Référentiel · International

ISO 27701Le standard international pour la protection des données personnelles et la conformité RGPD

L’extension d’ISO 27001 dédiée à la protection de la vie privée : un système de management certifiable pour démontrer votre conformité au RGPD.

Contactez nos experts
Une norme internationale

Qu’est-ce que l’ISO 27701 ?

Le RGPD impose aux organisations de démontrer leur conformité, pas seulement de la déclarer. C’est le principe d’accountability, inscrit à l’article 5.2 du règlement : le responsable de traitement est responsable du respect des principes relatifs au traitement des données à caractère personnel et est en mesure de démontrer ce respect. Mais comment prouver concrètement cette conformité à des clients, des partenaires, des donneurs d’ordres ou des régulateurs ?

C’est précisément la valeur ajoutée de la norme ISO/IEC 27701. Publiée en août 2019 et mise à jour en octobre 2025, elle définit un Système de Management des Informations relatives à la Vie Privée (PIMS), extension naturelle de l’ISO 27001, qui fournit un cadre structuré et certifiable pour la protection des données personnelles. La CNIL la considère favorablement comme un outil pertinent pour structurer la démarche de conformité RGPD, et Bureau Veritas, AFNOR et LRQA la proposent comme certification combinée avec ISO 27001.

Cette page vous présente les exigences clés de l’ISO 27701, son articulation avec le RGPD et l’ISO 27001, et les étapes concrètes pour engager votre certification.

L’ISO/IEC 27701 est une norme internationale qui définit les exigences et les lignes directrices pour établir, mettre en œuvre, maintenir et améliorer en continu un Système de Management des Informations relatives à la Vie Privée (PIMS). Elle s’adresse à toutes les organisations traitant des données personnelles, qu’elles agissent en tant que responsables de traitement ou sous-traitants au sens du RGPD.

La norme repose sur trois piliers fondamentaux : l’approche par les risques, l’amélioration continue et l’audit. Elle fournit une annexe dédiée établissant la correspondance entre ses contrôles et les articles du RGPD, ce qui en fait un outil opérationnel directement utilisable pour structurer et démontrer la conformité réglementaire.

Comme le précise la CNIL, l’ISO 27701 permet aux organismes d’améliorer leur maturité en matière de protection des données personnelles et de démontrer leur conformité aux exigences légales et réglementaires. Elle inclut des exigences sur la gestion des risques, la désignation d’un responsable pour la protection de la vie privée, la sensibilisation des personnels, et les principes de privacy by design et by default.

La version 2025 : une norme désormais autonome

En octobre 2025, l’ISO a publié la version révisée de la norme, ISO/IEC 27701:2025. Cette mise à jour majeure apporte plusieurs évolutions structurantes :

  • Autonomie complète : la version 2025 est désormais une norme indépendante, déployable sans nécessiter la mise en œuvre préalable de l’ISO 27001 ou de l’ISO 27002, même si leur combinaison reste la démarche la plus efficace
  • Alignement avec ISO 27001:2022 et ISO 27002:2022 : la structure harmonisée de haut niveau facilite l’intégration avec d’autres normes de systèmes de management
  • Contrôles rationalisés : l’Annexe A de la version 2025 comprend 34 contrôles pour les responsables de traitement et 21 contrôles pour les sous-traitants, réorganisés selon les quatre thèmes d’ISO 27002:2022
  • Prise en compte des nouveaux environnements : cloud, API, services externalisés et intelligence artificielle sont explicitement intégrés
  • Documentation renforcée : des exigences plus précises sur les registres et les preuves de conformité

Les organisations certifiées ISO 27701:2019 disposent d’une période de transition de 36 mois à compter d’octobre 2025 pour migrer vers la version 2025.

ISO 27701 et RGPD : une complémentarité structurante

L’ISO 27701 n’est pas une certification au sens de l’article 42 du RGPD, et elle ne remplace pas la conformité réglementaire. Mais elle constitue aujourd’hui l’un des meilleurs standards internationaux pour la structurer et la démontrer. La CNIL la reconnaît comme un outil pertinent pour répondre au principe d’accountability du RGPD.

