Votre organisation a sécurisé ses informations avec ISO 27001, mais sait-elle démontrer qu’elle traite correctement les données personnelles ? C’est précisément le rôle d’ISO/IEC 27701, la norme internationale consacrée au système de management de la protection de la vie privée (PIMS). Depuis la publication de sa deuxième édition en octobre 2025, elle n’est plus une simple extension d’ISO 27001 : elle peut désormais être certifiée de façon autonome. Ce guide fait le point sur ce qu’elle exige, ce qu’elle apporte et la manière de s’y préparer.
- ISO/IEC 27701 définit les exigences d’un PIMS pour les organisations qui traitent des données personnelles, qu’elles soient responsables de traitement ou sous-traitants.
- L’édition 2025 remplace celle de 2019 et devient une norme de système de management autonome : la certification ISO 27001 n’est plus un prérequis.
- Elle facilite la démonstration de conformité au RGPD, sans constituer en elle-même une certification RGPD.
- Les certificats délivrés selon l’édition 2019 doivent migrer vers l’édition 2025 avant la fin de la période de transition.
Qu’est-ce qu’ISO/IEC 27701 ?
Le titre complet de la norme est « Sécurité de l’information, cybersécurité et protection de la vie privée — Systèmes de management de la protection de la vie privée — Exigences et recommandations ». Elle spécifie les exigences pour établir, mettre en œuvre, maintenir et améliorer en continu un PIMS (Privacy Information Management System), et fournit des recommandations pour les appliquer. Elle s’adresse aux responsables de traitement et aux sous-traitants de données à caractère personnel (DCP), quels que soient leur taille et leur statut : entreprises, organismes publics ou associations.
Concrètement, un PIMS organise la protection des données personnelles comme un système de management : politique, rôles et responsabilités, appréciation des risques, mesures de contrôle, indicateurs, audits internes, revue de direction et amélioration continue. C’est cette logique, familière aux organisations certifiées ISO, qui en fait un outil de pilotage plutôt qu’un simple exercice documentaire.
Ce qui change avec l’édition 2025
Publiée en 2019, la première édition était conçue comme une extension d’ISO/IEC 27001 et 27002 : impossible de mettre en place un PIMS sans SMSI. L’édition 2025 rompt avec ce modèle.
| Aspect | Édition 2019 | Édition 2025 |
|---|---|---|
| Statut | Extension d’ISO 27001 / 27002 | Norme de système de management autonome |
| Prérequis ISO 27001 | Oui | Non — intégration possible mais facultative |
| Exigences de management | Complément aux clauses d’ISO 27001 | Clauses 4 à 10 complètes, selon la structure harmonisée ISO |
| Mesures de contrôle | Réparties dans les chapitres 6, 7 et 8 | Regroupées en annexe A : A.1 (responsables de traitement), A.2 (sous-traitants), A.3 (sécurité commune) |
| Recommandations | Intégrées aux chapitres | Annexe B dédiée, en miroir de l’annexe A |
Selon les analyses publiées, l’annexe A compte 78 mesures : 31 pour les responsables de traitement, 18 pour les sous-traitants et 29 mesures de sécurité communes. La norme comprend aussi une table de correspondance entre les éditions 2019 et 2025 (annexe F), utile pour préparer la migration. Côté organismes de certification, ISO/IEC 27706:2025 remplace ISO/IEC TS 27006-2:2021.
ISO 27701, ISO 27001 et RGPD : comment s’articulent-ils ?
Avec ISO 27001
ISO 27001 protège la confidentialité, l’intégrité et la disponibilité de l’information de l’organisation. ISO 27701 protège les personnes dont les données sont traitées. Les deux se recouvrent, mais ne se confondent pas. Grâce à la structure harmonisée, une organisation déjà certifiée ISO 27001 peut intégrer son PIMS à son SMSI existant et mutualiser audits internes, revue de direction et gestion documentaire. DNV souligne que la nouvelle édition est conçue pour s’intégrer avec ISO 9001, ISO/IEC 27001 et ISO/IEC 42001.
Avec le RGPD
ISO 27701 est une norme internationale, pas un texte européen. Elle couvre néanmoins des thèmes centraux du RGPD : bases légales, information des personnes, exercice des droits, encadrement des sous-traitants, transferts, analyses d’impact. Une annexe informative (annexe D) propose une correspondance avec le RGPD. Elle sert d’aide à la planification, pas d’attestation de conformité.
Responsable de traitement ou sous-traitant : quelles mesures ?
