ISO 27701 Protection Données Personnelles PIMS

Relation ISO 27701 - ISO 27001 - RGPD

ISO 27701 s'appuie sur ISO 27001 et ISO 27002 : elle ajoute des exigences au SMSI ISO 27001 (clauses supplémentaires) et des contrôles additionnels à l'Annexe A d'ISO 27002 (contrôles 7.2.1 à 7.5.3 pour le RT et 8.2.1 à 8.5.7 pour le ST). Une organisation souhaitant se certifier ISO 27701 doit au préalable être certifiée ISO 27001 (ou viser une certification combinée ISO 27001+27701). La portée du PIMS peut différer de celle du SMSI ISO 27001 — elle doit couvrir les traitements de PII concernés.

Le mapping ISO 27701 ↔ RGPD (Annexe A de la norme) est précieux pour les organisations en démarche de conformité RGPD : il identifie les articles et exigences du RGPD couverts par chaque contrôle ISO 27701, permettant d'utiliser la norme comme grille de conformité RGPD structurée. Cependant, le RGPD a des exigences juridiques et procédurales (droits des personnes, bases légales, DPO, DPIA) qui vont au-delà des seuls contrôles techniques et organisationnels d'ISO 27701 — la certification ISO 27701 ne dispense pas d'une analyse juridique RGPD complète.

Contrôles spécifiques RT et ST

Contrôles RT (Responsable du Traitement) dans ISO 27701 : gestion des consentements, traitement des demandes des personnes concernées (droits RGPD), gestion des bases légales du traitement, mesures de privacy by design, DPIA, notification des violations de données, et transferts internationaux de PII. Contrôles ST (Sous-Traitant) : exécution des traitements uniquement selon les instructions du RT, transparence sur les sous-traitants ultérieurs, assistance au RT pour les DPIA et les droits des personnes, et notification des incidents impactant les PII au RT dans les délais convenus.

Pour les organisations agissant à la fois comme RT (pour leurs données clients/employés) et comme ST (pour les données de leurs clients professionnels), ISO 27701 offre un cadre unifié couvrant les deux rôles simultanément. C'est le cas de nombreux prestataires de services cloud, éditeurs de logiciels SaaS, et cabinets de conseil qui sont RT de leurs propres employés et ST des données de leurs clients professionnels.

Certification et valeur commerciale

La certification ISO 27701 est un argument commercial auprès des clients entreprise qui cherchent à vérifier que leurs sous-traitants traitent les données personnelles de façon conforme. Elle simplifie les négociations contractuelles RGPD (DPA) en fournissant une preuve externe de la mise en œuvre des mesures de l'article 28 RGPD. Des clients grands comptes (notamment dans les secteurs bancaire, de la santé, et des services aux entreprises) exigent ou préfèrent les prestataires certifiés ISO 27701.

Le coût de la certification ISO 27701 s'ajoute à celui d'ISO 27001 : audit initial (ISO 27701 en extension d'un audit ISO 27001 existant) peut coûter 3-8k€ pour une PME, avec des audits de surveillance annuels similaires. Pour les organisations traitant de grandes quantités de données personnelles (opérateurs télécoms, banques, acteurs du marketing digital), l'investissement dans la certification ISO 27701 est justifié par la valeur commerciale et la réduction des risques de non-conformité RGPD.