La norme couvre explicitement les principales obligations du règlement : registre des traitements (article 30), information des personnes (articles 12 à 14), gestion des droits (articles 15 à 22), analyses d’impact (article 35), clauses contractuelles avec les sous-traitants (article 28), transferts internationaux, et notification des violations de données (articles 33 et 34).

Décryptage

Les exigences clés de l’ISO 27701

  1. L’intégration à un SMSI (ISO 27001)

    Dans sa version 2019, l’ISO 27701 nécessitait impérativement une certification ISO 27001 préalable. La version 2025 lève cette contrainte formelle, mais l’intégration avec un SMSI ISO 27001 reste la démarche la plus efficace : elle permet de mutualiser les processus de gouvernance, de gestion des risques, d’audit interne et de revue de direction entre les deux systèmes.

    Environ 60 % des contrôles de l’ISO 27701 sont mutualisables avec l’ISO 27001, ce qui réduit significativement l’effort de mise en œuvre pour les organisations déjà certifiées ISO 27001.

  2. Les contrôles complémentaires du PIMS

    La norme définit des contrôles spécifiques à la protection des données personnelles, répartis entre les responsables de traitement et les sous-traitants. Ces contrôles couvrent notamment :

    • La définition et la documentation des finalités de traitement
    • La mise en œuvre des principes de minimisation des données et de limitation de la conservation
    • La gestion des droits des personnes concernées (accès, rectification, effacement, portabilité, opposition)
    • La mise en œuvre de la privacy by design et de la privacy by default
    • La gestion des consentements et des bases légales
    • La gestion des transferts internationaux de données

  3. La désignation d’un responsable de la protection des données

    L’ISO 27701 impose la désignation d’un point de contact et d’un responsable de la gouvernance et de la protection de la vie privée au sein de l’organisation. Ce rôle correspond au DPO au sens du RGPD. La CNIL précise que la désignation d’un DPO est obligatoire dans trois cas (autorités publiques, suivi régulier et systématique à grande échelle, traitement de données sensibles à grande échelle) et fortement recommandée dans tous les autres cas.

  4. L’identification des rôles : responsable de traitement et sous-traitant

    L’ISO 27701 distingue explicitement les obligations applicables aux responsables de traitement (data controllers) et aux sous-traitants (data processors). La CNIL rappelle que la qualification des acteurs dépend des faits et non d’un choix contractuel : un sous-traitant qui détermine les finalités du traitement peut être requalifié en responsable de traitement.

  5. Le registre des traitements aligné RGPD

    L’organisation doit tenir un registre des activités de traitement conforme à l’article 30 du RGPD, documentant pour chaque traitement les finalités, les catégories de données et de personnes concernées, les destinataires, les durées de conservation, les transferts internationaux et les mesures de sécurité mises en place.

  6. La gestion des analyses d’impact (AIPD/DPIA)

    Pour les traitements susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes concernées, une analyse d’impact relative à la protection des données (AIPD) doit être réalisée avant la mise en œuvre du traitement. La CNIL met à disposition le logiciel open source PIA pour faciliter cette démarche.

  7. La gestion des transferts internationaux

    L’organisation doit identifier et encadrer tous les transferts de données personnelles vers des pays situés hors de l’Union européenne et de l’Espace Économique Européen, en s’appuyant sur les mécanismes prévus par le RGPD : décisions d’adéquation, clauses contractuelles types (CCT), ou règles d’entreprise contraignantes (BCR).

  8. La notification des violations de données

    L’organisation doit disposer d’une procédure formalisée pour détecter, évaluer et notifier les violations de données personnelles à la CNIL dans le délai de 72 heures imposé par l’article 33 du RGPD, et aux personnes concernées en cas de risque élevé.

Cartographie croisée

L’ISO 27701 face aux exigences transverses

Correspondance avec les 12 exigences communes aux référentiels cyber : chaque carte renvoie au comparatif détaillé de l’exigence.

9 obligations explicites et 3 exigences partielles sur les 12 familles d’exigences communes.

