Un client vous demande une preuve de conformité. Pas un engagement sur l’honneur dans un questionnaire : une preuve, délivrée par quelqu’un d’autre que vous. Deux noms reviennent alors — ISO 27701 et Europrivacy — et la plupart des articles disponibles vous répondent « prenez les deux ».
C’est une mauvaise réponse. Ces deux certifications ne certifient pas la même chose, ne relèvent pas des mêmes organismes et ne servent pas les mêmes interlocuteurs. Choisir la mauvaise, c’est payer un audit au bout duquel votre client vous redemande exactement ce qu’il vous demandait au départ.
Cet article explique ce que chacune prouve réellement, ce qui se construit une seule fois pour les deux, et comment trancher selon ce qu’on vous réclame. Il ne remplace pas notre accompagnement à la mise en conformité RGPD : il vous aide à savoir si une certification a du sens pour vous — et, souvent, à comprendre qu’elle n’en a pas encore.
Trois cadres, trois objets différents
Commençons par lever la confusion de départ : le RGPD ne se certifie pas tout seul. C’est un règlement européen qui vous impose des obligations. Il n’existe aucun certificat « conforme RGPD » générique, et aucun organisme ne peut en délivrer un.
Le règlement prévoit, à ses articles 42 et 43, un mécanisme de certification volontaire. Europrivacy est à ce jour le seul schéma que le Comité européen de la protection des données (CEPD) a approuvé à ce titre.
L’ISO 27701 ne relève pas du RGPD. C’est une norme internationale de système de management de la vie privée. Sa révision de 2025 a changé la donne : jusque-là extension de l’ISO 27001, elle est devenue une norme autonome. On peut désormais s’y certifier sans disposer au préalable d’un système de management de la sécurité de l’information. Elle devient accessible à des organisations pour lesquelles elle était hors de portée il y a deux ans.
Ce que chacune certifie
| ISO 27701:2025 | Europrivacy | |
|---|---|---|
| Ce qui est certifié | un système de management de la vie privée | un traitement, un produit ou un service |
| Ce que ça prouve | que vous pilotez la protection des données | que ce périmètre-là est conforme au RGPD |
| Statut au regard du RGPD | aucun en propre — facilite la démonstration | sceau européen, articles 42 et 43 |
| Qui délivre | organisme accrédité ISO/IEC 17021 (systèmes de management) | organisme accrédité ISO/IEC 17065 et agréé au titre de l’article 43 |
| Durée | cycle de trois ans, audits de surveillance annuels | trois ans maximum (article 42(7)), avec suivi |
| Qui la réclame | acheteurs, questionnaires sécurité, appels d’offres | clients européens, contrats de transfert, autorités |
| Référentiel géré par | l’ISO | l’European Centre for Certification and Privacy (Luxembourg) |
Deux précisions sur le périmètre Europrivacy
Le périmètre Europrivacy n’est jamais l’entreprise entière. C’est vous qui le définissez — une plateforme, un service, un traitement. Un avantage quand la demande de votre client porte précisément sur ce périmètre ; une limite quand elle porte sur votre organisation.
Depuis les avis du CEPD du 17 avril 2026, la version 82 des critères Europrivacy vaut à la fois sceau européen de protection des données et outil d’encadrement des transferts, au titre des articles 42 et 46. Un importateur de données établi hors de l’Union peut s’en servir pour apporter les garanties appropriées attendues. C’est nouveau, et c’est à ce jour le seul dispositif de ce type.
Ce que l’ISO 27701 ne prouve pas
C’est la confusion la plus coûteuse, et elle mérite d’être traitée franchement : être certifié ISO 27701 ne vous rend pas conforme au RGPD, et ne le démontre pas juridiquement.
La norme elle-même le dit. Son annexe D propose une correspondance entre ses exigences et les articles 5 à 49 du RGPD, mais elle prend soin de préciser que ce tableau est « purement indicatif » et qu’« il incombe à l’organisme d’évaluer ses obligations légales et de décider comment y conformer ». Autrement dit : la norme ne se présente pas comme une preuve de conformité. Elle vous aide à en construire une, la charge de la démonstration restant la vôtre.
