Your privacy, proven on paper with ISO 27701.
L’ISO 27701 est la norme internationale pour la gestion de la confidentialité. Il s’agit d’un système de management qui démontre que votre organisation traite les données personnelles de manière structurée et démontrable.
- Reconnaissance internationale
- Auditable
- Certificat autonome
Qu'est-ce que l'ISO27701?
L’ISO 27701 est la norme internationale pour un système de management des informations relatives à la vie privée, ou « PIMS » en abrégé. Là où une politique de confidentialité classique décrit ce qu’une organisation doit faire, un PIMS va plus loin : il prouve que vous le faites réellement.
En termes simples, une politique de confidentialité est un document relativement simple. Un PIMS, en revanche, est un système de management doté de processus, de contrôles et d’un suivi démontrable. Nous constatons souvent que les organisations dotées de processus de confidentialité matures mettent en place un PIMS. Lors d’un audit de certification, des documents de politique bien rédigés ne suffisent pas à eux seuls. Vous devez être en mesure de prouver que ces politiques sont suivies dans la pratique et font partie de la culture de l’organisation.
L’ISO 27701 est un cadre qui peut vous aider à vous lancer dans cette démarche.
Nouveau en 2025 : l'ISO 27701 devient autonome.
Jusqu’en 2025, l’ISO 27701 était liée à l’ISO 27001, la norme relative à la sécurité de l’information. Cela signifiait que la confidentialité et la protection des données relevaient du cadre plus large de la sécurité, ce qui ne reflétait pas la réalité. Une organisation peut obtenir d’excellents résultats en matière de sécurité tout en présentant de graves lacunes en matière de protection des données. L’inverse est tout aussi vrai.
C’est pourquoi la norme a été entièrement révisée en octobre 2025 : l’ISO 27701 est désormais une norme totalement indépendante. Vous n’avez plus besoin d’un certificat ISO 27001 pour obtenir l’ISO 27701.
Qui délivre la certification ?
L’ISO 27701 est une norme certifiable, dont les audits sont réalisés par des organismes de certification accrédités. En Belgique, ces organismes sont accrédités par BELAC, l’organisme national d’accréditation. L’outil de recherche BELAC fournit un aperçu actualisé des organismes autorisés à réaliser des audits ISO 27701. Ceux-ci évaluent de manière indépendante si votre gestion de la confidentialité répond aux exigences de la norme.
CRANIUM ne réalise pas lui-même l’audit externe, mais nous vous accompagnons en coulisses. Nous vous guidons et vous préparons à chaque étape, afin que vous entriez dans la salle d’audit sans surprise.
Pour qui l'ISO27701 est-elle pertinente ?
L’ISO 27701 est pertinente pour toute organisation qui traite des données personnelles. Dans la pratique, cependant, certains secteurs et contextes tirent une valeur particulière de cette norme.
01 - Développeurs de logiciels et prestataires de services.
Les organisations qui fournissent des logiciels ou des services à de grands clients, tels que des multinationales ou des organismes publics, sont de plus en plus confrontées à des exigences de conformité strictes. Un certificat ISO 27701 montre que, quel que soit le rôle que vous jouez dans le traitement des données personnelles, vous le faites correctement. Cela renforce la confiance et peut faire la différence dans le cadre d’un appel d’offres.
02 - Soins de santé et technologie de la santé.
03 - Instituts de recherche et entreprises de données.
04 - Organisations actives à l'international.
05 - Qu'en est-il des petites organisations ?
À quoi ressemble un parcours vers l'ISO 27701 ?
Un parcours vers l’ISO 27701 suit une structure définie, mais se présente différemment pour chaque organisation. Le périmètre, le secteur et le niveau de maturité déjà atteint en matière de confidentialité influencent tous l’intensité du processus.
De manière générale, vous traversez les phases suivantes :
- Définir le contexte et le périmètre de votre organisation
- Établir un inventaire des données personnelles que vous traitez
- Analyser les risques
- Élaborer des mesures et des politiques
- Organiser une conformité démontrable
- Audit interne et revue de direction
- Audit de certification externe
Point important à savoir : l’ISO 27701 fonctionne selon le cycle bien connu Plan-Do-Check-Act. La certification n’est pas un aboutissement, mais le début d’un processus d’amélioration continue.
Pourquoi choisir l'ISO 27701 ?
Obtenir un certificat demande du temps et des efforts. Qu’est-ce que cela apporte ?
