ISO 27701 pour les organismes de formation
ISO 27701 pour formation : prouver que les données de vos participants sont maîtrisées
Un organisme de formation reçoit des listes de participants, des résultats d'examens et des données de facturation de ses entreprises clientes. ISO 27701 démontre que ce traitement est organisé, documenté et vérifiable. Avec Zertify, vous passez une auto-évaluation en ligne et obtenez le certificat sans audit sur site.
01: Demande
Pourquoi les clients demandent ISO 27701 à un organisme de formation
Quand une entreprise inscrit vingt collaborateurs à un cours, elle vous transmet leurs noms, leurs fonctions et leurs adresses e-mail. Son service des achats ou des RH ajoute alors une ligne à son questionnaire fournisseur : où ces données sont-elles stockées, qui y accède, combien de temps les conservez-vous ?
Les appels d'offres pour des mandats de formation en entreprise contiennent de plus en plus souvent ce type de question. Répondre par un texte libre prend du temps et laisse le lecteur sans moyen de contrôle. Un certificat ISO 27701 remplace ce texte par une preuve : le PDF porte un numéro et un code QR qui mènent à une page de vérification publique.
La norme se réfère à la nLPD suisse et au RGPD. Si vous formez des clients en Suisse, en Allemagne, en Autriche ou en France, la même démonstration sert pour tous vos interlocuteurs.
02: Données
Quelles données personnelles un organisme de formation traite-t-il ?
Le risque ne vient pas d'un seul système, mais de la multiplication des endroits où les données circulent. Voici les traitements que la norme vous oblige à regarder de près.
- Liste des participants
- Noms, fonctions, employeur, e-mail. Elle circule entre l'administration, les formateurs et parfois le lieu de cours, souvent sous forme de tableur envoyé par courriel.
- Résultats et attestations
- Notes d'examens, taux de présence, certificats de réussite. Ces données touchent à la carrière des personnes et sont souvent redemandées des années plus tard.
- Plateforme d'apprentissage en ligne
- Progression, temps passé, réponses aux quiz. Si la plateforme est hébergée par un tiers, ce tiers est un sous-traitant que vous devez encadrer.
- Enregistrements de sessions
- Les cours en visioconférence enregistrés montrent les visages et les voix des participants. Il faut décider qui peut les voir et quand ils sont supprimés.
- Besoins particuliers
- Régime alimentaire, handicap, aménagement d'examen. Ces indications peuvent révéler des données de santé et demandent un accès restreint.
- Facturation à l'employeur
- Le client reçoit une facture avec le détail des inscrits. Chaque information transmise doit avoir une raison.
03: Exigences
Comment un organisme de formation répond aux exigences clés
Le tableau relie chaque exigence principale de la norme à une situation concrète d'un organisme de formation.
| Exigence | Exemple dans un organisme de formation |
|---|---|
| Déterminer le rôle de responsable du traitement ou de sous-traitant | Pour une formation interne commandée par une entreprise, vous traitez ses collaborateurs selon son mandat. Pour les inscriptions individuelles et votre newsletter, vous décidez seul. |
| Évaluer et traiter les risques pour la vie privée | Vous évaluez ce qui arrive aux personnes si une liste de participants ou un résultat d'examen est envoyé au mauvais destinataire. |
| Tenir un registre des activités de traitement | Une ligne par traitement : inscription, plateforme en ligne, enregistrement de sessions, facturation, avec finalité, destinataires et durée de conservation. |
| Respecter les droits des personnes concernées dans les délais | Un ancien participant demande l'accès à son dossier ou la suppression de son enregistrement. Une personne désignée répond dans le délai prévu. |
| Appliquer la protection des données dès la conception et par défaut | Le formulaire d'inscription ne demande que le nécessaire, et les champs sur les besoins particuliers restent facultatifs. |
| Détecter et annoncer les violations de données | Un formateur perd un ordinateur portable contenant des listes. Une procédure écrite dit qui évalue l'incident et qui informe le client. |
04: Pratique
Responsable du traitement ou sous-traitant : une question à trancher cas par cas
Les organismes de formation occupent souvent les deux rôles. Si une entreprise vous confie la formation de ses équipes et vous transmet leurs données pour cela, la répartition des responsabilités dépend du contrat. La norme exige que vous la décidiez et la documentiez, pas que vous choisissiez toujours le même rôle.
