fr
en
ISO/IEC 27701 version 2025 : quelles évolutions pour la certification et la protection des données ?
En règle générale, les normes ISO sont révisées tous les cinq ans afin de rester alignées avec les évolutions technologiques, réglementaires et économiques. Les organisations certifiées disposent ensuite d’une période de transition, généralement de trois ans, pour se conformer à la nouvelle version. Comme toujours, une adoption anticipée est recommandée.
La norme ISO/IEC 27701, qui définit un système de management des informations relatives à la vie privée (Privacy Information Management System – PIMS), ne fait pas exception. Elle fait actuellement l’objet d’une révision majeure qui modifiera en profondeur son positionnement et ses modalités de certification.
ISO/IEC 27701 : d’une extension d’ISO 27001 à une norme autonome
Depuis sa publication le 6 août 2019, ISO/IEC 27701 s’est imposée comme un référentiel international pour la mise en œuvre d’un système de management de la protection des données personnelles. Elle venait compléter la norme ISO/IEC 27001 en y intégrant une dimension spécifique relative à la protection des données.
Cependant, cette dépendance a limité son adoption : jusqu’à présent, la certification ISO 27701 n’était accessible qu’aux organisations déjà certifiées ISO/IEC 27001.
La version 2025, publié en octobre 2025, modifie profondément cette situation. ISO/IEC 27701 devient une norme autonome, permettant aux entreprises et institutions d’obtenir directement la certification sans certification préalable ISO/IEC 27001.
Cette évolution ouvre la voie à de nouveaux acteurs – PME, start-ups, établissements de santé, fintechs, plateformes e-commerce et entreprises spécialisées en intelligence artificielle – qui pourront désormais démontrer leur conformité en matière de protection des données sans disposer d’un système de management de la sécurité de l’information (SMSI) pleinement mature.
Une norme alignée sur les enjeux actuels : RGPD, cloud et intelligence artificielle
ISO/IEC 27701:2025 s’aligne sur les versions ISO/IEC 27001:2022 et ISO/IEC 27002:2022, en intégrant des contrôles modernisés couvrant :
- la cybersécurité
- le cloud computing
- l’intelligence artificielle
La norme adopte également une approche internationale en intégrant les principales réglementations en matière de protection des données : RGPD en Europe, CCPA/CPRA aux États-Unis, LGPD au Brésil, ainsi que les législations en vigueur en Afrique et en Asie.
Son périmètre s’étend désormais aux données biométriques, aux données de santé et aux informations issues de l’Internet des objets (IoT). Les exigences relatives au consentement, à la transparence des traitements automatisés et à la traçabilité des transferts internationaux de données sont renforcées.
Simplification des contrôles et recentrage sur la conformité
La version 2025 introduit une simplification notable des exigences.
La dépendance à la Déclaration d’applicabilité issue d’ISO/IEC 27001 disparaît, ce qui facilite la mise en œuvre.
Par ailleurs :
- 52 contrôles non directement liés à la protection des données sont supprimés ;
- environ 31 contrôles sont prévus pour les responsables de traitement (PII Controllers) ;
- 18 contrôles pour les sous-traitants (PII Processors) ;
- 29 contrôles communs applicables aux deux rôles.
Cette réorganisation simplifie l’implémentation et renforce l’alignement avec les exigences internationales telles que le RGPD. Elle permet aux organisations de se concentrer sur l’essentiel : la conformité en matière de protection des données.
Gouvernance renforcée et responsabilités accrues
La gouvernance occupe désormais une place centrale dans la nouvelle version ISO 27701:2025.
Les responsabilités de la direction sont explicitement renforcées et la norme encourage l’intégration de la protection des données dans la gouvernance globale des risques de l’organisation.
Les obligations de reporting, la gestion des fournisseurs et sous-traitants ainsi que les mécanismes de contrôle deviennent plus exigeants, facilitant les audits et les échanges avec les autorités de régulation.
ISO 27701:2025 et certification des professionnels
La version 2025 ouvre également la voie à la certification des professionnels. Experts en protection des données, consultants, DPO et responsables conformité pourront faire reconnaître officiellement leur maîtrise de la norme ISO/IEC 27701.
SO/IEC 27701 version 2025, un cadre stratégique pour la protection des données
ISO/IEC 27701:2025 marque une évolution majeure. D’extension d’ISO/IEC 27001, elle devient un référentiel autonome, universel et stratégique pour la gouvernance de la protection des données.
Au-delà d’un simple outil de conformité, la norme ISO 27701 s’impose comme un levier de confiance et de compétitivité pour les organisations.
La question n’est plus de savoir s’il faut s’y préparer, mais à quel moment engager cette transition.
Sekou Kamara
Formateur Oo2
