ISO 27701 et RGPD : quelle différence ?
Le RGPD est une loi de l’UE que doit respecter tout organisme traitant des données personnelles de personnes situées dans l’UE, avec des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial. ISO/IEC 27701:2025 est une norme internationale volontaire pour un système de management de la vie privée, qui peut être certifié. Les deux se complètent : ISO 27701 apporte le système (rôles, appréciation des risques, mesures, enregistrements, audits) pour organiser et prouver la conformité au RGPD, mais la certification ne prouve pas à elle seule que vous respectez le RGPD.
Côte à côte
| RGPD | ISO/IEC 27701:2025 | |
|---|---|---|
| Nature | Règlement de l’UE (loi) | Norme internationale de système de management |
| Obligatoire ? | Oui, s’il vous est applicable | Non, volontaire |
| Qui contrôle | Autorités de protection des données (CNIL en France) et tribunaux | Organismes de certification (audits) |
| Résultat | Conformité ou sanctions | Certificat valable trois ans avec audits de surveillance |
| Champ | UE et quiconque cible des personnes dans l’UE (le Royaume-Uni a son propre UK GDPR) | Tout organisme, dans tout pays, en tant que responsable et/ou sous-traitant |
| Contenu | Principes, bases légales, droits, obligations, notification des violations, transferts, amendes | Chapitres 4 à 10 plus 78 mesures de référence (A.1 responsables, A.2 sous-traitants, A.3 sécurité) |
Où ils se recoupent
| Sujet | Articles du RGPD | ISO/IEC 27701:2025 |
|---|---|---|
| Principes et responsabilité | 5, 24 | Chapitres 4 à 10, tableau A.1 |
| Base légale et consentement | 6, 7 | A.1 conditions de collecte et de traitement |
| Transparence et droits | 12 à 22 | A.1 obligations envers les personnes concernées |
| Protection des données dès la conception et par défaut | 25 | A.1 et A.2 protection dès la conception |
| Sous-traitants et contrats | 28, 29 | A.1 et A.2 contrats et instructions |
| Registre des traitements | 30 | A.1 et A.2 registres |
| Sécurité et violations | 32 à 34 | A.3 sécurité des données personnelles |
| AIPD | 35 | A.1 analyse d’impact |
| Transferts | 44 à 49 | A.1 et A.2 transferts et divulgations |
Les numéros d’articles sont cités à titre indicatif. Vérifiez le texte officiel des deux documents.
Kit ISO 27701 : la documentation de votre système de management de la vie privée
34 documents Word · 14 outils Excel · 78 mesures de l'annexe A
Voir le kit ISO 27701 avec annexe RGPDCe qu’ISO 27701 ne couvre pas à elle seule
- Les délais légaux précis (72 heures pour notifier une violation, un mois pour répondre aux demandes) et leurs exceptions : inscrivez-les dans vos procédures.
- Les décisions juridiques comme le choix de la base légale, la mise en balance de l’intérêt légitime ou la nécessité d’un DPO ou d’un représentant dans l’UE.
- Les règles propres à chaque pays (par exemple la loi Informatique et Libertés en France, les changements du UK GDPR en 2025 ou les lois nationales sur les données des salariés).
- Les amendes et l’interprétation de l’autorité : la certification ne vous protège pas des contrôles.
Comment les utiliser ensemble
- 1. Mettre en œuvre ISO 27701 comme système de management et ajouter le RGPD à vos exigences légales.
- 2. Relier chaque article pertinent du RGPD à une mesure et à un document (une table de correspondance).
- 3. Combler les écarts avec des modèles propres au RGPD : évaluation de l’intérêt légitime, notification des violations, DPO et représentant, analyse d’impact des transferts.
- 4. Auditer les deux : audits internes selon ISO 27701 et revue juridique périodique au regard du RGPD.
Étape suivante
Essayez gratuitement ou passez directement à la solution complète.
Kit ISO 27701 : la documentation de votre système de management de la vie privée
34 documents Word · 14 outils Excel · 78 mesures de l'annexe A
Voir le kit ISO 27701 avec annexe RGPD
Échantillon gratuit
Téléchargez gratuitement une version réduite de la matrice des risques du kit (Excel, 10 scénarios, carte de chaleur ; échantillon en anglais). Voyez comment le niveau et la catégorie sont calculés avant de décider.
Télécharger l'échantillon gratuit (en anglais)Questions fréquentes
La certification ISO 27701 prouve-t-elle la conformité au RGPD ?
Non. C’est une preuve solide d’un programme vie privée piloté, mais la conformité dépend du respect de chaque obligation légale, que les autorités apprécient.
Faut-il ISO 27701 pour respecter le RGPD ?
Non. Le RGPD n’exige aucune certification. ISO 27701 est un moyen d’organiser et de prouver la conformité.
ISO 27701 est-elle un mécanisme de certification au sens de l’article 42 du RGPD ?
Pas par défaut. Les certifications de l’article 42 doivent être approuvées par les autorités ou le Comité européen de la protection des données ; la certification ISO 27701 est une certification privée de système de management.
ISO 27701 aide-t-elle pour des lois hors de l’UE ?
Oui. Ses mesures sont neutres vis-à-vis des lois : le même système peut organiser les preuves pour le UK GDPR, les lois des États américains, la LGPD brésilienne ou la loi chilienne 21.719.
Guides associés
Documents obligatoires ISO 27001:2022 : la liste par article
Les informations documentées exigées par l'ISO/IEC 27001:2022, article par article (domaine d'application, politique, risques, déclaration d'applicabilité, objectifs, audit, revue de direction), et les documents attendus pour l'annexe A.
Lire le guide →Documents obligatoires ISO 27701:2025
Les informations documentées exigées par ISO/IEC 27701:2025 pour un système de management de la vie privée : périmètre, politique, risques, Déclaration d’applicabilité, enregistrements et preuves, avec le chapitre de chacune.
Lire le guide →ISO 27701:2025 : ce qui change et que faire maintenant
ISO/IEC 27701:2025 devient une norme de système de management de la vie privée autonome. Ce qui change par rapport à 2019, la nouvelle annexe A (78 mesures), les délais de transition et les prochaines étapes.
Lire le guide →Mis à jour: 2026-10-24