Prenons la durée de conservation. Un organisme qui garde les résultats d'examens sans limite parce que personne n'a posé la question a un problème de gouvernance. Le registre des traitements force à inscrire une durée par catégorie, et la plateforme en ligne doit pouvoir appliquer cette durée.
Les prestataires externes suivent le même principe. L'éditeur de votre plateforme de cours, l'outil de visioconférence et l'imprimeur des supports portant des noms sont autant de destinataires à lister. Pour chacun, vous savez quelles données partent et selon quelle règle.
05: Zertify
Obtenir le certificat ISO 27701 avec Zertify
Le certificat est émis par Zertify sous licence de SICE (Swiss Institute of Certification and Education). SICE examine chaque auto-évaluation avant l'émission. Il n'y a pas d'audit sur site : la démarche se déroule en ligne.
Le coût est de 799 CHF la première année, puis 529 CHF par an, re-audit en ligne annuel inclus. Le certificat est valable 3 ans. L'abonnement est annuel, résiliable à tout moment pour la fin de l'année en cours depuis votre compte client. Les prix incluent la TVA suisse de 8,1 % pour les clients en Suisse et au Liechtenstein, et aucun compte n'est nécessaire pour acheter.
Répondre à 42 questions par oui ou non
Quinze d'entre elles sont obligatoires et doivent toutes recevoir un oui. Ce sont les questions centrales de l'évaluation, pas toutes les exigences de la norme.
Atteindre au moins 18 oui sur les 27 autres
C'est le seuil pour réussir l'évaluation.
Payer en ligne
Après la réussite et le paiement, le certificat arrive dans les 4 heures.
Joindre le PDF à vos réponses
Votre client scanne le code QR ou saisit le numéro et voit le certificat sur la page de vérification publique.
06: Édition
ISO 27701 sans ISO 27001 : est-ce possible pour une école ou un centre de formation ?
L'édition 2025 est une norme de système de management autonome. Vous pouvez la faire certifier sans disposer d'un système ISO 27001, ce qui convient aux petits organismes qui n'ont jamais mis en place de système de sécurité de l'information formel. L'édition 2019, elle, étend un SMSI existant et en exige un.
Certains clients préféreront la voie classique avec un audit sur site par un organisme de certification. Le guide sur les voies de certification décrit les différences pour que vous puissiez décider selon ce que demandent vos clients.
07: FAQ
Questions fréquentes sur ISO 27701 pour la formation
Cela dépend de vos clients. Si des entreprises ou des administrations vous demandent par questionnaire comment vous protégez les données de leurs collaborateurs, le certificat répond à cette question une fois pour toutes. La taille de l'organisme compte moins que le volume de données que vos clients vous confient.
Chez Zertify, le coût est de 799 CHF la première année, puis 529 CHF par an, re-audit en ligne annuel inclus. Une remise de 20 % s'applique pour deux normes et de 30 % pour trois normes ou plus, aussi sur la cotisation annuelle.
L'auto-évaluation compte 42 questions par oui ou non. Une fois l'évaluation réussie et le paiement effectué, le certificat est émis dans les 4 heures. Le temps de préparation dépend de ce que vous avez déjà documenté, par exemple un registre des traitements.
Oui. Chaque certificat Zertify peut être vérifié publiquement par son numéro ou par le code QR du PDF. Votre client voit sur la page de vérification que le certificat existe et qu'il est valable.
Vous pouvez résilier à tout moment dans votre compte client, pour la fin de l'année en cours. Le certificat prend fin avec l'année payée. Le certificat est valable 3 ans, confirmé chaque année par un court re-audit en ligne.
08: Guide
Pages liées
Vérifiez où en est votre organisme de formation
L'auto-évaluation ISO 27701 compte 42 questions et vous montre immédiatement ce qui manque.
Gratuit et sans inscription.