Obligation explicite Exigence partielle
Les échéances

Calendrier et actualité de l’ISO 27701

  1. Passé

    Publication de l’ISO/IEC 27701:2019

    La norme ISO/IEC 27701 est publiée en août 2019, deux ans après l’entrée en vigueur du RGPD. Elle répond à un besoin concret des organisations : disposer d’un cadre certifiable pour structurer leur conformité au règlement.

  2. Passé

    Publication de la norme EN 17926

    Un schéma de certification européen pour l’ISO 27701 est en cours de préparation, avec des affinements relatifs au contexte européen. La norme EN 17926, publiée en novembre 2023, constitue une étape dans cette direction.

  3. Passé

    Adoption croissante en Europe

    L’ISO 27701 connaît une adoption croissante en Europe comme preuve opérationnelle de conformité RGPD, notamment dans les secteurs financier, de la santé et des services numériques. Pour les sous-traitants B2B, elle devient un différenciateur dans les appels d’offres, demandée par les grands comptes au même titre que l’ISO 27001.

  4. Passé

    Publication de l’ISO/IEC 27701:2025

    La version révisée de la norme est publiée en octobre 2025. Elle est désormais autonome, alignée avec ISO 27001:2022 et ISO 27002:2022, et intègre les évolutions des environnements cloud et IA. Les organisations certifiées 27701:2019 disposent de 36 mois pour effectuer la transition.

  5. Audits de surveillance et renouvellement

    La certification ISO 27701 est valable trois ans, avec des audits de surveillance annuels. Les audits sont réalisés de façon combinée avec l’audit ISO 27001 par les organismes accrédités.

Les risques

Sanctions et risques

Une norme volontaire sans sanction légale directe

L’ISO 27701 est une norme volontaire : son absence n’est pas sanctionnée en tant que telle. En revanche, l’absence de conformité RGPD sous-jacente est sanctionnable par la CNIL, avec des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les violations les plus graves.

Un atout en cas de contrôle CNIL

La CNIL considère favorablement la certification ISO 27701 en cas de contrôle. Elle constitue une preuve tangible de la démarche d’accountability imposée par le RGPD, et peut être prise en compte dans l’appréciation des sanctions.

Un différenciateur commercial croissant

Pour les sous-traitants B2B, l’ISO 27701 devient un critère de sélection dans les appels d’offres et les questionnaires fournisseurs, au même titre que l’ISO 27001. Les grands comptes et les acteurs du secteur public l’exigent de plus en plus comme preuve des garanties offertes par leurs prestataires en matière de protection des données.

Votre feuille de route

Les étapes de mise en conformité et de certification ISO 27701

  1. Obtenir ou maintenir l’ISO 27001

    Même si la version 2025 de l’ISO 27701 est désormais autonome, l’intégration avec un SMSI ISO 27001 reste la démarche la plus efficace. Pour les organisations non encore certifiées ISO 27001, la démarche combinée ISO 27001 + ISO 27701 est recommandée dès le départ. Fidens accompagne les organisations dans cette double démarche grâce à une expertise reconnue sur les deux normes et des outils dédiés au pilotage du SMSI.

  2. Diagnostic et état des lieux

    Avant de s’engager dans la mise en œuvre du PIMS, il est essentiel de réaliser un diagnostic de la situation actuelle : cartographie des traitements de données personnelles, évaluation de la maturité de la gouvernance privacy, et identification des obligations légales applicables (RGPD, transferts internationaux, droits des personnes). Ce diagnostic permet de définir le périmètre du PIMS et d’alimenter directement le registre des traitements conforme à l’article 30 du RGPD.

  3. Analyse d’écart RGPD / ISO 27701

    Sur la base du diagnostic, une analyse d’écart permet d’évaluer la couverture des contrôles de l’ISO 27701 sur le périmètre PIMS défini, d’identifier les lacunes par rapport aux exigences de la norme et du RGPD, et de définir un plan d’action priorisé. Nos consultants vous aident à élaborer ce plan d’actions correctives, constituant une feuille de route claire pour maximiser vos chances d’obtenir la certification.

