ISO 27001 ne rend pas conforme au RGPD, et le RGPD n'impose pas ISO 27001. Mais une large part des preuves est commune : le registre des traitements, l'analyse des risques, l'évaluation des sous-traitants, la gestion des violations. Un SMSI bien tenu est l'un des moyens les plus solides de démontrer la sécurité exigée par l'article 32 du RGPD, à condition de ne pas tenir deux fois la même documentation.
C'est la douleur qui revient le plus souvent dans nos échanges avec les DPO et les RSSI depuis le printemps : un dossier pour l'auditeur ISO 27001, un autre pour la conformité RGPD, et deux inventaires qui divergent dès le troisième mois. Un éditeur de logiciel de cybersécurité a vu sa certification menacée par un registre RGPD qui n'était plus à jour. Un éditeur SaaS prépare son audit ISO 27001 avec une seule documentation, pour répondre dans la foulée aux contrôles RGPD de ses clients. Une scale-up spécialisée en IA veut rassurer ses clients européens sans empiler les référentiels.
Ce guide répond à trois questions : ce qu'ISO/IEC 27001:2022 couvre du RGPD et ce qu'elle laisse de côté, comment les exigences se correspondent pièce par pièce, et comment organiser le travail entre DPO et RSSI pour ne rien saisir deux fois.
ISO 27001 couvre-t-elle le RGPD ?
Non, et ce n'est pas un défaut de la norme : les deux textes ne protègent pas le même objet.
Deux objets différents
ISO/IEC 27001 protège l'information de l'organisme, quelle qu'elle soit (secrets d'affaires, données financières, code source, données personnelles), selon trois critères : confidentialité, intégrité, disponibilité. Elle décrit un système de management : on apprécie les risques, on choisit des mesures, on vérifie qu'elles fonctionnent, on corrige. La certification est volontaire.
Le RGPD protège les personnes dont on traite les données. Il fixe des principes (licéité, limitation des finalités, minimisation, durée de conservation limitée), des droits, et une obligation de démontrer la conformité (article 5.2 et article 24). La sécurité n'est qu'un de ses principes : l'article 5.1 f), détaillé par l'article 32.
D'où une conséquence pratique : un organisme peut être certifié ISO 27001 et traiter des données sans base légale, ou conserver des fichiers clients sans durée définie. À l'inverse, une conformité RGPD n'impose ni audit interne, ni revue de direction, ni déclaration d'applicabilité.
Le point de jonction : l'article 32 et la mesure A.5.34
L'article 32 du RGPD demande des mesures techniques et organisationnelles appropriées au risque, dont la pseudonymisation et le chiffrement, la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes, la capacité à rétablir l'accès aux données après un incident, et une procédure pour tester et évaluer régulièrement l'efficacité des mesures. C'est exactement ce qu'un SMSI produit et documente.
Du côté de la norme, l'annexe A d'ISO/IEC 27001:2022 compte 93 mesures en quatre thèmes : 37 organisationnelles (A.5), 8 liées aux personnes (A.6), 14 physiques (A.7) et 34 technologiques (A.8). La mesure A.5.34, « Protection de la vie privée et des données à caractère personnel », oblige l'organisme à identifier et respecter les exigences légales applicables aux données personnelles. Elle est le pont : un SMSI qui l'écarte de sa déclaration d'applicabilité alors qu'il traite des données personnelles aura du mal à le justifier devant l'auditeur.
La correspondance, exigence par exigence
La liste ci-dessous relie chaque exigence du RGPD à la clause ou aux mesures de l'annexe A qui produisent la même preuve. Elle ne signifie pas que l'une remplit l'autre : elle indique où une seule pièce peut servir deux fois.
- Registre des traitements (article 30) et inventaire des actifs (A.5.9) : le registre recense les traitements, leurs données, leurs destinataires et leurs mesures de sécurité ; l'inventaire ISO recense les informations et les actifs associés, avec leur propriétaire. Les applications et les prestataires cités dans le registre des traitements sont une base d'inventaire déjà constituée.
- AIPD (article 35) et appréciation des risques (clauses 6.1.2 et 8.2) : même logique de scénarios, de vraisemblance et de gravité, mais pas la même victime. L'appréciation ISO mesure le risque pour l'organisme ; l'AIPD mesure le risque pour les droits et libertés des personnes. Une seule méthode peut porter les deux lectures, à condition de garder les deux colonnes.
