Guide ISO 27701 : comment se mettre en conformité ?

Qu'est-ce qu'ISO 27701 ?

ISO 27701 étend le système de management de la sécurité de l'information (ISO 27001) au domaine de la vie privée. Elle ajoute des exigences et des contrôles spécifiques à la protection des données personnelles (PII), constituant un PIMS : un système de management dédié à la protection de la vie privée.

Sa logique est celle d'une extension : elle réutilise l'ossature d'ISO 27001 et ajoute des contrôles propres aux responsables de traitement et aux sous-traitants. Elle ne peut donc pas se certifier isolément : elle s'appuie sur un SMSI ISO 27001, existant ou construit en même temps.

Son intérêt majeur est de transformer une obligation réglementaire (le RGPD) en un système de management structuré, mesurable et certifiable, avec une correspondance explicite vers les articles du RGPD.

Les rôles : responsable et sous-traitant

ISO 27701 organise ses contrôles selon le rôle joué vis-à-vis des données personnelles, à l'image du RGPD.

Qui est concerné ?

ISO 27701 s'adresse aux organisations qui veulent structurer et prouver leur conformité « vie privée », en particulier celles déjà engagées dans une démarche ISO 27001.

• Éditeurs SaaS et prestataires traitant les données personnelles de leurs clients.
• Organisations déjà certifiées ISO 27001 souhaitant valoriser leur conformité RGPD.
• Sous-traitants souhaitant rassurer leurs clients responsables de traitement.
• Groupes internationaux cherchant un cadre « privacy » reconnu mondialement.

ISO 27701 et le RGPD

ISO 27701 et le RGPD se renforcent mutuellement : la norme aide à mettre en œuvre le règlement et à le démontrer.

• Le RGPD fixe les obligations légales ; ISO 27701 fournit le système de management pour les tenir.
• La norme propose une correspondance vers les articles du RGPD, utile pour cartographier la conformité.
• La certification ISO 27701 n'équivaut pas juridiquement à la conformité RGPD, mais en est une preuve forte.
• Le DPO et le PIMS se complètent : gouvernance humaine et système de management.

Quelles sanctions en cas de non-conformité ?

ISO 27701 est une norme volontaire : pas d'amende propre, mais un enjeu commercial fort et un appui pour éviter les sanctions RGPD, bien réelles, elles.

Comment se mettre en conformité : la feuille de route en 6 étapes

Étape 1 — Disposer d'un socle ISO 27001

ISO 27701 étant une extension, assurez-vous d'un SMSI ISO 27001 en place, ou construisez les deux conjointement. C'est le prérequis incontournable.

Le périmètre du PIMS doit être cohérent avec celui du SMSI.

• Mettez en place ou consolidez le SMSI ISO 27001.
• Alignez le périmètre du PIMS sur celui du SMSI.
• Réutilisez les contrôles de sécurité existants.

Étape 2 — Déterminer vos rôles PII

Identifiez, pour chaque traitement, si vous agissez comme responsable (PII controller), sous-traitant (PII processor) ou les deux. Cela détermine les contrôles applicables.

Cette qualification recoupe directement votre analyse RGPD.

• Qualifiez chaque traitement (controller / processor).
• Reliez ces rôles à votre registre RGPD.
• Sélectionnez les contrôles correspondants.

Étape 3 — Déployer les contrôles vie privée

Mettez en œuvre les contrôles spécifiques du PIMS : bases légales, information, droits des personnes, minimisation, durées, sous-traitance, transferts, gestion des violations.

Ces contrôles matérialisent le RGPD dans un système de management structuré.

• Déployez les contrôles controller et/ou processor.
• Reliez chaque contrôle aux exigences RGPD.
• Documentez la mise en œuvre et les preuves.

Étape 4 — Cartographier vers le RGPD

Utilisez la correspondance ISO 27701 / RGPD pour cartographier votre conformité et identifier les écarts éventuels. Cela crédibilise votre démarche vis-à-vis des clients et des autorités.

Cette cartographie est un livrable très apprécié en B2B.

• Établissez la correspondance PIMS / articles RGPD.
• Identifiez et comblez les écarts.
• Valorisez la cartographie auprès des clients.

Étape 5 — Auditer et se faire certifier

Réalisez des audits internes, une revue de direction, puis passez la certification (généralement conjointe avec ISO 27001) auprès d'un organisme accrédité.

La certification atteste d'une maturité privacy vérifiée par un tiers.

• Menez audits internes et revue de direction.
• Passez la certification, souvent couplée à ISO 27001.
• Maintenez-la par des audits de surveillance.

Étape 6 — Maintenir et améliorer

Faites vivre le PIMS : suivi des évolutions réglementaires, revue des traitements, amélioration continue. La protection de la vie privée est un processus permanent.

Un PIMS entretenu reste un atout commercial durable.

• Suivez les évolutions réglementaires et les traitements.
• Améliorez le PIMS en continu.
• Réévaluez le périmètre en cas de changement.

Les erreurs fréquentes à éviter

• Vouloir certifier ISO 27701 sans socle ISO 27001, ce qui est impossible.
• Croire qu'ISO 27701 équivaut juridiquement à la conformité RGPD (elle en est une preuve, pas une équivalence).
• Mal qualifier ses rôles (responsable / sous-traitant), ce qui fausse le choix des contrôles.
• Négliger la cartographie vers le RGPD, pourtant très utile en B2B.
• Traiter le PIMS comme un projet documentaire sans pratiques réelles.
• Oublier de faire vivre le système après la certification.