Guide pratique · ISO/IEC 27701:2025
La vie privée, sans angle mort.
ISO/IEC 27701:2025
Un guide de pilotage indépendant : système de management de la vie privée, contrôles pour responsables et sous-traitants, preuves utiles. Il ne remplace ni le texte officiel ni l’analyse de votre périmètre.
Les clauses, sans superflu.
Une clause à la fois : points à examiner, conseils et exemples de preuves.
Se situer : responsable ou sous-traitant
L'esprit de la norme (§4.1 à §4.4) : Avant tout, il faut savoir quel est votre rôle pour chaque traitement de données personnelles, qui sont les personnes concernées, quelles lois s’appliquent et ce que le système couvre.
Points à examiner
- Déterminer les enjeux internes et externes, dont la législation, la réglementation, les décisions de justice, les contrats applicables, et dire si le changement climatique est un enjeu pertinent (§4.1).
- Déterminer si l’organisme agit comme responsable de traitement (y compris conjoint) ou comme sous-traitant, traitement par traitement. S’il joue les deux rôles, chacun a son propre jeu de contrôles (§4.1).
- Identifier les parties intéressées, dont les personnes concernées, clients, autorités de contrôle, autres responsables et sous-traitants, et leurs exigences (§4.2).
- Définir le périmètre du système, qui inclut le traitement des données personnelles, et le tenir disponible en information documentée (§4.3).
- Établir, mettre en œuvre, maintenir et améliorer le système et ses processus (§4.4).
L'astuce agile
Une page : la liste de vos traitements en deux colonnes, « pour moi » (responsable) et « pour mes clients » (sous-traitant). C’est le point de départ de tous vos contrôles.
À éviter : Se déclarer sous-traitant pour tout, par commodité. · Un périmètre qui oublie les données des salariés et des prospects.
Exemples de preuves
Engager la direction
L'esprit de la norme (§5.1 à §5.3) : La direction porte la politique de vie privée, intègre le système aux processus métier et attribue les rôles.
Points à examiner
- Démontrer le leadership : politique et objectifs de vie privée alignés sur la stratégie, intégration aux processus métier, ressources, communication de l’importance du système (§5.1).
- Établir une politique de vie privée adaptée, qui cadre les objectifs, engage à satisfaire les exigences et à améliorer le système (§5.2).
- La rendre disponible en information documentée, la communiquer en interne et aux parties intéressées si pertinent (§5.2).
- Attribuer et communiquer les rôles : conformité du système, compte rendu de sa performance à la direction (§5.3).
L'astuce agile
Une politique d’une page qui dit ce que vous faites des données, ce que vous ne ferez jamais, et à qui s’adresser. Désignez un référent vie privée, même à temps partiel.
À éviter : Une politique juridique incompréhensible pour les équipes. · Un référent vie privée sans lien avec la direction.
Exemples de preuves
Évaluer et traiter les risques vie privée
L'esprit de la norme (§6.1 à §6.3) : C’est le cœur de la norme : un processus d’appréciation des risques qui couvre à la fois la vie privée et la sécurité de l’information, puis une déclaration d’applicabilité qui compare vos contrôles à l’Annexe A.
Points à examiner
- Déterminer les risques et opportunités liés aux enjeux et aux parties intéressées, et planifier les actions (§6.1.1).
- Définir un processus d’appréciation des risques de vie privée : critères d’acceptation, résultats cohérents et comparables, identification des risques liés à la protection de la vie privée et à la sécurité de l’information, avec des propriétaires de risques (§6.1.2).
- Choisir les contrôles nécessaires et les comparer à ceux de l’Annexe A pour vérifier qu’aucun n’est oublié (§6.1.3).
- Produire une déclaration d’applicabilité : contrôles nécessaires, justification de leur inclusion, état de mise en œuvre, et justification de l’exclusion de tout contrôle de l’Annexe A (§6.1.3).
- Formuler un plan de traitement des risques, le faire approuver par les propriétaires de risques, faire accepter les risques résiduels, et garder des informations sur ce processus (§6.1.3).
- Fixer des objectifs de vie privée mesurables si possible, et planifier comment les atteindre (§6.2).
- Planifier les modifications du système (§6.3).
L'astuce agile
Travaillez avec un seul registre de risques qui couvre à la fois vie privée et sécurité. Partez de vos traitements et notez : donnée, finalité, risque pour la personne (pas seulement pour l’entreprise), mesure, propriétaire.