Ce que la 27701 prouve, c’est autre chose, et ce n’est pas rien : que vous avez un dispositif organisé, avec des responsabilités désignées, des contrôles documentés, un programme d’audit interne et une revue de direction. Pour un acheteur qui évalue un fournisseur, c’est une information solide. Pour un client qui vous demande la preuve qu’un traitement précis respecte le règlement, ça ne répond pas à la question posée.
Ce qui se construit une seule fois
Voici le point que presque personne ne dit, et c’est celui qui devrait guider votre décision : entre les deux démarches, ce qui se mutualise, ce n’est pas l’audit — c’est la matière.
Huit pièces servent aux deux, à l’identique :
- le registre des traitements (article 30)
- les analyses d’impact sur la protection des données (article 35)
- l’analyse des transferts hors Union européenne (chapitre V)
- les contrats de sous-traitance (article 28)
- la procédure de notification des violations de données (articles 33 et 34)
- la procédure d’exercice des droits des personnes (articles 12 à 22)
- les mesures techniques et organisationnelles (article 32)
- l’analyse de risque associée
Deux exigences supplémentaires sont propres à la voie « système de management » : le programme d’audit interne et la revue de direction. Europrivacy ne les impose pas comme telles.
Construite une fois, cette matière sert les deux démarches. Construite deux fois — parce que le projet RGPD et le projet ISO avancent avec des équipes et des prestataires différents — elle diverge. Et la divergence entre deux versions du même registre est exactement ce qu’un auditeur trouve, parce que c’est exactement ce qu’il cherche.
C’est aussi pour cette raison que la question « laquelle choisir ? » est moins urgente qu’elle n’en a l’air. Le socle est le même, et il commence par un audit RGPD qui mesure l’écart. Le choix du certificat se pose au bout, pas au début.
ISO 27701 ou Europrivacy : laquelle choisir selon votre situation
Situation 1 — on vous réclame une preuve sur un périmètre précis
Un contrat, un appel d’offres européen, un client qui veut savoir si ce service traite ses données correctement. La certification Europrivacy répond exactement à cette demande : c’est le mécanisme que prévoit le règlement lui-même, le périmètre est celui que vous choisissez, et le certificat vaut dans toute l’Union. Si des transferts hors UE entrent en jeu, c’est aujourd’hui le seul schéma qui puisse aussi servir à les encadrer.
Situation 2 — la demande vient des acheteurs et porte sur votre organisation
Questionnaires sécurité à répétition, référencement chez un grand compte, secteur où l’ISO 27001 sert déjà de monnaie d’échange. L’ISO 27701 parle le langage que ces interlocuteurs lisent déjà. Elle s’intègre à vos autres systèmes de management : la révision 2025 adopte la structure harmonisée commune à toutes les normes de système de management, celle de l’ISO 9001 comme des autres. Elle s’inscrit dans une logique d’amélioration continue, avec audits de surveillance. Si vous êtes déjà certifié ISO 9001 ou 27001, l’intégration est réelle et le surcoût limité : c’est le terrain de nos accompagnements vers les normes ISO.
Situation 3 — personne ne vous demande rien
Alors aucune des deux. Le RGPD n’impose aucune certification, et se certifier ne dispense de rien. Mettez-vous en conformité, tenez votre registre à jour, formez vos équipes. Une certification sans destinataire reste une dépense sans retour — et l’audit se passera mal, parce que le socle ne sera pas là.
Reste le cas des organisations qui relèvent des situations 1 et 2 à la fois : éditeurs SaaS, hébergeurs, sous-traitants de données sensibles. Elles existent, elles sont minoritaires, et pour elles la double démarche a du sens — à condition d’avoir lu ce qui suit.
N’espérez pas un audit unique
C’est le malentendu qui coûte le plus cher en fin de projet. Les deux certifications relèvent de deux accréditations différentes : ISO/IEC 17021 pour les systèmes de management, ISO/IEC 17065 pour la certification de produits, processus et services, à laquelle s’ajoute l’agrément que prévoit l’article 43 du RGPD.