  4. Formaliser les procédures et mettre en œuvre le plan d’action

    L’organisation doit formaliser l’ensemble des procédures liées à la protection des données personnelles : gestion des droits des personnes, réalisation des AIPD, gestion des consentements, encadrement des transferts internationaux, et notification des violations de données. Cette étape s’appuie sur les outils de pilotage de la conformité développés par Fidens, notamment la solution APOS qui permet de centraliser, simplifier et piloter durablement la démarche.

  5. Intégrer le PIMS au SMSI

    Le PIMS doit être intégré au SMSI existant : un SoA (Statement of Applicability) commun couvrant les contrôles ISO 27001 et ISO 27701, une politique unique de sécurité et de protection des données, et une gouvernance unifiée sécurité/privacy. La certification ISO 27701 n’est pas une finalité mais une démarche continue : une fois obtenue, il est essentiel de maintenir les bonnes pratiques et d’améliorer en permanence le PIMS pour garantir sa conformité face à l’évolution des menaces et de la réglementation.

  6. Audit de certification combiné ISO 27001 + ISO 27701

    L’audit de certification est réalisé de façon combinée par un organisme accrédité : BSI, LRQA, Bureau Veritas, ou AFNOR Certification en France. AFNOR est également le premier organisme certificateur agréé par la CNIL pour délivrer la certification des compétences du DPO. L’audit comprend une phase documentaire et une phase terrain, suivies de la délivrance du certificat si la conformité est établie. Fidens vous accompagne tout au long de ce parcours, du diagnostic initial jusqu’à l’audit de certification, avec un suivi personnalisé à chaque étape.

Questions fréquentes

ISO 27701 en 4 questions

L’ISO 27701 remplace-t-elle la conformité RGPD ?

Non. L’ISO 27701 est un outil pour structurer et démontrer la conformité RGPD, pas un substitut. La certification ne remplace pas la conformité réglementaire mais la démontre de façon structurée et vérifiable. La CNIL la considère favorablement comme preuve d’accountability, mais une organisation certifiée ISO 27701 reste soumise à l’ensemble des obligations du RGPD.

Faut-il obligatoirement être certifié ISO 27001 pour obtenir la certification ISO 27701 ?

Depuis la publication de la version 2025 en octobre 2025, l’ISO 27701 est une norme autonome qui peut être certifiée indépendamment de l’ISO 27001. Cependant, l’intégration avec un SMSI ISO 27001 reste fortement recommandée : elle permet de mutualiser environ 60 % des contrôles et de réduire significativement l’effort de mise en œuvre et le coût de certification.

Quelle est la différence entre responsable de traitement et sous-traitant dans l’ISO 27701 ?

L’ISO 27701 distingue explicitement les contrôles applicables aux responsables de traitement, qui déterminent les finalités et les moyens du traitement, et aux sous-traitants, qui traitent les données pour le compte d’un responsable de traitement. Cette distinction est alignée avec les définitions du RGPD. La qualification dépend des faits et non du contrat : la CNIL peut requalifier un sous-traitant en responsable de traitement si celui-ci détermine en pratique les finalités du traitement.

Combien de temps faut-il pour obtenir la certification ISO 27701 ?

Pour une organisation déjà certifiée ISO 27001, la démarche de certification ISO 27701 prend généralement entre 6 et 12 mois, selon la maturité de la démarche RGPD existante. Pour une organisation démarrant simultanément les deux démarches, le délai est de 12 à 18 mois. La certification est valable trois ans, avec des audits de surveillance annuels.

Pourquoi nous faire confiance ?

Votre certification ISO 27701 avec Fidens

Analyse d’écart, extension de votre SMSI en PIMS, préparation à la certification : nos consultants vous aident à capitaliser sur ISO 27001 pour démontrer votre conformité RGPD.

40 Consultants experts Travaillez avec des spécialistes reconnus de la cybersécurité des SI, qui sont certifiés Lead Auditor, Lead Implementor et OSCP.
360° Offre Cyber complète Conseil en gouvernance, audits fonctionnels et techniques, solutions logicielles SMSI et formations.
+3000 Missions réalisées Bénéficiez de retours d'expérience complets et adoptez une approche pragmatique pour votre cybersécurité.

Contactez nos experts cybersécurité