Certification ISO 27701
ISO 27701 obligatoire : ce qui est exigé, et par qui
Le certificat ISO 27701 est volontaire. La nLPD et le RGPD fixent des obligations de protection des données, pas l'obtention d'un certificat. Si un client ou un appel d'offres vous le demande, vous pouvez l'obtenir en ligne, sans audit sur site.
01: Réponse
L'ISO 27701 est-elle obligatoire ?
En règle générale, non. ISO/IEC 27701 est une norme internationale, pas un texte de loi. Vous n'avez pas à la suivre pour exercer votre activité en Suisse, en Allemagne, en Autriche ou en France.
La nLPD suisse et le RGPD européen imposent des résultats : un registre des activités de traitement, le respect des droits des personnes concernées, l'annonce des violations de données. La norme décrit un système de management qui organise ces tâches et les rend démontrables. Le certificat atteste que ce système existe.
Ce qui est volontaire pour la loi peut devenir obligatoire dans une relation commerciale. C'est là que la question se pose réellement.
02: Exigence de fait
Quand un client rend la certification obligatoire
Personne ne vous fera de procès pour l'absence du certificat. Vous perdez plutôt un mandat, ou vous le gagnez plus tard. Cinq situations reviennent.
- Le questionnaire fournisseur
- Le service achats de votre client demande si vous détenez un certificat ISO 27701. Une réponse négative ralentit la validation, parfois la bloque.
- L'appel d'offres
- Le cahier des charges cite la norme comme critère d'éligibilité ou de notation. Sans certificat, votre offre perd des points ou n'est pas retenue.
- Le contrat de sous-traitance
- Un responsable du traitement doit pouvoir démontrer que son sous-traitant manipule les données avec rigueur. Le client inscrit alors le certificat dans le contrat ou dans une annexe.
- L'audit client
- L'auditeur de votre client réclame des preuves : registre, analyse de risques, procédure en cas de violation. Le certificat résume ces preuves en un document.
- Les attentes de la branche
- Dans le SaaS, la santé ou la fiducie, certains acteurs attendent le certificat de leurs prestataires sans l'écrire nulle part. Vous l'apprenez quand un concurrent le présente.
03: Entreprises concernées
Qui reçoit la demande en premier
Les demandes se concentrent sur les entreprises qui traitent des données personnelles pour le compte d'autres organisations.
| Activité | Données traitées | Demande habituelle |
|---|---|---|
| Fournisseur SaaS ou cloud | Données de clients hébergées | Questionnaire de sécurité et de protection des données avant la signature |
| Prestataire informatique | Accès aux systèmes et aux données de clients | Clause de sous-traitance dans le contrat |
| Santé et laboratoires | Données de patients et d'échantillons | Preuve d'un traitement maîtrisé chez les partenaires |
| RH, salaires, placement | Dossiers de candidats et données salariales | Questionnaire du client avant l'attribution du mandat |
| Banques, assurances, fiduciaires | Données financières de clients | Exigences envers les prestataires externes |
| Entreprise avec un SMSI ISO 27001 | Système de sécurité déjà en place | Extension à la protection de la vie privée demandée par un client |
04: Contenu
Ce que la norme demande concrètement
Vérifiez d'abord l'édition citée par votre client. L'édition 2025 est une norme de système de management autonome et se certifie sans ISO 27001. L'édition 2019 étend un SMSI existant et en exige un.
Une fois l'édition clarifiée, voici les exigences à maîtriser :
Déterminer votre rôle
Vous êtes responsable du traitement, sous-traitant, ou les deux selon les activités. Chaque rôle entraîne d'autres obligations.
Évaluer les risques pour la vie privée
Il s'agit des risques pour les personnes concernées, pas seulement pour votre entreprise. Les mesures de traitement sont documentées.
Tenir un registre des traitements
Chaque activité de traitement y figure avec sa finalité, ses données et ses destinataires.
Respecter les droits des personnes
Les demandes d'accès, de rectification ou d'effacement reçoivent une réponse dans les délais.
Appliquer la protection dès la conception et par défaut
Les nouveaux produits et processus prévoient la protection des données avant leur mise en service.
Détecter et annoncer les violations
Une procédure définit qui constate, évalue et annonce une violation de données.
05: Zertify
Obtenir le certificat quand un client le demande
Zertify délivre le certificat ISO 27701:2025 à partir d'une auto-évaluation en ligne de 42 questions oui/non. Quinze d'entre elles correspondent à des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 27 autres, il faut au moins 18 réponses positives.
Le Swiss Institute of Certification and Education (SICE) examine chaque évaluation. Le certificat est émis par Zertify sous licence de SICE, dans les 4 heures après la réussite et le paiement. Vous recevez un PDF avec numéro de certificat et QR code. Votre client en vérifie l'authenticité sur la page de vérification publique. Il n'y a pas d'audit sur site : une courte réévaluation en ligne confirme le certificat chaque année.
Le prix est de 799 CHF la première année, puis de 529 CHF par an, réévaluation en ligne comprise. Le certificat est valable 3 ans. L'abonnement est annuel et résiliable à tout moment pour la fin de l'année en cours dans votre espace client ; le certificat prend alors fin avec l'année payée. Dès 2 normes, un rabais de 20 % s'applique, de 30 % dès 3 normes, y compris sur la cotisation annuelle. Aucun compte n'est nécessaire pour acheter.
06: Autre voie
Que faire si le client exige un audit sur site ?
Lisez la formulation exacte de la demande. Si le texte demande un certificat ISO 27701, un certificat vérifiable peut suffire. S'il nomme une procédure précise, par exemple un audit sur site, la voie classique avec un organisme de certification s'impose.
En cas de doute, écrivez à l'acheteur et joignez le lien de vérification de votre certificat. Sa réponse tranche, et vous évite de payer pour une procédure dont il n'a pas besoin.
07: FAQ
Questions fréquentes sur l'ISO 27701 obligatoire
08: Guide
Pages liées
Un client vous demande l'ISO 27701 ?
Répondez aux 42 questions et voyez si vous remplissez les conditions du certificat.
Gratuit et sans inscription.