RGPD et ISO 27001 : comment mutualiser vos efforts

Dans beaucoup d’entreprises, le RGPD est piloté par le juridique ou le DPO, et ISO 27001 par la DSI ou le RSSI. Deux équipes, deux tableurs, deux analyses de risques… alors qu’une bonne partie du travail est commune. Voici comment faire converger les deux démarches sans confondre leurs objectifs.

Deux logiques différentes, un socle commun

• ISO 27001 protège l’information de l’organisation — toute l’information, personnelle ou non — contre les atteintes à sa confidentialité, son intégrité et sa disponibilité.
• Le RGPD protège les personnes : il encadre la licéité, la loyauté et la transparence des traitements, et donne des droits aux personnes concernées.

La sécurité du traitement (article 32), la gestion des violations (articles 33 et 34) et l’encadrement des sous-traitants (article 28) sont le terrain commun. Les bases légales, l’information des personnes ou leurs droits relèvent du seul RGPD.

Ce qu’un SMSI apporte déjà

D’après les correspondances du catalogue OK-GRC, les mesures d’ISO 27001 touchent 33 à 55 des 82 exigences RGPD suivies, soit un score de départ d’environ 19 à 41 % selon que l’on retient une hypothèse stricte ou large. C’est significatif, mais cela montre aussi qu’un certificat ISO 27001 ne vaut pas conformité au RGPD.

Ce que le RGPD demande en plus

• une base légale documentée pour chaque traitement et, pour l’intérêt légitime, une mise en balance ;
• l’information des personnes (articles 13 et 14) ;
• la gestion des demandes de droits dans le délai d’un mois ;
• le registre des activités de traitement (article 30) ;
• des durées de conservation définies et appliquées ;
• les analyses d’impact (AIPD) pour les traitements à risque élevé ;
• l’encadrement des transferts hors de l’Union européenne ;
• le cas échéant, la désignation d’un DPO.

Sept chantiers à mener une seule fois

1. Une méthode de risques, deux angles. Utilisez la même échelle et le même registre ; ajoutez aux risques pour l’organisation les risques pour les personnes, qui alimentent vos AIPD.
2. Un inventaire unique. L’inventaire des actifs d’ISO 27001 et le registre des traitements se nourrissent l’un l’autre : quelles applications portent quels traitements, où sont stockées les données, qui y accède.
3. Un processus fournisseurs. Le même questionnaire évalue la sécurité d’un prestataire et sa qualité de sous-traitant au sens du RGPD ; le même dossier conserve le contrat, l’accord de sous-traitance et la localisation des données.
4. Une procédure d’incident à deux sorties. Tout incident de sécurité est qualifié : s’agit-il aussi d’une violation de données ? Si oui, le compte à rebours de 72 heures vers la CNIL démarre.
5. Un programme de sensibilisation. Un parcours annuel peut couvrir hameçonnage, mots de passe, bonnes pratiques RGPD et usage de l’IA.
6. Une gestion documentaire. Politique de sécurité et politique de protection des données suivent le même circuit de rédaction, d’approbation, de diffusion et de revue.
7. Un audit interne et une revue de direction communs. Le programme d’audit couvre les deux référentiels ; la revue de direction examine les indicateurs de sécurité et de conformité RGPD.

Et ISO 27701 ?

ISO/IEC 27701 est le pont entre les deux mondes : elle structure la protection de la vie privée comme un système de management certifiable. Depuis l’édition 2025, elle peut être certifiée seule, mais l’intégrer à un SMSI ISO 27001 existant reste souvent le chemin le plus court, car une grande partie des mesures de sécurité est commune.

Les pièges à éviter

• Confondre sécurité et licéité : un traitement parfaitement sécurisé peut être illicite s’il n’a pas de base légale ou s’il conserve les données trop longtemps.
• Exclure trop vite la mesure « vie privée » de l’annexe A (A.5.34) dans la déclaration d’applicabilité : elle est presque toujours pertinente.
• Oublier les droits des personnes dans le périmètre du SMSI : une demande d’accès mal traitée est un incident de conformité.
• Présenter le certificat ISO 27001 comme une preuve de conformité RGPD : c’est un élément de preuve des mesures de sécurité, pas davantage.

Comment OK-GRC vous aide

Dans OK-GRC, le RGPD et ISO 27001 partagent les mêmes mesures communes : une mesure mise en œuvre fait progresser les deux scores. Le module RGPD ajoute ce qui est propre au règlement — registre, AIPD, demandes de droits, violations — et le registre des incidents qualifie chaque événement au regard du RGPD comme de NIS 2.