Maîtrise documentaire
Versions, approbations et diffusion avec accusé de lecture.
Logiciel pour ISO 27701
ISO 27701 sans classeurs ni surprises
Traitements, analyses d’impact, droits des personnes, violations de données et sous-traitants réunis dans un système de protection de la vie privée auditable et relié au RGPD.
Ce que c’est et quelle édition est en vigueur
L’ISO/IEC 27701 est la norme internationale du système de management de la protection de la vie privée (PIMS), destinée aux responsables du traitement et aux sous-traitants de données à caractère personnel. Sa deuxième édition, d’octobre 2025, annule celle de 2019 et en fait une norme de système de management autonome : elle n’est plus une extension de l’ISO/IEC 27001 et peut être mise en œuvre et certifiée sans elle, tout en restant conçue pour s’intégrer au système de sécurité de l’information et en comportant une table de correspondance avec le RGPD.
- Édition en vigueur
- ISO/IEC 27701:2025 Deuxième édition, publiée en octobre 2025 ; elle annule et remplace celle de 2019
- Changement principal
- Norme de système de management autonome L’édition de 2019 avait été rédigée comme une extension de l’ISO/IEC 27001 et de l’ISO/IEC 27002
- À qui elle s’adresse
- Responsables du traitement et sous-traitants De toute taille, publics, privés ou à but non lucratif
- Structure
- Chapitres 4 à 10 et annexes A à F Annexes A (mesures) et B (recommandations) normatives ; C à F, correspondances avec l’ISO/IEC 29100, le RGPD, l’ISO/IEC 27018 et 29151, et l’édition de 2019
- Lien avec le RGPD
- Annexe D informative Correspondance avec le règlement (UE) 2016/679 ; le certificat ne remplace pas la conformité légale
- Comité
- ISO/IEC JTC 1/SC 27 Sécurité de l’information, cybersécurité et protection de la vie privée
Connecté à votre cloud documentaire
Publiez et versionnez vos documents en vous connectant à OneDrive, Google Drive ou SharePoint, sans dupliquer les dossiers.
Audits
Programme annuel, checklists par norme et constats reliés à des actions.
Non-conformités
Cause racine, action, responsable, délai et vérification de l’efficacité.
Indicateurs
Objectifs par processus alimentés par des données d’exploitation réelles.
Exigences légales
Registre des exigences légales et autres, avec validité et évaluation de la conformité par norme.
Actions correctives
Cause racine, action, responsable, délai et vérification de l’efficacité reliés à la non-conformité.
Actions d’amélioration
Des opportunités d’amélioration avec responsable et suivi, au-delà de la correction de ce qui a déjà échoué.
Revue de direction
Un rapport prégénéré avec indicateurs, audits et non-conformités, prêt pour la réunion.
Traitements et base légale
Chaque activité de traitement avec sa finalité, ses catégories de données, ses destinataires et sa durée de conservation.
Droits des personnes
Demandes d’accès, d’effacement ou d’opposition avec leur délai d’un mois surveillé et la réponse enregistrée.
Violations de données
Enregistrement de chaque violation avec la décision de notifier et le compte à rebours des 72 heures en vue.
Sous-traitants
Contrats, sous-traitants ultérieurs autorisés et revue périodique de chaque prestataire qui traite des données pour le compte de l’entreprise.