À éviter : Exclure des contrôles sans justification écrite. · Évaluer le risque pour l’entreprise uniquement, sans regarder l’effet sur les personnes.
Exemples de preuves
Donner les moyens
L'esprit de la norme (§7.1 à §7.5) : Ressources, compétences, sensibilisation, communication et documentation, avec une attention particulière à la formation des personnes qui accèdent aux données.
Points à examiner
- Déterminer et fournir les ressources du système (§7.1).
- Définir les compétences nécessaires et garder des preuves (§7.2).
- Sensibiliser : politique de vie privée, contribution de chacun, conséquences d’un écart (§7.3).
- Décider quoi, quand, avec qui et comment communiquer (§7.4).
- Maîtriser les informations documentées, y compris leur protection contre la perte de confidentialité, l’usage inapproprié ou la perte d’intégrité (§7.5).
L'astuce agile
Un accueil de 30 minutes sur les données (ce qu’on peut faire, ce qu’on ne fait pas, qui prévenir en cas de doute) et un rappel court tous les six mois. Une matrice de compétences d’une page.
À éviter : Une formation annuelle en ligne que tout le monde clique sans lire. · Des procédures qui ne disent pas qui contacter.
Exemples de preuves
Appliquer et réévaluer
L'esprit de la norme (§8.1 à §8.3) : Mettre en œuvre ce qui a été planifié, réévaluer les risques à intervalles réguliers et lors de changements importants, et appliquer le plan de traitement.
Points à examiner
- Planifier et maîtriser les processus, garder l’information utile pour avoir confiance qu’ils sont exécutés comme prévu, maîtriser les changements et les processus fournis par des tiers (§8.1).
- Réaliser l’appréciation des risques de vie privée à intervalles planifiés, ou quand des changements importants sont proposés ou surviennent, et conserver les résultats (§8.2).
- Mettre en œuvre le plan de traitement des risques et conserver les résultats (§8.3).
L'astuce agile
Reliez la réévaluation aux événements déjà connus : nouveau traitement, nouvel outil, nouveau sous-traitant, nouvelle finalité. Un déclencheur simple vaut mieux qu’un calendrier théorique.
À éviter : Réévaluer une fois et ne plus jamais y revenir. · Laisser un nouveau traitement démarrer sans regarder les risques.
Exemples de preuves
Mesurer, auditer, revoir
L'esprit de la norme (§9.1 à §9.3) : Mesurer la performance du système, auditer de façon impartiale et revoir le système en direction.
Points à examiner
- Déterminer quoi surveiller et mesurer, avec quelles méthodes, quand, et évaluer la performance de vie privée et l’efficacité du système (§9.1).
- Auditer en interne à intervalles planifiés, avec un programme, des auditeurs objectifs et impartiaux (§9.2).
- Passer en revue le système en direction : actions précédentes, changements de contexte et d’attentes, performance, tendances des non-conformités, résultats d’audit, opportunités d’amélioration (§9.3).
L'astuce agile
Cinq indicateurs suffisent : demandes de personnes traitées dans le délai, traitements au registre à jour, sous-traitants avec contrat, violations traitées, personnes formées.
À éviter : Mesurer le nombre de documents plutôt que le respect des droits. · Faire auditer le système par l’équipe qui le pilote.
Exemples de preuves
Corriger et progresser
L'esprit de la norme (§10.1 à §10.2) : Améliorer en continu le système, traiter les écarts et en supprimer les causes.
Points à examiner
- Améliorer en continu la pertinence, l’adéquation et l’efficacité du système (§10.1).
- Réagir à toute non-conformité : la corriger, traiter ses conséquences, chercher les causes, vérifier les écarts similaires et l’efficacité des actions (§10.2).
- Garder la trace de la nature des écarts, des actions menées et de leurs résultats (§10.2).
L'astuce agile
Un tableau d’écarts partagé, qui accueille aussi les incidents et les demandes de personnes mal traitées. Chaque ligne : écart, cause, action, pilote, échéance.
À éviter : Cacher les incidents pour ne pas inquiéter. · Clore une action sans vérifier son effet.
Exemples de preuves
Contrôles pour responsables et sous-traitants
L'esprit de la norme (Annexe A) : L’Annexe A liste des objectifs de contrôle et des contrôles, en trois tables : responsables de traitement (A.1), sous-traitants (A.2) et sécurité pour les deux (A.3). L’Annexe B donne les recommandations de mise en œuvre. Il n’est pas nécessaire de tous les retenir, mais toute exclusion se justifie.
