ISO 27701:2025 : ce qui change et que faire maintenant
ISO/IEC 27701:2025, publiée le 14 octobre 2025, fait de la norme vie privée un système de management autonome : il n’est plus nécessaire d’avoir un SMSI ISO/IEC 27001 pour la mettre en œuvre ou se faire certifier. Elle suit la structure harmonisée des chapitres 4 à 10 et comporte une annexe A de 78 mesures de référence réparties en trois tableaux : A.1 pour les responsables du traitement, A.2 pour les sous-traitants et A.3 pour la sécurité des données personnelles. Les organismes certifiés selon l’édition 2019 doivent migrer dans le délai fixé par les organismes d’accréditation (par exemple avant le 31 octobre 2028 selon les règles du SCC canadien).
2019 et 2025 en un coup d’œil
| Sujet | ISO/IEC 27701:2019 | ISO/IEC 27701:2025 |
|---|---|---|
| Type de norme | Extension d’ISO/IEC 27001 et 27002 | Norme de système de management autonome |
| Prérequis | Un SMSI ISO/IEC 27001 | Aucun (l’intégration avec un SMSI reste possible) |
| Structure | Chapitres calqués sur ISO/IEC 27001 | Structure harmonisée, chapitres 4 à 10 |
| Mesures | Annexe A (responsables) et annexe B (sous-traitants), plus des recommandations étendues d’ISO/IEC 27002 | Annexe A en trois tableaux : A.1 responsables, A.2 sous-traitants, A.3 sécurité des données personnelles (78 mesures) |
| Recommandations | Réparties dans les chapitres 6 à 8 | Annexe B, avec la même numérotation que l’annexe A |
| Correspondances | ISO/IEC 29100, RGPD, autres normes | Annexes informatives de correspondance, dont le RGPD et une table 2019-2025 |
Ce que cela signifie pour vous
- **Pas certifié ISO/IEC 27001 ?** Vous pouvez désormais mettre en œuvre et certifier un système de management de la protection de la vie privée (PIMS) seul. C’est utile pour les éditeurs SaaS, les prestataires RH et paie, les services de santé et d’éducation et tous ceux dont les clients demandent des garanties sur la vie privée.
- **Vous avez déjà un SMSI ?** Réutilisez la maîtrise documentaire, l’audit interne, la revue de direction, la gestion des fournisseurs et les compétences. Les mesures de sécurité nécessaires pour les données personnelles figurent désormais dans le tableau A.3.
- **Certifié selon l’édition 2019 ?** Planifiez un audit de transition. Vérifiez la date limite avec votre organisme de certification : ce sont les organismes d’accréditation qui fixent les dates (SCC canadien : clients avant le 31 octobre 2028).
- **Vous utilisez ISO 27701 pour le RGPD ?** Elle aide toujours à organiser et à prouver la conformité, mais la certification ne prouve pas à elle seule la conformité au RGPD.
Kit ISO 27701 : la documentation de votre système de management de la vie privée
34 documents Word · 14 outils Excel · 78 mesures de l'annexe A
Voir le kit ISO 27701:2025 avec annexe RGPDLes tableaux de l’annexe A en 2025
| Tableau | Pour | Thèmes principaux |
|---|---|---|
| A.1 | Responsables du traitement | Conditions de collecte et de traitement (base légale, consentement, AIPD, registres), obligations envers les personnes concernées (information, droits, décisions automatisées), protection des données dès la conception et par défaut, partage, transferts et divulgations |
| A.2 | Sous-traitants | Contrats et instructions, obligations envers les clients, protection dès la conception pour le traitement, transferts, sous-traitants ultérieurs et divulgations |
| A.3 | Les deux rôles | Sécurité des données personnelles : politiques, rôles, accès, cryptographie, journalisation, incidents et violations, sauvegardes, fournisseurs, développement sécurisé et plus |
La plupart des organismes sont à la fois responsables et sous-traitants (par exemple pour leur propre personnel et pour les données de leurs clients) : ils appliquent donc A.1, A.2 et A.3 et justifient chaque inclusion ou exclusion dans la Déclaration d’applicabilité.
Étapes de transition pour les organismes certifiés 2019
- 1. Lire l’édition 2025 et son annexe de correspondance 2019-2025.
- 2. Décider si le PIMS reste intégré au SMSI ou devient autonome, et mettre à jour le périmètre.
- 3. Reconstruire la Déclaration d’applicabilité avec les tableaux A.1, A.2 et A.3.
- 4. Mettre à jour l’appréciation des risques vie privée, les politiques et les procédures qui citent les anciens numéros de chapitres.
- 5. Réaliser un audit interne et une revue de direction sur les nouvelles exigences.
- 6. Planifier l’audit de transition avec votre organisme de certification avant la date limite.
Étape suivante
Essayez gratuitement ou passez directement à la solution complète.
Kit ISO 27701 : la documentation de votre système de management de la vie privée
34 documents Word · 14 outils Excel · 78 mesures de l'annexe A
Voir le kit ISO 27701:2025 avec annexe RGPD
Échantillon gratuit
Téléchargez gratuitement une version réduite de la matrice des risques du kit (Excel, 10 scénarios, carte de chaleur ; échantillon en anglais). Voyez comment le niveau et la catégorie sont calculés avant de décider.
Télécharger l'échantillon gratuit (en anglais)Questions fréquentes
Quand ISO/IEC 27701:2025 a-t-elle été publiée ?
Le 14 octobre 2025. Elle remplace l’édition 2019.
Faut-il ISO 27001 pour être certifié ISO 27701 ?
Plus avec l’édition 2025. C’est une norme de système de management autonome, qui s’intègre néanmoins facilement à ISO/IEC 27001.
Combien de mesures compte ISO 27701:2025 ?
L’annexe A liste 78 mesures de référence en trois tableaux : A.1 pour les responsables, A.2 pour les sous-traitants et A.3 pour la sécurité des données personnelles. Vous justifiez celles qui s’appliquent dans la Déclaration d’applicabilité.
Quelle est la date limite de transition ?
Les organismes d’accréditation la fixent. Par exemple, le SCC canadien exige que les clients certifiés migrent avant le 31 octobre 2028. Demandez la vôtre à votre organisme de certification.
La certification ISO 27701 prouve-t-elle la conformité au RGPD ?
Non. C’est une preuve solide d’un programme vie privée piloté, mais la conformité au RGPD dépend du respect de chaque obligation légale.
Guides associés
Déclaration d'applicabilité ISO 27001 : qu'est-ce que c'est et comment la rédiger ?
Ce que doit contenir la déclaration d'applicabilité ISO/IEC 27001:2022 pour les 93 mesures de l'annexe A, comment justifier les exclusions et les erreurs que relèvent le plus les auditeurs. Avec modèle Excel.
Lire le guide →Documents obligatoires ISO 27001:2022 : la liste par article
Les informations documentées exigées par l'ISO/IEC 27001:2022, article par article (domaine d'application, politique, risques, déclaration d'applicabilité, objectifs, audit, revue de direction), et les documents attendus pour l'annexe A.
Lire le guide →Qu'est-ce qu'un SMSI et comment le mettre en place avec l'ISO 27001 ?
Ce qu'est un système de management de la sécurité de l'information (SMSI), ce que demande l'ISO/IEC 27001:2022, les documents nécessaires et la certification.
Lire le guide →Mis à jour: 2026-10-24