La norme distingue clairement les deux rôles. Beaucoup d’organisations cumulent les deux selon les traitements : il faut donc les identifier traitement par traitement.
| Rôle | Exemples de thèmes couverts |
|---|---|
| Responsable de traitement (A.1) | Finalités et bases légales, consentement, information des personnes, exercice des droits, analyses d’impact, choix et encadrement des sous-traitants, minimisation et durées de conservation, transferts |
| Sous-traitant (A.2) | Respect des instructions du client, assistance au client pour ses obligations, gestion des sous-traitants ultérieurs, restitution ou suppression des données en fin de contrat, transparence sur les transferts |
| Commun (A.3) | Mesures de sécurité de l’information appliquées aux données personnelles |
Les bénéfices pour votre organisation
- Un cadre unique pour piloter la conformité RGPD et les réglementations comparables, au lieu d’actions dispersées.
- Un argument commercial pour les prestataires SaaS, cloud et services gérés, de plus en plus interrogés sur leurs pratiques lors des appels d’offres et des audits fournisseurs.
- Une démonstration de responsabilité fondée sur un audit indépendant plutôt que sur une auto-déclaration.
- Des synergies avec un SMSI ISO 27001 existant, sans en dépendre depuis 2025.
Les pièges les plus fréquents
- Un périmètre mal défini : certifier un périmètre trop étroit, ou ne pas identifier les traitements pour lesquels l’organisation est sous-traitante.
- Un registre des traitements incomplet : sans cartographie fiable des données, l’appréciation des risques reste théorique.
- Confondre risque sécurité et risque vie privée : le PIMS doit évaluer les conséquences pour les personnes concernées, pas seulement pour l’organisation.
- Un PIMS isolé du DPO et des métiers : la protection des données ne peut pas reposer uniquement sur l’équipe sécurité.
- Démarrer sur l’édition 2019 : tout nouveau projet doit viser directement l’édition 2025.
Le parcours de certification
La certification est délivrée par un organisme accrédité, au terme d’un audit en deux étapes : une revue de la conception du système (étape 1), puis une évaluation de sa mise en œuvre effective (étape 2). Des audits de surveillance périodiques suivent, jusqu’au renouvellement du certificat.
Organisations déjà certifiées selon l’édition 2019
La période de transition est fixée par les organismes d’accréditation. Au Royaume-Uni, UKAS indique que les certifications selon l’édition 2019 cesseront d’être valides au 1er novembre 2028, et que les nouvelles demandes reçues après le 30 avril 2026 sont évaluées selon l’édition 2025. Vérifiez le calendrier applicable auprès de votre organisme de certification et commencez par une analyse d’écarts entre les deux éditions.
Feuille de route : votre PIMS en sept étapes
- ImmédiatCadrer le périmètre et les rôles
Identifiez les entités, activités et traitements concernés, et déterminez pour chacun si vous êtes responsable de traitement, sous-traitant ou les deux.
- ImmédiatCartographier les données personnelles
Consolidez le registre des traitements : catégories de données et de personnes, finalités, bases légales, durées de conservation, destinataires, transferts hors UE.
- Court termeRéaliser une analyse d’écarts
Comparez vos pratiques aux clauses 4 à 10 et à l’annexe A de l’édition 2025. Si vous disposez d’un SMSI ISO 27001, identifiez ce qui peut être mutualisé.
- Court termeApprécier et traiter les risques vie privée
Évaluez les risques pour les personnes concernées, choisissez les mesures, rédigez la déclaration d’applicabilité et le plan de traitement des risques.
- Court termeMettre en œuvre les mesures et les processus
Gestion des droits des personnes, analyses d’impact, encadrement contractuel des sous-traitants, gestion des violations de données, sensibilisation des équipes.
- Moyen termePiloter et auditer
Définissez des indicateurs, conduisez un audit interne complet et une revue de direction, puis traitez les non-conformités.
- Moyen termePasser l’audit de certification
Choisissez un organisme accrédité pour ISO/IEC 27701:2025, planifiez les étapes 1 et 2, puis organisez le maintien du système jusqu’aux audits de surveillance.
Avec l’édition 2025, ISO 27701 devient un levier autonome pour structurer et prouver votre conformité en matière de données personnelles. Pour les organisations déjà certifiées ISO 27001, c’est aussi l’occasion de capitaliser sur un SMSI existant plutôt que de construire un dispositif parallèle.
Nos équipes vous accompagnent sur votre SMSI & ISO 27001 et sur la Protection & Gouvernance des Données. Pour savoir où vous en êtes, commencez par un Diagnostic Privacy.
- ISO/IEC 27701:2025 — Privacy information management systems — Requirements and guidanceISO — octobre 2025
- F659 — Transition Requirements and Gap Analysis – ISO/IEC 27701UKAS — 2026
- Revision of ISO/IEC 27701DNV
- ISO/IEC 27701:2025 TransitionPECB
- ISO/IEC 27701:2025AFNOR Éditions
- ISO 27701: transition from 2019 to 2025ISMS.online
- ISO 27701:2025 Annex D — GDPR mappingISMS.online
