ISO 27701 : la norme de management de la vie privée

ISO 27701 est la norme internationale du management de la protection de la vie privée : elle organise la façon dont un organisme protège les données personnelles qu'il traite, comme ISO 27001 organise la sécurité de l'information. Longtemps simple extension d'ISO 27001, elle est devenue en octobre 2025 une norme autonome. Voici ce qu'elle contient, ce que change la nouvelle édition, et ce qu'elle apporte, ou non, face au RGPD.

ISO/IEC 27701 fixe les exigences pour établir, mettre en œuvre, maintenir et améliorer en continu un système de management de la protection de la vie privée, en anglais Privacy Information Management System (PIMS). Elle s'adresse aux organismes qui traitent des données personnelles et qui en portent la responsabilité, qu'ils soient responsables de traitement ou sous-traitants.

Comme toute norme de système de management, elle ne se limite pas à une liste de mesures. Elle demande de définir un périmètre, d'apprécier les risques, de fixer des rôles et des objectifs, de mesurer, d'auditer et de s'améliorer. Elle y ajoute des mesures de référence propres à la vie privée, distinctes pour les responsables de traitement et pour les sous-traitants : conditions de collecte, droits des personnes, protection dès la conception, transferts, relations entre clients et prestataires.

Elle fait partie de la famille ISO 27000. Sa cousine ISO/IEC 27018, révisée en 2025, vise un cas particulier : les fournisseurs de cloud public qui traitent des données personnelles pour le compte de leurs clients.

La première édition, publiée en 2019, s'intitulait « extension d'ISO/IEC 27001 et d'ISO/IEC 27002 ». Elle complétait un SMSI existant : impossible de se faire certifier ISO 27701 sans système de management ISO 27001. La deuxième édition, publiée en octobre 2025, rompt ce lien. ISO la présente comme une norme autonome, qui permet de mettre en œuvre et de certifier un système de management de la vie privée indépendamment d'ISO 27001, tout en gardant la possibilité de l'intégrer à un SMSI.

Les deux normes partagent la même structure de système de management. Elles ne protègent pas la même chose.

C'est la question qui revient le plus souvent : une certification ISO 27701 vaut-elle conformité au RGPD ? La réponse de la CNIL est claire : la norme n'est pas propre au RGPD et ne constitue pas, en tant que telle, une certification au sens de l'article 42 du règlement. Ces certifications-là reposent sur des critères approuvés par une autorité de protection des données et sont délivrées par des organismes agréés à cet effet.

La CNIL y voit en revanche un moyen de montrer une démarche proactive et de faire progresser ses pratiques. L'édition 2019 comportait d'ailleurs une annexe qui faisait correspondre ses exigences aux articles du RGPD. Concrètement, la norme aide sur plusieurs obligations :

• la responsabilité (article 5, paragraphe 2) : un système de management produit, par construction, les preuves de ce que l'on fait ;
• les analyses de risques pour les personnes, qui préparent les analyses d'impact (AIPD) ;
• les relations avec les sous-traitants (article 28) : un prestataire certifié présente des garanties plus faciles à vérifier, ce qui allège votre évaluation des tiers.

Au niveau européen, le CEN et le CENELEC ont publié en 2023 la norme EN 17926, qui précise l'application d'ISO 27701 dans le contexte européen, en vue d'une certification de traitements de données ; elle est en cours de révision.

La certification est délivrée par un organisme de certification accrédité, après un audit en deux temps : revue de la documentation et de la préparation, puis audit du fonctionnement du système de management. Comme pour ISO 27001, le certificat s'inscrit dans un cycle de trois ans ponctué d'audits de surveillance.

Pour les organismes déjà certifiés selon l'édition 2019, la transition est encadrée par les organismes d'accréditation. Au Royaume-Uni, l'UKAS a fixé son calendrier en mars 2026 : évaluation des organismes de certification à partir de mai 2026, passage de tous les organismes accrédités d'ici le 31 octobre 2027, et des organismes certifiés d'ici le 31 octobre 2028. Ce calendrier s'appuie sur un consensus au sein de l'IAF, le forum international de l'accréditation. En France, votre organisme de certification vous indiquera les dates qui s'appliquent, et la transition se fait souvent à l'occasion d'un audit de renouvellement.

1. Définir le périmètre : quels traitements, quelles entités, et pour chacun, êtes-vous responsable de traitement, sous-traitant, ou les deux ?
2. Partir du registre : le registre des traitements exigé par le RGPD donne l'inventaire de départ.
3. Apprécier les risques pour l'organisme et pour les personnes, en vous appuyant sur les AIPD déjà menées.
4. Choisir les mesures de référence applicables et justifier les exclusions, comme la déclaration d'applicabilité d'ISO 27001.
5. Faire fonctionner le système : rôles, formation, gestion des demandes d'exercice des droits, gestion des violations, contrôle des sous-traitants.
6. Auditer et améliorer : audit interne, revue de direction, actions correctives, puis audit de certification.

Notre article sur la mise en conformité détaille la logique commune à ces démarches. Pour tenir votre registre, mener vos AIPD et évaluer vos prestataires dans un même outil, voyez le logiciel RGPD.