Ce qu’est ISO 27701
ISO/IEC 27701 fixe les exigences d’un système de management de la protection de la vie privée : la manière dont une organisation gère les données personnelles en tant que responsable de traitement, en tant que sous-traitant, ou les deux. La première édition, de 2019, était une extension d’ISO 27001. L’édition 2025 est autonome et peut être certifiée sans ISO 27001, avec son propre ensemble de contrôles de sécurité. Elle comporte des contrôles distincts pour les responsables de traitement et pour les sous-traitants, et les met en correspondance avec le GDPR et d’autres lois sur la protection de la vie privée.
Ce que demandent les clients
Les questions recoupent celles d’une évaluation fournisseur GDPR et sont organisées selon les ensembles de contrôles de la norme :
- Si vous êtes certifié, selon quelle édition, et ce que couvre le périmètre.
- Votre rôle vis-à-vis des données du client, qui est généralement celui de sous-traitant pour un fournisseur SaaS.
- Comment vous traitez les instructions du client, aidez à répondre aux demandes des personnes concernées et tenez les registres des traitements.
- Les sous-traitants ultérieurs : qui ils sont, comment ils sont engagés contractuellement, et comment le client est informé des changements.
- Les transferts hors de l’UE, et les garanties qui s’appliquent.
- Conservation, restitution et suppression à la fin du contrat.
- Comment une violation de données personnelles est détectée et signalée au client.
Répondre avec un certificat
Joignez le certificat et citez son périmètre et son édition. Les relecteurs qui connaissent la norme demanderont quels contrôles de sous-traitant vous avez retenus et comment ils sont mis en œuvre, comme un relecteur ISO 27001 demande la déclaration d’applicabilité.
Répondre sans en avoir
Répondez à chaque ligne comme dans une évaluation GDPR : le fait, le responsable, la preuve. Votre accord de traitement des données, votre liste de sous-traitants ultérieurs et votre procédure en cas de violation répondent à la plupart des lignes. Si vous détenez ISO 27001 et prévoyez d’ajouter 27701, dites-le en donnant une date.
Dans Responsemate
Le DPA, la liste des sous-traitants ultérieurs et tout certificat se trouvent dans la base de connaissances comme preuves avec des dates de revue, et les lignes sur la confidentialité de chaque questionnaire sont rédigées à partir des mêmes réponses approuvées, de sorte qu’elles ne divergent pas d’un client à l’autre. Questionnaires d’évaluation des fournisseurs GDPR.
Questions fréquentes
Faut-il ISO 27001 avant ISO 27701 ?
Plus maintenant. Dans l’édition 2019, ISO 27701 était une extension d’ISO 27001 et ne pouvait être certifiée qu’en complément de celle-ci. L’édition 2025 est une norme de système de management autonome, même si la plupart des organisations continuent de mettre en œuvre les deux ensemble.
Une certification ISO 27701 prouve-t-elle la conformité au GDPR ?
Non, et un relecteur ne l’interprétera pas ainsi. Elle montre que la vie privée est gérée de manière structurée, avec des contrôles mis en correspondance avec le GDPR, ce qui rend la section confidentialité d’un questionnaire plus facile à remplir et plus digne de confiance.