Viva QSE
Protection de la vie privée (PIMS)
Déploiement ISO/IEC 27701
Mission de déploiement sur trois mois (offre Build). Organiser la protection des données personnelles dans un système de management : rôle de responsable de traitement ou de sous-traitant, risques pour la vie privée, droits des personnes et preuves. Un cadre qui prolonge votre gouvernance de la sécurité de l’information et s’appuie sur vos pratiques RGPD.
Ce que la démarche doit vous apporter
Rôles clarifiés
Responsable de traitement, sous-traitant ou les deux : des mesures adaptées à chaque rôle.
Risques pour la vie privée
Risques pour les personnes pris en compte avec les risques de sécurité.
Preuves RGPD réutilisables
Registre, droits des personnes, sous-traitants et incidents reliés à un système de management.
Des livrables produits et déployés
- Périmètre du système de management de la vie privée et rôles de l’organisme.
- Appréciation des risques pour la vie privée et plan de traitement.
- Mesures pour les responsables de traitement et/ou les sous-traitants.
- Registre des traitements, droits des personnes, sous-traitants et transferts.
- Audit interne, revue de direction et amélioration continue.
Cette norme se rattache à la conformité RGPD et à la sécurité de l’information ISO/IEC 27001.
Les erreurs fréquentes
- Confondre les rôles de responsable de traitement et de sous-traitant, qui n’appellent pas les mêmes mesures.
- Tenir un registre des traitements sans le relier à l’appréciation des risques pour les personnes.
- Ignorer les sous-traitants ultérieurs et les transferts hors de l’Union européenne.
- Croire qu’une certification vaut conformité au RGPD.
- Définir un périmètre différent de celui du système de sécurité de l’information sans l’expliquer.
- Prévoir une procédure de droits des personnes qui n’a jamais été testée.
Exemples concrets
Éditeur de logiciel traitant des données pour ses clients
Rôle de sous-traitant : contrats, instructions du client, gestion des incidents et des sous-traitants ultérieurs.
Service RH ou paie
Responsable de traitement : durées de conservation, droits d’accès et information des salariés.
Plateforme ou service en ligne
Double rôle possible : mesures pour les données des utilisateurs et pour les données traitées pour le compte de clients.
Un calendrier de référence
Je ne réalise pas l’audit interne officiel d’un système que j’ai construit ou co-construit. Les modalités de cet audit, l’intervenant retenu et son éventuel coût distinct sont précisés au devis, conformément aux CGV.
Repère indicatif ; l’enchaînement exact est convenu au cadrage. Le calendrier, les étapes de validation et les contributions attendues sont convenus au cadrage. Les trois mois concernent la mission de déploiement. L’audit, son calendrier et la décision de certification relèvent d’un organisme tiers indépendant.
Formules et tarifs
Les formules Check, Build, Run et Mentoring, leurs périmètres et leurs tarifs sont détaillés sur la page Offres.
Autres normes : ISO 9001, ISO 14001, ISO 45001, ISO/IEC 27001, ISO/IEC 20000-1, ISO 22301.
Questions fréquentes
La certification ISO/IEC 27701 vaut-elle conformité au RGPD ?
Non. La norme n’est pas spécifique au RGPD et une certification ne remplace pas la démonstration de votre conformité. Elle fournit un cadre de management qui facilite l’organisation et la preuve. L’édition applicable (2019 ou 2025) et les modalités de transition se vérifient au cadrage.
Faut-il d’abord être certifié ISO/IEC 27001 ?
L’articulation avec ISO/IEC 27001 dépend de l’édition de la norme et des règles de l’organisme de certification. Elle se vérifie au cadrage, avant de définir le périmètre.
Qu’est-ce qui allonge le délai d’un déploiement ISO 27701 ?
Le nombre de traitements et de sous-traitants à documenter, la maturité du registre RGPD existant et l’état du système de sécurité de l’information.
Parlons de votre enjeu.
Un premier échange de 20 minutes, sans engagement. Vous préférez écrire ? Un court message suffit.
Échanger