Exigences couvertes
Ce qu’il vous apporte pour ISO 27701
- Registre des activités de traitement avec leur base légale
- Appréciation des risques et analyse d’impact sur la vie privée
- Demandes d’exercice des droits traitées dans les délais
- Registre et notification des violations de données
- Contrats et contrôle des sous-traitants et sous-traitants ultérieurs
- Déclaration d’applicabilité des mesures de protection de la vie privée
Normes couvertes
Choisissez votre norme et voyez ce qu’elle vous apporte
HACCP
Analyse des dangers et points critiques
Agroalimentaire
UNE 73401
Assurance qualité nucléaire
Qualité · nucléaire
IATF 16949
Automobile
Automobile
UNE 19602
Compliance fiscale
Compliance · fiscalité
ISO 13485
Dispositifs médicaux
Santé
SQAS2022
Évaluation chimique et logistique
Qualité · chimie et logistique
ISO 22716
Fabrication cosmétique
Qualité · cosmétique
ISO 14064
Gaz à effet de serre
Environnement · empreinte carbone
ISO 20000
Gestion des services informatiques
Qualité · services informatiques
ISO 17025
Laboratoires d’essais et d’étalonnage
Qualité · laboratoires
ISO 15189
Laboratoires de biologie médicale
Qualité · santé
ISO 9001
Management de la qualité
Qualité · tous secteurs
Développement durable
Management du développement durable
ESG
ISO 14001
Management environnemental
Environnement
SGE 21
Management éthique et responsable
Responsabilité sociale
BRCGS
Norme mondiale de sécurité des aliments
Agroalimentaire
ISO 27701
Protection de la vie privée
Cybersécurité
RGPD
Protection des données
Juridique · protection des données
ISO 26000:2010
Responsabilité sociétale
Responsabilité sociétale · guide
ISO 45001
Santé et sécurité au travail
SST
ENS
Schéma national de sécurité (ENS)
Sécurité · secteur public
ISO 27001
Sécurité de l’information
Cybersécurité
IFS Food
Sécurité des aliments
Agroalimentaire
GMP+
Sécurité des aliments pour animaux
Agroalimentaire · alimentation animale
ISO 22000
Sécurité des denrées alimentaires
Agroalimentaire
FSSC 22000
Système de management de la sécurité des denrées alimentaires
Agroalimentaire
ISO 19600
Systèmes de management de la compliance
Compliance · guide
ISO 37301
Systèmes de management de la compliance
Compliance
Modèles et enregistrements
Les enregistrements ISO 27701, expliqués un par un
Le chapitre de la norme ISO 27701 qui exige chaque enregistrement, les champs nécessaires, un exemple renseigné et ce que relève habituellement l’auditeur.
Registre des activités de traitement
Ce que doit contenir le registre des activités de traitement d’un PIMS ISO 27701 et de l’art. 30 du RGPD…
Inventaire des données personnelles
Bâtir l’inventaire des données personnelles d’un PIMS ISO 27701 : où sont les données, dans quels systèmes…
Appréciation des risques pour la vie privée
Comment documenter l’appréciation des risques pour la vie privée de l’ISO 27701 : critères, risque pour les…
Déclaration d’applicabilité
Ce que doit contenir la déclaration d’applicabilité d’un PIMS ISO 27701 : mesures de l’Annexe A…
Analyse d’impact sur la vie privée
Ce que doit contenir une analyse d’impact sur la vie privée selon l’ISO 27701 et l’art. 35 du RGPD…
Registre des consentements
Comment enregistrer les consentements pour les prouver selon l’ISO 27701 et l’art. 7.1 du RGPD : qui, quand…
Demandes d’exercice des droits
Comment enregistrer les demandes d’accès, de rectification, d’effacement ou d’opposition selon l’ISO 27701…
Registre des violations
Ce que contient le registre des violations de données selon l’art. 33.5 du RGPD et l’ISO 27701 : faits…
Contrat de sous-traitance
Contenu du contrat de sous-traitance selon l’art. 28.3 du RGPD et l’ISO 27701 : instructions, sous-traitants…
Vocabulaire
Les termes, définis avec précision
- PIMS
- Système de management de la protection de la vie privée : l’ensemble des politiques, processus, mesures et enregistrements par lequel un organisme encadre les données personnelles qu’il traite et démontre qu’il le fait correctement.
- Responsable du traitement
- Celui qui détermine à quelles fins et de quelle manière les données personnelles sont traitées. La norme le désigne comme PII controller et lui consacre un groupe de mesures propre.
- Sous-traitant
- Celui qui traite des données personnelles pour le compte du responsable et sur ses instructions, comme un prestataire de paie ou d’hébergement. Dans la norme, PII processor.
- Données à caractère personnel (PII)
- Terme employé par la norme (PII, ou DCP dans sa version française) pour ce que le RGPD appelle données à caractère personnel : toute information qui identifie ou peut identifier une personne physique.
- Analyse d’impact (AIPD)
- Examen préalable d’un traitement susceptible d’engendrer un risque élevé pour les personnes, avec les mesures destinées à le réduire. Le RGPD l’exige dans ces cas à son article 35.
- Déclaration d’applicabilité
- Document qui énumère les mesures de l’Annexe A, indique celles qui sont appliquées et justifie celles qui sont exclues. C’est la pièce qui relie l’appréciation des risques à ce qui est réellement fait.
Questions fréquentes
Ce que l’on nous demande avant de commencer
Quelle est l’édition en vigueur de la norme ?
La version en vigueur est ISO/IEC 27701:2025. Lorsque l’organisme publie une nouvelle édition, une période de transition s’ouvre ; à son terme, les certificats émis selon l’édition précédente ne sont plus valables.
Est-ce utile si nous sommes déjà certifiés ?
