ISO 27701:2019
Certification ISO 27701 en ligne : Management de la protection de la vie privée par auto-évaluation
Avec le certificat ISO 27701 de Zertify, vous prouvez votre système de management auprès des clients et des acheteurs. La certification ISO 27701 se fait par auto-évaluation, sans audit sur site. Elle coûte 799 CHF la première année, puis 529 CHF par an avec réaudit en ligne.
- Questions
- 38
- Exigences obligatoires
- les 13
- Autres questions
- min. 17 sur 25
- Validité
- 3 ans
- Prix la 1re année
- 799 CHF
01: Aperçu
Qu'est-ce que ISO 27701 ?
ISO/IEC 27701:2019 étend un système de management de la sécurité de l'information existant selon ISO 27001 et ISO 27002 en un système de management de la protection de la vie privée (PIMS). La norme définit comment les organismes, en tant que responsables du traitement ou sous-traitants, traitent les données personnelles de façon traçable, maîtrisent les risques pour les personnes concernées et démontrent leur responsabilité selon la nLPD suisse et le RGPD.
02: Avantages
Ce que cela vous apporte
- Responsabilité démontrable envers les clients et les autorités
- Mise en oeuvre structurée de la nLPD et du RGPD au quotidien
- Évaluations fournisseurs et questionnaires de protection des données plus rapides
- Rôles clairs de responsable du traitement et de sous-traitant
- Risque réduit en cas de violation de données
- S'appuie sur le SMSI existant, sans système parallèle
03: Pour qui
ISO 27701 convient à qui ?
- Fournisseurs SaaS et cloud traitant des données clients
- Prestataires informatiques et partenaires d'externalisation
- Santé et laboratoires
- Prestataires RH, salaires et placement de personnel
- Banques, assurances et fiduciaires
- Entreprises disposant d'un SMSI ISO 27001
04: Exigences
Principales exigences
Déterminer le rôle de responsable du traitement ou de sous-traitant
Évaluer et traiter les risques pour la vie privée
Tenir un registre des activités de traitement
Respecter les droits des personnes concernées dans les délais
Appliquer la protection des données dès la conception et par défaut
Détecter et annoncer les violations de données
05: Demande
Qui exige ISO 27701 ?
ISO 27701 est demandée lorsque clients ou partenaires veulent la preuve que vous traitez les données personnelles de façon ordonnée. La norme n'est pas exigée par la loi, mais elle aide à démontrer la responsabilité selon la nLPD et le RGPD.
- Grands clients avec contrats de sous-traitance
- Les groupes et les acheteurs publics évaluent leurs fournisseurs au moyen de questionnaires de protection des données. Un PIMS documenté répond à une grande partie de ces questions d'un coup.
- Fournisseurs SaaS et sous-traitants
- Qui traite des données personnelles pour le compte de clients doit prouver le respect des instructions, les sous-traitants ultérieurs et la suppression. La norme organise ces obligations dans un système de management.
- Secteurs avec données sensibles
- Santé, RH, finance et assurances traitent des données personnelles sensibles. Clients et autorités de surveillance attendent une gestion traçable des risques et des droits des personnes concernées.
06: Coût
Combien coûte ISO 27701 ? Audit, conseil ou auto-évaluation
Une certification ISO 27701 accréditée est auditée avec ISO 27001. Les chiffres ci-dessous décrivent l'effort pour une PME de 10 à 50 collaborateurs.
| Voie | Fourchette indicative | Ce qui se cache derrière |
|---|---|---|
| Audit accrédité | En extension d'ISO 27001, CHF 3 000 à 8 000 en plus | Le supplément vient de jours d'audit pour les rôles, le registre, les droits des personnes concernées et les contrats. Si ISO 27001 manque, son coût s'y ajoute. |
| Conseil et mise en place | CHF 8 000 à 20 000 une fois | Clarification des rôles, registre des activités de traitement, modèles d'AIPD, déclarations de protection des données, contrats de sous-traitance et concept de suppression. |
| Auto-évaluation Zertify | 799 CHF la 1re année, puis 529 CHF par an | Vous vérifiez si rôles, bases légales, registre, droits des personnes concernées, procédures d'annonce et obligations de sous-traitant sont démontrablement réglés. Cela ne remplace pas un conseil juridique au cas par cas. |
Tous les montants sont des fourchettes indicatives non contraignantes pour les PME suisses, pas des offres. Seules comptent les offres des prestataires concernés.
07: Durée
Combien de temps dure ISO 27701 ?
