Qu'est-ce que ce certificat ?

ISO/IEC 27701 est une extension du système de gestion des informations confidentielles (PIMS) construite sur le système de gestion de la sécurité des informations ISO/IEC 27001. Il définit les exigences de traitement des données personnelles séparément pour les rôles de contrôleur de données et de sous-traitant, et comprend des tableaux de mappage avec les articles du RGPD.

À qui s'adresse-t-il ?

Organisations traitant des données personnelles sous GDPR ou KVKK
Entreprises technologiques fournissant des services en qualité de sous-traitant
Groupes réalisant des transferts internationaux de données
Organisations souhaitant placer la conformité en matière de confidentialité sur un système certifiable

Est-il obligatoire ?

Pas obligatoire. La conformité légale (KVKK, RGPD) elle-même est obligatoire ; un certificat ISO/IEC 27701 n'est pas une preuve automatique de conformité mais donne une forme concrète à l'affirmation de conformité en établissant un système de gestion auditable. Il ne peut être obtenu seul sans un certificat ISO/IEC 27001.

Domaine d'application de la norme

Extension des exigences ISO/IEC 27001 au contexte de la confidentialité
Une interprétation axée sur la confidentialité des contrôles ISO/IEC 27002
Exigences spécifiques au responsable du traitement : conditions de traitement, obligations des personnes concernées, confidentialité dès la conception, partage et transfert de données
Exigences spécifiques au sous-traitant : respect des instructions du client, des sous-traitants, des enregistrements et du support
L’inventaire des données personnelles et l’enregistrement des activités de traitement
Gestion des droits des personnes concernées
L’analyse d’impact sur la protection des données (DPIA)
Cartographie des annexes au RGPD et à d'autres cadres de confidentialité

Processus de certification

1DemandeLe domaine d'activité de l'organisation, ses effectifs, le nombre de sites et les limites du champ d'action sont déterminés. Le nombre de jours d'audit est calculé à partir de ces informations.
2Examen des documents (étape 1)La documentation du système de gestion, la définition du champ d'application, l'évaluation des risques et les dossiers d'audit interne/d'examen par la direction sont examinés ; l’état de préparation à l’audit sur site est évalué.
3Audit de certification (étape 2)On vérifie sur place que le système est mis en place et efficace. Les résultats sont classés en non-conformité majeure/mineure ou en observation.
4Non-conformités de clôtureL'organisation soumet une analyse des causes profondes et un plan d'actions correctives. Le certificat n'est délivré qu'une fois les non-conformités majeures résolues.
5Délivrance du certificatLe certificat est délivré après examen par un décideur indépendant. L'équipe d'audit ne peut pas prendre la décision de certification.
6Audits de surveillanceUn audit de surveillance est réalisé au moins une fois par an pendant la durée de validité du certificat. La première surveillance ne peut excéder 12 mois à compter du dernier jour du stade 2.
7RecertificationAu bout de trois ans, l'ensemble du système est réaudité ; il doit être complété avant l'expiration du certificat.

Durée de validité

Les certificats de système de gestion sont valables trois ans. Au moins un audit de surveillance est réalisé par an pendant cette période ; le certificat est suspendu si une surveillance n'est pas effectuée. Un audit de recertification est réalisé à la fin de la troisième année.

Documents requis

Registre du commerce et autorisation d'exploitation
L'organigramme et les effectifs de l'organisation
La liste des sites/branches concernés
Le manuel du système de management ou la documentation des processus
Enregistrements d'audit interne et de revue de direction
Permis légaux, licences et documents d'exploitation, le cas échéant

Coût de la certification

Il n'y a pas de tarif catalogue fixe; le coût est calculé selon les variables suivantes et fourni par écrit dans le devis.

L'effectif concerné (détermine directement le nombre de jours d'audit)
Le nombre de sites et d'agences ; si l'échantillonnage multisite s'applique
Le niveau de risque de l’activité et la complexité des processus
Le nombre de normes à certifier — un audit intégré réduit le nombre de jours
Le cycle de trois ans : certification + deux audits de surveillance

Accréditation

La certification du système de gestion est réalisée dans le cadre de la norme ISO/IEC 17021-1. L'organisme de certification est accrédité par un organisme d'accréditation partie à l'accord de reconnaissance multilatéral de l'IAF (IAF MLA) ; Cet accord établit une chaîne de reconnaissance internationale qui garantit qu'un document délivré dans un pays est accepté dans d'autres pays. EUROLAB dispose d'une accréditation internationalement reconnue par les organismes d'accréditation membres de l'IAF dans le cadre de la norme ISO/IEC 17021-1.

Le périmètre dans lequel ce schéma peut être proposé varie selon votre produit et votre activité; il est confirmé par écrit au stade du devis.

Portée et autorisations

Certifications associées

Questions fréquentes

Un certificat ISO/IEC 27701 signifie-t-il que je suis conforme au RGPD ?

Non. La conformité au RGPD est une évaluation juridique, et seule l'autorité de contrôle compétente peut en décider de manière contraignante. Le certificat montre que le système établi pour la conformité a été audité de manière indépendante ; il ne garantit pas le respect de la loi.

Puis-je obtenir 27701 sans 27001 ?

Le n° 27701 est une extension ; il est audité soit en complément d'un certificat 27001 existant, soit conjointement avec le 27001.

Management des informations relatives à la vie privée (ISO/IEC 27701) — certification