Documents obligatoires ISO 27701:2025
ISO/IEC 27701:2025 suit la structure harmonisée des systèmes de management et exige notamment les informations documentées suivantes : le périmètre du système de management de la vie privée (4.3), la politique de protection de la vie privée (5.2), les processus et résultats d’appréciation et de traitement des risques vie privée (6.1 et chapitre 8), la Déclaration d’applicabilité des mesures de l’annexe A, les objectifs vie privée (6.2) et les enregistrements de compétences, de surveillance, d’audit interne, de revue de direction et d’actions correctives. Les mesures de l’annexe A ajoutent des enregistrements propres à la vie privée, comme le registre des traitements.
Documents exigés par chapitre
| Document | Chapitre | À quoi il sert |
|---|---|---|
| Périmètre du système de management de la vie privée | 4.3 | Quels traitements, processus et rôles (responsable, sous-traitant) sont couverts |
| Politique de protection de la vie privée | 5.2 | Engagements de la direction et cadre des objectifs |
| Processus d’appréciation des risques vie privée | 6.1 | Critères pour identifier et évaluer les risques pour l’organisme et pour les personnes |
| Processus de traitement des risques et Déclaration d’applicabilité | 6.1 | Mesures retenues dans les tableaux A.1, A.2 et A.3, justification des inclusions et exclusions, état |
| Objectifs vie privée | 6.2 | Cibles mesurables et plans pour les atteindre |
| Preuves de compétence | 7.2 | Formation et expérience des personnes qui traitent des données personnelles |
| Informations pour le fonctionnement | 8.1 | Ce qui est nécessaire pour avoir confiance que les processus se déroulent comme prévu |
| Résultats de l’appréciation et du traitement des risques | 8 | Registre des risques et plan de traitement à jour |
| Résultats de surveillance et de mesure | 9.1 | Indicateurs et leur analyse |
| Programme et résultats d’audit interne | 9.2 | Plan, rapports et constats |
| Résultats de la revue de direction | 9.3 | Décisions et actions de la direction |
| Non-conformités et actions correctives | 10.2 | Ce qui n’a pas fonctionné, cause, action et résultat |
Le chapitre 7.5 ajoute toute information documentée que l’organisme juge lui-même nécessaire. Utilisez cette liste comme guide et vérifiez chaque exigence dans le texte officiel de la norme, vendu par l’ISO ou votre organisme national de normalisation (AFNOR en France).
Enregistrements vie privée issus des mesures de l’annexe A
- **Registres des traitements** en tant que responsable et en tant que sous-traitant : finalité, base légale, catégories de données et de personnes, destinataires, transferts et durées de conservation.
- **Analyses d’impact (AIPD)** pour les traitements à risque élevé.
- **Journal des demandes des personnes** (accès, rectification, effacement, opposition) avec dates et réponses.
- **Registre des incidents et violations** avec évaluation et notifications.
- **Journal des transferts et divulgations** à des tiers et vers d’autres pays.
- **Contrats avec les sous-traitants et sous-traitants ultérieurs** et preuves de leur revue.
- **Mentions d’information en vigueur** et preuves du consentement lorsqu’il est la base légale.
Kit ISO 27701 : la documentation de votre système de management de la vie privée
34 documents Word · 14 outils Excel · 78 mesures de l'annexe A
Voir le kit ISO 27701:2025 avec tous ces documentsErreurs fréquentes
- Recopier la Déclaration d’applicabilité de 2019 : en 2025, les mesures ont été réorganisées en tableaux A.1, A.2 et A.3.
- Définir le périmètre sans préciser où l’organisme est responsable et où il est sous-traitant.
- Apprécier les risques uniquement pour l’entreprise et non pour les personnes dont les données sont traitées.
- Avoir des politiques approuvées mais aucun enregistrement montrant leur application (demandes, violations, formation).
- Supposer que la certification prouve la conformité à une loi précise comme le RGPD.
Comment organiser la documentation
Classez les documents selon les chapitres 4 à 10, avec un index maître indiquant le propriétaire, la version et la date de revue de chacun. Si vous exploitez déjà un SMSI ISO/IEC 27001, mutualisez la maîtrise documentaire, l’audit interne et la revue de direction, et ajoutez les éléments propres à la vie privée : rôles de responsable et de sous-traitant, registres des traitements, AIPD, droits des personnes et Déclaration d’applicabilité ISO/IEC 27701.
Étape suivante
Essayez gratuitement ou passez directement à la solution complète.
Kit ISO 27701 : la documentation de votre système de management de la vie privée
34 documents Word · 14 outils Excel · 78 mesures de l'annexe A
Voir le kit ISO 27701:2025 avec tous ces documents
Échantillon gratuit
Téléchargez gratuitement une version réduite de la matrice des risques du kit (Excel, 10 scénarios, carte de chaleur ; échantillon en anglais). Voyez comment le niveau et la catégorie sont calculés avant de décider.
Télécharger l'échantillon gratuit (en anglais)Questions fréquentes
Combien de documents obligatoires compte ISO 27701 ?
Cela dépend du regroupement, mais les chapitres 4 à 10 demandent une douzaine de documents et d’enregistrements, et les mesures de l’annexe A que vous appliquez ajoutent des enregistrements vie privée comme le registre des traitements.
Le registre des traitements est-il obligatoire ?
Les mesures de l’annexe A pour les responsables et les sous-traitants le prévoient, et de nombreuses lois (comme l’article 30 du RGPD) l’exigent ou en font le moyen pratique de démontrer un traitement licite.
Puis-je réutiliser les documents de mon SMSI ISO 27001 ?
Oui. Depuis 2025, ISO/IEC 27701 est autonome, mais elle s’intègre à un SMSI : vous pouvez mutualiser la maîtrise documentaire, les audits et la revue de direction.
Les documents suffisent-ils pour obtenir la certification ?
Non. La certification dépend du fonctionnement réel du système et de sa vérification par un organisme de certification.
Guides associés
Déclaration d'applicabilité ISO 27001 : qu'est-ce que c'est et comment la rédiger ?
Ce que doit contenir la déclaration d'applicabilité ISO/IEC 27001:2022 pour les 93 mesures de l'annexe A, comment justifier les exclusions et les erreurs que relèvent le plus les auditeurs. Avec modèle Excel.
Lire le guide →Documents obligatoires ISO 27001:2022 : la liste par article
Les informations documentées exigées par l'ISO/IEC 27001:2022, article par article (domaine d'application, politique, risques, déclaration d'applicabilité, objectifs, audit, revue de direction), et les documents attendus pour l'annexe A.
Lire le guide →ISO 27701:2025 : ce qui change et que faire maintenant
ISO/IEC 27701:2025 devient une norme de système de management de la vie privée autonome. Ce qui change par rapport à 2019, la nouvelle annexe A (78 mesures), les délais de transition et les prochaines étapes.
Lire le guide →Mis à jour: 2026-10-24