Management de la protection de la vie privée
ISO 27701 pour entreprises de services : prouvez comment vous traitez les données de vos clients
Une fiduciaire, une agence ou un prestataire RH traite chaque jour des données qui appartiennent à d'autres. ISO 27701 fixe comment ce traitement est organisé, documenté et contrôlé. Vous passez une auto-évaluation en ligne, sans audit sur site, et vous obtenez un certificat que vos clients peuvent vérifier eux-mêmes.
01: Demande du marché
Pourquoi vos clients et les appels d'offres exigent ISO 27701
Dans les services, vous travaillez avec les données de quelqu'un d'autre. La fiduciaire détient les pièces comptables et les salaires, l'agence les listes de contacts, le centre d'appels les enregistrements de conversations. Le service achats de votre client le sait et l'écrit dans son questionnaire fournisseur.
Les questions reviennent d'un questionnaire à l'autre. Qui est responsable du traitement ? Où les données sont-elles stockées ? Comment une violation est-elle annoncée ? Qui traite une demande d'accès d'une personne concernée ? Sans certificat, vous rédigez chaque fois une réponse différente. Avec ISO 27701, vous indiquez un numéro de certificat et un lien de vérification.
L'édition 2025 de la norme est autonome. Vous pouvez la faire certifier sans ISO 27001. L'édition 2019 étendait un SMSI existant et en exigeait un, ce qui écartait beaucoup de petites entreprises de services.
02: Risques du secteur
Quels traitements de données une entreprise de services doit-elle maîtriser ?
La norme ne décrit pas votre métier. Elle demande que chaque traitement soit connu, justifié et protégé. Voici où les risques se concentrent selon le type de prestation.
- Fiduciaire et comptabilité
- Pièces comptables, décomptes de salaires et déclarations circulent par courriel et par portail client. Le risque : un envoi au mauvais destinataire ou un accès trop large au sein de l'équipe.
- Conseil et agence
- Listes de contacts, exports de CRM, données de campagne transmises à des indépendants. Le risque : des fichiers qui restent chez le prestataire après la fin du mandat.
- Placement de personnel et RH
- Dossiers de candidature, certificats de travail, références. Le risque : une durée de conservation dépassée ou une transmission à un client sans base claire.
- Centre d'appels et support client
- Enregistrements de conversations, notes de tickets, historiques d'échanges. Le risque : trop de collaborateurs avec accès et aucune limite de conservation.
- Facility management et nettoyage
- Listes d'accès aux locaux des clients, badges, plannings du personnel. Le risque : des listes à jour laissées dans des véhicules, des classeurs ou des messageries privées.
03: Exigences clés
Comment une entreprise de services remplit les exigences d'ISO 27701
Les exigences se traduisent en documents courts et en habitudes de travail. Voici comment une PME de services s'y prend pour chacune.
Déterminer son rôle
Pour chaque prestation, notez si vous décidez des finalités ou si vous agissez sur instruction du client. Cette décision figure dans le contrat de service et dans votre registre.
Évaluer les risques pour la vie privée
Pour la gestion des salaires, demandez ce qui arrive aux employés du client si le fichier fuite. Inscrivez la probabilité, la gravité et la mesure retenue, par exemple des accès nominatifs et des envois chiffrés.
Tenir un registre des traitements
Un tableau suffit : prestation, catégories de données, destinataires, lieu de stockage, durée de conservation. Commencez par une ligne par prestation.
Respecter les droits des personnes
Définissez qui reçoit une demande d'accès ou d'effacement, qui vérifie l'identité, qui répond et dans quel délai. Comme sous-traitant, vous transmettez la demande au client sans attendre.
Appliquer la protection dès la conception
Avant de mettre en service un nouvel outil ou un formulaire en ligne, demandez quelles données sont réellement nécessaires. Par défaut, les champs facultatifs restent vides et les droits d'accès restent étroits.
Détecter et annoncer les violations
Une procédure d'une page indique qui décide, qui informe le client et quelles informations sont communiquées. Testez-la avec un cas réel : un courriel parti au mauvais destinataire.
04: Rôles
Responsable du traitement ou sous-traitant : quel rôle pour quelle prestation ?
La norme demande de fixer le rôle avant tout le reste, car les obligations en dépendent. Dans les services, la réponse varie d'une prestation à l'autre.
| Prestation | Rôle probable | Conséquence pratique |
|---|---|---|
| Décomptes de salaires pour le compte d'un client | Sous-traitant | Vous traitez sur instruction, le contrat fixe les mesures de sécurité et la restitution des données. |
| Fichier de vos propres clients et prospects | Responsable du traitement | Vous informez les personnes, tenez le registre et répondez aux demandes d'accès. |
| Centre d'appels pour une marque | Sous-traitant | Les enregistrements relèvent du mandat. Vous transmettez au client les demandes des personnes. |
| Candidatures reçues pour votre propre équipe | Responsable du traitement | Vous fixez la durée de conservation et supprimez les dossiers à l'échéance. |
| Conseil où vous définissez vous-même les finalités | À déterminer par prestation | Le rôle suit celui qui décide des finalités et des moyens. Documentez cette analyse. |
Une même entreprise de services porte les deux rôles selon la prestation. Le registre doit les séparer.
05: Certification
Obtenir le certificat ISO 27701 avec Zertify
Vous répondez en ligne à 42 questions par oui ou non. Quinze d'entre elles sont des questions impératives : toutes doivent recevoir un oui. Ce sont les questions centrales de l'évaluation, elles ne couvrent pas chaque exigence de la norme. Parmi les 27 autres, au moins 18 oui sont nécessaires. Aucun audit sur site n'a lieu. SICE examine chaque évaluation, puis Zertify émet le certificat sous licence de SICE, dans les 4 heures après la réussite et le paiement.
Le PDF porte un numéro et un code QR. Votre client, ou le service achats qui examine votre offre, ouvre la page de vérification publique et y trouve le certificat. Il est valable 3 ans et confirmé chaque année par un court re-audit en ligne.
Le prix est de 799 CHF la première année, puis 529 CHF par an, re-audit en ligne annuel inclus. La TVA suisse de 8,1 % est comprise pour les clients en Suisse et au Liechtenstein. Un compte n'est pas nécessaire pour acheter.
06: FAQ
Questions fréquentes sur ISO 27701 pour entreprises de services
Non. L'édition 2025 est une norme de système de management autonome et se certifie sans ISO 27001. Seule l'édition 2019 en exigeait une. Si vous visez les deux normes, une remise multi-normes de 20 % s'applique pour deux normes, y compris sur la cotisation annuelle.
Non. ISO 27701 décrit un système de management qui vous aide à traiter les données de façon traçable et à démontrer votre responsabilité selon la nLPD et le RGPD. Il ne remplace ni vos obligations légales ni un avis juridique sur un cas précis.
Rassemblez votre registre des traitements, vos contrats avec les clients et les sous-traitants, ainsi que votre procédure en cas de violation. Si l'un de ces documents manque, les 15 questions impératives vous montrent par où commencer.
Oui. Chaque certificat Zertify se vérifie publiquement avec son numéro ou son code QR. Vous pouvez ajouter le lien de vérification à une offre, à un questionnaire fournisseur ou à votre signature de courriel.
La facturation est un abonnement annuel à reconduction automatique. Vous le résiliez à tout moment dans votre espace client, avec effet à la fin de l'année en cours. Le certificat prend alors fin avec l'année payée.
07: Guide
Pages liées
Voyez où en est votre entreprise
L'auto-évaluation ISO 27701 en ligne montre quelles exigences vous remplissez déjà et lesquelles manquent encore.
Gratuit et sans inscription.