-
Une confiance que vous pouvez démontrer
Pour de nombreuses organisations, la confidentialité reste une promesse abstraite. Avec un certificat ISO 27701, vous rendez cette promesse concrète et visible. Vous montrez à vos clients, partenaires et fournisseurs que vous ne vous contentez pas de prendre les données personnelles au sérieux, mais que cela a également été vérifié de manière indépendante. C'est un signal fort, en particulier dans les secteurs où les données personnelles sensibles occupent une place centrale.
-
Un avantage dans les appels d'offres.
De plus en plus d'organisations exigent une preuve d'une gestion saine de la confidentialité dans le cadre des appels d'offres. Un certificat ISO 27701 vous donne un avantage sur les concurrents qui ne peuvent pas fournir cette preuve. La norme n'est pas encore une exigence partout, mais ceux qui prennent les devants se positionnent favorablement pour le jour où elle le deviendra.
-
Une structure qui porte ses fruits en interne.
La mise en place d'un PIMS vous oblige à obtenir une vision claire des données personnelles que vous traitez, de leur durée de conservation, des personnes qui y ont accès et des risques encourus. Cet exercice a une valeur qui dépasse le certificat lui-même. Les organisations qui prennent ce processus au sérieux découvrent presque toujours des angles morts qu'elles avaient jusque-là négligés.
-
Applicable à l'international.
Le RGPD s'applique au sein de l'Europe et aux organisations proposant des services ou des biens à des personnes en Europe. Mais pour les organisations également actives en dehors de l'UE, l'ISO 27701 offre un cadre reconnu à l'échelle internationale permettant d'appliquer la gestion de la confidentialité de manière cohérente. Vous n'aurez pas besoin de réexpliquer votre approche à chaque nouveau partenaire ou client international. Et si vous détenez déjà un certificat ISO 27001, vous pouvez vous appuyer sur les processus déjà mis en place.
-
Une tranquillité d'esprit en cas de contrôle réglementaire.
Un certificat ne garantit pas que les autorités ne frapperont jamais à votre porte, et il ne remplace certainement pas la conformité au RGPD. Mais il montre que votre gestion de la confidentialité est structurellement ancrée. Vous serez en mesure de démontrer ce que vous faites, et cela peut faire toute la différence.
Nos spécialistes.
Marja Lubbers
Business Manager & Principal Privacy Consultant
Gwenna Chavatte
Principal Privacy & Digital Law Consultant
SIMON GEENS
Senior Privacy & Digital Law Consultant
Questions fréquemment posées
Quelle est la différence entre l'ISO 27701 et l'ISO 27001 ?
L’ISO 27001 concerne la sécurité de l’information : protéger les données contre les accès non autorisés, la perte ou l’utilisation abusive. Notre organisation sœur Cingulum est spécialisée dans ce domaine et peut vous accompagner vers l’obtention de ce certificat.
L’ISO 27701 concerne la confidentialité : la manière dont votre organisation traite les données personnelles au sens large, y compris les bases légales, les durées de conservation et les droits des personnes concernées. L’ISO 27701 était auparavant une extension de l’ISO 27001, mais depuis la révision de 2025, il s’agit d’une norme totalement indépendante. Vous n’avez pas besoin d’un certificat ISO 27001 pour obtenir l’ISO 27701.
Cela dit, il existe un chevauchement entre les deux normes. Toutes deux reposent sur une structure de système de management similaire et nécessitent des processus tels que la gestion des risques, les audits internes et les revues de direction. Si vous détenez déjà un certificat ISO 27001, vous disposez déjà de cette base : vous savez comment cartographier les risques, élaborer des politiques et démontrer la conformité. Pour l’ISO 27701, vous vous appuyez sur cette base en y ajoutant des exigences spécifiques à la confidentialité, telles que le suivi des bases légales de traitement, des durées de conservation et des droits des personnes concernées. C’est pourquoi l’ISO 27701 constitue souvent une étape suivante accessible pour les organisations détenant un certificat ISO 27001, plutôt qu’une démarche entièrement nouvelle.
Le certificat ISO 27701 équivaut-il à la conformité au RGPD ?
Dois-je déjà être certifié ISO 27001 pour obtenir l'ISO 27701 ?
L'ISO 27701 est-elle également intéressante pour les petites organisations ?
Quels rôles sont généralement impliqués dans un parcours ISO 27701 ?
Combien de temps dure un parcours de mise en œuvre ?
L'ISO 27701 est-elle utile pour les activités internationales ?
L'ISO 27701 est-elle déjà exigée dans les appels d'offres ?
Passez à l'action dès aujourd'hui.
Lancez-vous dans votre certification ISO 27701 dès aujourd’hui. Contactez notre équipe pour obtenir conseils et accompagnement.
