L’ISO/IEC 27701 était jusqu’ici une norme complémentaire : elle ne pouvait être certifiée qu’en complément d’un système de management de la sécurité de l’information ISO 27001. L’édition 2025 change la donne. Pour les organisations qui doivent démontrer leur conformité en matière de protection de la vie privée, y compris au titre de la loi 25 du Québec, elle ouvre une voie plus directe.
Ce qui a changé
L’ISO a publié la deuxième édition, ISO/IEC 27701:2025, le 14 octobre 2025, intitulée Sécurité de l’information, cybersécurité et protection de la vie privée — Systèmes de management des informations relatives à la vie privée — Exigences et lignes directrices. Interrogée sur la possibilité de l’utiliser seule, l’ISO répond : « Oui, car il s’agit d’une norme de système de management indépendante » (ISO).
En pratique, une organisation peut désormais mettre en œuvre et certifier un système de management des informations relatives à la vie privée (SMIVP) sans détenir au préalable la certification ISO 27001. Les évaluateurs et organismes de certification publient depuis des lignes directrices sur cette transition (Schellman ; Coalfire).
À qui cela profite-t-il
- Aux organisations dont le principal risque concerne la vie privée, et non la sécurité : services de marketing, RH et recherche, établissements de santé et d’éducation, et fournisseurs SaaS qui traitent des renseignements personnels pour le compte de clients.
- Aux responsables du traitement et aux sous-traitants : la norme couvre les deux rôles, ce qui convient aux prestataires de services dont les clients exigent des preuves de traitement conforme.
- Aux organisations déjà certifiées ISO 27001 : elles peuvent toujours intégrer les deux normes et obtenir un certificat de protection de la vie privée reconnu par les clients et les régulateurs.
Correspondance avec la loi 25
Un certificat ne vaut pas conformité légale, mais un SMIVP structure bon nombre des obligations prévues par la loi 25 au titre de la loi sur le secteur privé (LégisQuébec) :
- la gouvernance et la désignation d’un responsable de la protection des renseignements personnels;
- des politiques et pratiques de gouvernance des renseignements personnels;
- des évaluations des facteurs relatifs à la vie privée, notamment avant tout transfert à l’extérieur du Québec;
- un registre des incidents de confidentialité et un processus d’intervention;
- des règles de conservation et de destruction, ainsi que le traitement des demandes des personnes concernées.
Déjà certifié selon l’édition 2019?
Les certificats délivrés selon l’ISO/IEC 27701:2019 devront migrer vers l’édition 2025. Demandez à votre organisme de certification son calendrier de transition et planifiez cette mise à jour lors de votre prochain audit de surveillance ou de renouvellement.
Par où commencer
- Cartographiez vos renseignements personnels : quoi, où, pourquoi, qui y a accès et pendant combien de temps vous les conservez.
- Déterminez votre rôle pour chaque activité de traitement : responsable du traitement, sous-traitant, ou les deux.
- Réalisez une analyse des écarts par rapport à l’ISO/IEC 27701:2025 et à la loi 25 simultanément.
- Déterminez si vous souhaitez certifier l’ISO 27701 seule ou l’intégrer à l’ISO 27001.
Accel GRC met en correspondance les exigences de la loi 25, de l’ISO 27701 et de l’ISO 27001, et KW Consulting accompagne la préparation à la certification. Contactez-nous.
Sources
Est-ce que cela s’applique à vous? Une consultation gratuite de 30 minutes relie l’exigence à vos systèmes et vous indique quoi faire ensuite.
Réserver une consultation gratuite