Plateforme ISO 27701 pour votre PIMS

PIMS est l'acronyme de privacy information management system, soit un système de management de la protection de la vie privée. Là où le SMSI de l'ISO 27001 protège l'information en général, le PIMS traite la question de savoir qui manipule des données à caractère personnel, à quel titre et avec quelles garanties pour les personnes concernées. Il reprend la même mécanique de management (rôles, appréciation du risque, amélioration continue) et y ajoute des exigences propres à la vie privée : information des personnes, gestion du consentement, transferts, encadrement des sous-traitants. Il peut être conduit seul ou intégré à un SMSI existant.

Oui. Contrairement à des normes de lignes directrices comme l'ISO 27005, elle énonce des exigences auditables. Publiée pour la première fois en 2019 comme extension de l'ISO/IEC 27001, elle a été révisée en octobre 2025 : cette deuxième édition est un référentiel de management autonome, qui se certifie sans exiger au préalable une certification ISO/IEC 27001, tout en restant intégrable à un SMSI existant. Les certificats délivrés sous l'édition 2019 restent valables pendant une période de transition de trois ans. Confirmez auprès de votre organisme certificateur accrédité l'édition visée par votre audit.

Non. Le RGPD prévoit à son article 42 des mécanismes de certification approuvés par les autorités de contrôle, et l'ISO 27701 n'en fait pas partie : aucun certificat ISO ne dispense d'appliquer le règlement. Ce que la norme apporte, c'est une organisation documentée et, dans son annexe D, une correspondance entre ses exigences et les articles du RGPD, ce qui rend la conformité beaucoup plus facile à démontrer devant un client, un auditeur ou une autorité. C'est un moyen de preuve, pas un bouclier juridique.

Toute organisation qui traite des données à caractère personnel, comme responsable de traitement ou comme sous-traitant, quelle que soit sa taille et quel que soit son secteur. La norme distingue ces deux rôles et leur associe des jeux de mesures différents : un hébergeur ou un éditeur SaaS ne porte pas les mêmes obligations que le donneur d'ordre. Contrairement au RGPD, qui s'impose par la loi, la démarche reste volontaire : elle est le plus souvent engagée à la demande de clients ou d'appels d'offres exigeant une garantie sur la protection des données.

Le registre des activités de traitement prévu par l'article 30 du RGPD est un document : il liste vos traitements, leurs finalités, leurs destinataires et leurs durées de conservation. Le PIMS est le système qui produit et maintient ce document, parmi d'autres. Il définit qui en est responsable, à quelle fréquence il est revu, quand une analyse d'impact est déclenchée, comment une demande d'exercice de droits est traitée. Un registre à jour ne suffit pas à démontrer un PIMS ; c'est un PIMS qui fonctionne qui garde le registre à jour.

Parce que la difficulté d'un PIMS n'est pas de rédiger les documents, mais de les tenir cohérents dans le temps. Une finalité change, un sous-traitant est remplacé, une durée de conservation est raccourcie : dans un tableur, rien ne signale les mesures et les preuves devenues fausses. Une plateforme conserve le lien entre un traitement, la mesure qui le couvre, le contrôle 27701 correspondant et la preuve déposée, et signale ce qui casse quand un élément bouge. C'est cette chaîne que l'auditeur demande à voir.