouvoir répondre oui aux 15 questions obligatoires.
Non. La norme définit un système de management qui vous aide à démontrer votre responsabilité selon la nLPD suisse et le RGPD. Elle ne dispense pas de respecter ces textes, mais elle documente comment vous le faites.
Pas pour l'édition 2025, qui est une norme autonome. L'édition 2019 exigeait un SMSI ISO 27001 existant. Zertify délivre le certificat ISO 27701:2025.
Le certificat est émis en général dans les 4 heures après la réussite de l'auto-évaluation et le paiement. Le temps de préparation dépend de ce que vous avez déjà documenté, par exemple votre registre des traitements.
799 CHF la première année, puis 529 CHF par an, re-audit en ligne annuel inclus. Les prix comprennent la TVA suisse de 8,1 % pour les clients en Suisse et au Liechtenstein. Le certificat est valable 3 ans.
Oui. Chaque certificat Zertify peut être vérifié publiquement avec son numéro ou en scannant le code QR du PDF. La page de vérification indique si le certificat est valable.
08: Guide
Pages liées
Commencez par l'auto-évaluation ISO 27701
Répondez aux 42 questions et voyez immédiatement si votre organisme atteint le seuil de réussite.
Gratuit et sans inscription.