Avec un SMSI existant, vous ajoutez en général ISO 27701 en quelques mois. L'essentiel de l'effort porte sur l'inventaire de vos traitements.
| Phase | Accréditée | Zertify |
|---|---|---|
| Mettre en place la protection des données | 3 à 6 mois pour les rôles, le registre, l'AIPD, les contrats et le traitement des demandes | Aucune. Vous évaluez l'état actuel de votre management de la vie privée |
| Évaluation | Jours d'audit supplémentaires dans l'audit ISO 27001, avec échantillons du registre et des demandes | Environ 30 à 40 minutes en ligne, résultat immédiat |
| Certificat | Validation après 2 à 6 semaines, valable dans le cycle de la certification ISO 27001 | PDF avec vérification par QR code sous 4 heures |
08: Questions types
Questions types de l'évaluation ISO 27701
Quatre questions sur 38 du catalogue, et pourquoi elles comptent.
Tenez-vous un registre à jour des activités de traitement avec finalités, catégories de données, destinataires et durées de conservation ?
Le registre des activités de traitement est la base de tout le reste. Sans vue d'ensemble des finalités et des destinataires, ni les risques ni les demandes ne peuvent être traités correctement.
Une analyse d'impact relative à la protection des données (AIPD) est-elle réalisée en amont pour les traitements susceptibles d'engendrer un risque élevé ?
Pour les traitements à risque élevé, la nLPD et le RGPD exigent une analyse d'impact préalable. Elle montre que les risques ont été évalués avant le lancement.
Existe-t-il une procédure pour traiter dans les délais les demandes d'accès, de rectification, d'effacement et de portabilité ?
Les demandes d'accès arrivent sans préavis et sont soumises à des délais. Une procédure définie évite qu'elles restent sans réponse.
Existe-t-il une procédure pour annoncer les violations de données dans les délais au PFPDT ou à l'autorité de contrôle et aux personnes concernées ?
Après une violation de données, chaque heure compte. Si responsabilités et canaux d'annonce sont clarifiés d'avance, vous annoncez à temps et de façon complète.
09: Évaluation
Déroulement de l'évaluation
L'évaluation compte 38 questions oui/non, en ligne et à votre rythme. 13 d'entre elles sont des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 25 autres questions, il vous faut au moins 17 oui.
| Les questions se répartissent en ces thèmes : | Questions | Dont obligatoires |
|---|---|---|
| Contexte et périmètre du PIMS | 4 questions | 3 |
| Risques pour la vie privée et plan de traitement | 3 questions | 3 |
| Politiques, rôles et sensibilisation | 3 questions | 1 |
| Protection des données personnelles | 5 questions | 0 |
| Incidents et fournisseurs | 3 questions | 1 |
| Licéité et responsabilité du responsable du traitement | 6 questions | 2 |
| Droits des personnes concernées | 3 questions | 0 |
| Protection des données dès la conception et par défaut | 3 questions | 0 |
| Obligations du sous-traitant | 5 questions | 0 |
| Évaluation et amélioration | 3 questions | 3 |
10: Prix
Prix et validité
Prix la 1re année
799 CHF
- Dès la 2e année
- 529 CHF par an
- Validité
- 3 ans
Votre client exige un audit ou une certification accréditée ? Clarifier les exigences
Compris dans le prix
- Évaluation en ligne de 38 questions
- Certificat en PDF, délivré sous licence de SICE
- QR code sur le PDF et page de vérification publique
- 3 ans de validité
- Réaudit en ligne annuel
- Support par e-mail
La page de vérification indique le statut, la norme et la validité de chaque certificat. En savoir plus dans la FAQ
Voir l'exemple et la méthode d'évaluationCheck-list
Check-list ISO 27701:2019 par e-mail
Les 38 questions de l’auto-évaluation ISO 27701 en PDF à cocher, classées par thème. Gratuit, par e-mail.
11: Autres normes
Autres normes
Beaucoup d'entreprises combinent plusieurs normes. Dès deux normes, une remise s'applique.
- ISO 27001:2022: Voir la norme
Management de la sécurité de l'information
ISO 27701 s'appuie sur le SMSI. Analyse des risques, mesures de sécurité et audits internes proviennent d'ISO 27001.
dès 849 CHF
- ISO 27018:2019: Voir la norme
Protection des données dans le cloud
Les fournisseurs cloud qui traitent des données personnelles pour des clients complètent le PIMS avec les mesures spécifiques au cloud d'ISO 27018.
dès 799 CHF
- ISO 42001:2023: Voir la norme
Système de management de l'IA
Si vous entraînez ou exploitez des systèmes d'IA avec des données personnelles, vous associez management de la vie privée et système de management de l'intelligence artificielle.
dès 849 CHF
13: Questions
Questions fréquentes sur ISO 27701
Certificat ISO 27701 en 4 heures.
L'évaluation est gratuite. Vous ne payez qu'une fois réussie.
La page de vérification indique le statut, la norme et la validité de chaque certificat.