Conséquence concrète : deux référentiels, deux audits, deux certificats. Certains grands organismes détiennent les deux accréditations et peuvent coordonner les calendriers, voire regrouper une visite — à vérifier auprès d’eux, ce n’est jamais acquis, et cela ne fusionne pas les certificats pour autant. Toute promesse d’« audit unique » doit vous alerter.
Une note de calendrier, si vous êtes déjà certifié
Si votre organisation détient une certification ISO 27701 dans sa version 2019, la transition vers la version 2025 doit être achevée au 31 octobre 2028. Les organismes de certification, eux, devaient basculer au 31 octobre 2026. La bascule se prépare à l’occasion d’un audit de surveillance ou de renouvellement. C’est aussi le bon moment pour une question de fond : la 27701 reste-t-elle le bon cadre, ou ce qu’on vous demande appelle-t-il plutôt un sceau européen ?
Comment SoQualy intervient
Notre position tient en une phrase : nous ne délivrons aucun certificat, et aucun cabinet de conseil ne le peut. Un cabinet ne peut pas auditer un dossier qu’il a lui-même constitué — cette séparation est une garantie, pas une limite.
Ce que nous faisons, c’est le travail d’avant : diagnostic d’écart, construction du socle documentaire, préparation à l’audit, accompagnement pendant les séances. Cela vaut que la démarche vous mène vers la certification Europrivacy ou vers une certification ISO.
Notre particularité tient à ce socle. Sophie Schaeffert, notre déléguée à la protection des données, est certifiée DPO par PECB et membre de l’AFCDP — et elle est aussi qualiticienne. Le registre, les analyses d’impact et l’analyse des transferts qu’elle produit côté RGPD sont les pièces que réclame un auditeur ISO. Elle les écrit une fois, dans une logique qui tient debout des deux côtés. C’est banal à dire et rare à obtenir : entre deux prestataires qui ne se parlent pas, ces pièces divergent, et c’est là que l’audit achoppe.
ISO 27701 ou Europrivacy : si vous ne savez pas encore laquelle des deux voies vous concerne, c’est le sujet d’un premier échange. Trente minutes suffisent pour cadrer la question : ce qu’on vous demande, qui vous le demande, et quel cadre y répond.
Questions fréquentes
L’ISO 27701 nous dispense-t-elle du RGPD ?
Non. Le RGPD est un règlement : il s’applique, certification ou pas. La norme facilite la démonstration de votre organisation, elle ne remplace aucune obligation. Son annexe D, qui met ses exigences en regard des articles du règlement, précise elle-même que la correspondance est « purement indicative » et qu’il revient à l’organisme d’évaluer ses obligations légales.
Peut-on se certifier ISO 27701 sans être certifié ISO 27001 ?
Oui, depuis la révision de 2025. La norme est devenue autonome : elle ne dépend plus de la mise en œuvre de l’ISO 27001. C’est le changement le plus important de cette version, et il rend la norme accessible à des organisations qui n’ont pas de système de management de la sécurité.
Nous sommes certifiés ISO 27701:2019 — que devons-nous faire ?
Basculer vers la version 2025 avant le 31 octobre 2028. La transition s’organise avec votre organisme certificateur, le plus souvent lors d’un audit de surveillance ou de renouvellement.
Europrivacy certifie-t-elle toute l’entreprise ?
Non, et c’est un avantage. Le périmètre est celui que vous définissez : un traitement, un produit, un service. Beaucoup d’organisations commencent par le périmètre sur lequel porte la demande de leur client, puis l’étendent.
Peut-on obtenir les deux avec un seul audit ?
Non. Les deux relèvent d’accréditations distinctes — ISO/IEC 17021 d’un côté, ISO/IEC 17065 assortie de l’agrément de l’article 43 de l’autre. Certains organismes détiennent les deux et peuvent coordonner les calendriers, mais les référentiels, les audits et les certificats restent séparés.