Oui. Le système existant — processus, documents, enregistrements, historique des audits — est repris tel quel et reste opérationnel dès le premier jour. Rien à repenser, aucun cycle de certification à recommencer.
L’auditeur accepte-t-il les enregistrements numériques ?
Oui, dès lors qu’ils sont traçables, maîtrisés et qu’on peut démontrer qui a fait quoi et quand. Aucune norme n’exige le papier ; toutes exigent une preuve fiable, et un enregistrement électronique bien maîtrisé la fournit mieux qu’un classeur.
Puis-je la combiner avec d’autres normes ?
Oui, et c’est recommandé. La structure commune de l’Annexe SL permet un système intégré qui partage cartographie des processus, maîtrise documentaire, audits internes, non-conformités et indicateurs entre ISO 27701 et les autres référentiels, en ne gardant séparé que ce qui est propre à chacun.
Combien de temps pour avoir un système prêt à être audité ?
Cela dépend du point de départ. Une organisation qui travaille déjà avec des procédures écrites est généralement prête en deux ou trois mois ; une organisation qui part de zéro a besoin de davantage, et le goulot d’étranglement n’est presque jamais l’outil mais la disponibilité des personnes qui connaissent les processus.
Que devient la documentation que nous avons déjà ?
Elle est migrée. Les procédures, formulaires et enregistrements existants sont chargés avec leur version et leur approbateur : l’historique n’est pas perdu et le système démarre avec la mémoire que l’organisation possédait déjà.
L’auditeur peut-il consulter directement le système ?
Oui. On lui ouvre un accès en lecture seule, avec le périmètre choisi et une date d’expiration. C’est plus pratique pour les deux parties que de préparer un dossier de captures d’écran et d’exports.
Quelle différence entre une non-conformité majeure et une mineure ?
La majeure compromet la capacité du système à satisfaire une exigence — absence totale d’un processus requis, manquement systématique, défaillance ayant un impact sur le produit — et empêche généralement la certification tant qu’elle n’est pas levée. La mineure est un écart ponctuel que l’on corrige avec un plan d’action.
Les indicateurs se calculent-ils tout seuls ?
Oui, à partir des données produites par les processus eux-mêmes. C’est la différence entre un tableau de bord qui reflète la réalité et un tableur que quelqu’un remplit la semaine précédant la revue de direction.
Est-ce adapté à plusieurs sites ou sociétés ?
Oui. Le modèle est multi-sociétés et multi-sites : on partage ce qu’il est logique de partager et on sépare ce qui est propre à chaque implantation, y compris le périmètre du certificat s’il diffère de l’une à l’autre.
Préparez votre audit ISO 27701
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
ISO 27001 sans classeurs ni surprises
Inventaire des actifs, analyse des risques et mesures de l’Annexe A avec leur statut et leur responsable.
Ce que votre responsable informatique va demander
Chiffrement en transit et au repos, droits par profil avec double authentification, journal d’audit…
RGPD · Protection des données
Parcours gratuit sur le RGPD : principes, droits des personnes, mesures de sécurité et violations de données…
ENS sans classeurs ni surprises
Les mesures de sécurité de l’Esquema Nacional de Seguridad pour les services et systèmes du secteur public…
Sources
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- ISO/IEC 27701:2025 — Systèmes de management de la protection de la vie privée. Exigences et recommandations ISO/IEC · Deuxième édition, octobre 2025
- ISO/IEC 27701:2019 — Extension d’ISO/IEC 27001 et d’ISO/IEC 27002 au management de la protection de la vie privée ISO/IEC · Première édition, août 2019 ; annulée en octobre 2025
- ISO/IEC 27001:2022 — Systèmes de management de la sécurité de l’information ISO/IEC · 25 octobre 2022
- Règlement (UE) 2016/679, règlement général sur la protection des données EUR-Lex · 27 avril 2016 ; applicable depuis le 25 mai 2018
Logiciel pour ISO 27701 — Protection de la vie privée
Kimobox est un logiciel pour ISO 27701 qui digitalise les exigences de la norme : registre des activités de traitement avec leur base légale, appréciation des risques et analyse d’impact sur la vie privée, demandes d’exercice des droits traitées dans les délais, registre et notification des violations de données, avec une traçabilité complète et des preuves à disposition de l’auditeur.
La plateforme permet de faire vivre un système de management intégré qui combine ISO 27701 avec d’autres normes ISO et protocoles sectoriels, en partageant cartographie des processus, maîtrise documentaire, audits internes, non-conformités et indicateurs.