Points à examiner
- Responsables (A.1) : identifier et documenter les finalités et la base licite, déterminer et obtenir le consentement quand il s’applique, apprécier la nécessité d’une analyse d’impact, encadrer les sous-traitants par contrat, définir les rôles avec les responsables conjoints, tenir les enregistrements des traitements (A.1.2).
- Responsables (A.1) : gérer les droits des personnes (copie des données, traitement des demandes, information des tiers) (A.1.3).
- Responsables (A.1) : protection dès la conception et par défaut, limitation de la collecte et du traitement, exactitude, minimisation, durée de conservation, suppression, contrôle des transmissions (A.1.4).
- Responsables (A.1) : transferts et communications, base juridique, pays de destination, enregistrement des transferts et des communications à des tiers (A.1.5).
- Sous-traitants (A.2) : accord avec le client, traitement selon ses instructions, pas d’usage publicitaire sans accord, alerte si une instruction est contraire à la loi, aide au client pour ses obligations, enregistrements (A.2.2).
- Sous-traitants (A.2) : protection par conception, fichiers temporaires, restitution ou suppression, transferts, notification des demandes de communication, information sur les sous-traitants ultérieurs (A.2.3 à A.2.5).
- Sécurité (A.3) : politiques, rôles, classification, droits d’accès, fournisseurs, gestion des incidents, sauvegarde, journalisation, chiffrement, développement sécurisé, données de test (A.3).
L'astuce agile
Commencez par le tableau qui correspond à votre rôle (A.1 ou A.2), puis A.3. Notez pour chaque contrôle : applicable ou non, pourquoi, qui, preuve. Un tableur de 80 lignes suffit pour démarrer.
À éviter : Cocher « appliqué » sans preuve. · Exclure des contrôles parce qu’ils sont difficiles.
Exemples de preuves
Ce que change l’édition 2025
Six repères à connaître.
La deuxième édition remplace celle de 2019. Voici ce qui change le plus dans la pratique.
Repères documentaires
16 points de départ pour votre dispositif.
Ces 16 repères sont une aide méthodologique Viva QSE, pas une liste exhaustive d’obligations. Les informations à établir ou conserver dépendent du référentiel, de vos traitements et de vos risques. Vérifiez les exigences dans l’édition officielle applicable.
Domaine d’application
Périmètre du système, incluant le traitement des données personnelles.
Politique de vie privée
Engagements de la direction, disponibles, communiqués et mis à disposition des parties intéressées.
Déclaration d’applicabilité
Contrôles nécessaires, justification, état de mise en œuvre et exclusions justifiées.
Plan de traitement des risques
Plan approuvé par les propriétaires de risques, avec acceptation des risques résiduels.
Objectifs de vie privée
Objectifs mesurables si possible, suivis, communiqués et mis à jour.
Finalités et base licite
Finalités documentées et base juridique de chaque traitement.
Registre des traitements
Inventaire des traitements : types, finalités, catégories, destinataires, mesures de sécurité.
Conservation et suppression
Durées de conservation et mécanismes de suppression des données.
Contrats avec les sous-traitants
Contrats écrits qui reprennent les contrôles applicables aux sous-traitants.
Preuves de compétences
Formations, expériences et sensibilisation des personnes concernées.
Résultats d’appréciation des risques
Résultats de chaque appréciation de risques de vie privée.
Résultats du traitement des risques
Résultats de la mise en œuvre du plan de traitement.
Résultats de surveillance et de mesure
Indicateurs de performance de vie privée suivis selon la fréquence définie.
Résultats d’audit interne
Programme réalisé, constats et conclusions.
Revue de direction
Décisions prises : amélioration, changements, ressources.
Non-conformités et actions correctives
Nature des écarts, actions menées et résultats.
Un guide, pas un substitut à la norme
Interprétation méthodologique indépendante de Viva QSE. Le texte officiel reste la référence. Ces repères ne constituent ni une validation normative exhaustive ni une garantie de conformité.
Accompagnement ISO/IEC 27701:2025 · Guide RGPD · Guide ISO/IEC 27001 · Guide ISO 31000 · Guide ISO 22301 · Ressources
Autres normes : ISO 9001, ISO 14001, ISO 45001, ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 20000-1, ISO 22301.
Déployer votre dispositif
ISO, RGPD ou projet : mission de déploiement sur trois mois. Voir l’offre Build, ses conditions et ses tarifs.
Parlons de votre enjeu.
Un premier échange de 20 minutes, sans engagement. Vous préférez écrire ? Un court message suffit.
Échanger