- Sous-traitants et clauses (article 28) et relations fournisseurs (A.5.19 à A.5.23) : l'article 28 impose de ne recourir qu'à des sous-traitants présentant des garanties suffisantes et de contractualiser leurs obligations ; les mesures A.5.19 à A.5.23 couvrent la sécurité dans les relations fournisseurs, les accords, la chaîne d'approvisionnement, le suivi des services et l'usage du cloud. Un seul questionnaire, un seul audit des sous-traitants, deux usages.
- Violations de données (articles 33 et 34) et gestion des incidents (A.5.24 à A.5.28, A.6.8) : le circuit ISO (préparation, qualification, réponse, retour d'expérience, collecte de preuves) doit embarquer la question RGPD : s'agit-il d'une violation de données personnelles, faut-il notifier la CNIL dans les 72 heures, informer les personnes ? Le registre des violations de l'article 33.5 devient une vue du registre des incidents. Notre guide sur les violations de données détaille les deux articles.
- Protection des données dès la conception et par défaut (article 25) et développement sécurisé (A.8.25 à A.8.29) : cycle de développement sécurisé, exigences de sécurité des applications, principes d'architecture, codage sécurisé, tests de sécurité. Le volet RGPD ajoute la minimisation et les réglages par défaut, que la norme ne demande pas : voir notre guide du Privacy by Design.
- Mesures de l'article 32 et mesures technologiques (A.8) : authentification (A.8.5), sauvegarde (A.8.13), journalisation (A.8.15), chiffrement (A.8.24), masquage des données (A.8.11), suppression des informations (A.8.10). La « procédure pour tester et évaluer régulièrement » de l'article 32.1 d) trouve sa preuve dans l'audit interne (clause 9.2) et la revue indépendante (A.5.35).
- Exigences légales (articles 5.2 et 24) et conformité (A.5.31 et A.5.34) : la norme demande d'identifier les exigences légales et contractuelles applicables. Le RGPD figure dans cette liste dès qu'on traite des données personnelles, ce qui fait entrer le DPO dans le SMSI par la grande porte.
Cette liste n'est pas une table d'équivalence. Une mesure ISO « appliquée » dans la déclaration d'applicabilité ne prouve pas à elle seule qu'un traitement est conforme ; elle prouve que l'organisme a organisé la sécurité de ce traitement.
Ce qu'ISO 27001 ne couvre pas du RGPD
Tout ce qui touche à la légitimité du traitement et aux droits des personnes reste hors du périmètre de la norme. Un SMSI ne répond à aucune de ces questions :
- Les bases légales (article 6) et les conditions propres aux données sensibles (article 9) : voir notre guide sur la base légale du RGPD.
- L'information des personnes (articles 12 à 14) : mentions, politique de confidentialité, transparence.
- L'exercice des droits (articles 15 à 22) : accès, rectification, effacement, opposition, portabilité, avec leurs délais. Voir les droits RGPD des personnes.
- Les durées de conservation (article 5.1 e) : la mesure A.8.10 encadre la suppression sécurisée, pas la durée elle-même. Voir notre guide sur la durée de conservation des données.
- Les transferts hors de l'Union (chapitre V) : décisions d'adéquation, clauses contractuelles types, analyses d'impact des transferts. La mesure A.5.14 sur le transfert d'information parle de sécurité des échanges, pas de pays tiers. Voir les pays compatibles au RGPD.
- Le DPO lui-même : sa désignation, son indépendance et ses missions (articles 37 à 39) n'ont pas d'équivalent dans la norme.
Pour couvrir ce périmètre avec la même mécanique de système de management, il existe une norme dédiée : ISO/IEC 27701, autonome depuis son édition du 14 octobre 2025, qui décrit un système de management de la protection de la vie privée. Elle ne remplace pas pour autant la conformité au RGPD : elle l'organise.
Une seule documentation : comment l'organiser
La pratique qui tient dans le temps n'est pas de fusionner les deux dossiers en un document unique, mais de faire pointer les deux référentiels vers les mêmes pièces, chacune tenue par un seul propriétaire. Quatre chantiers suffisent à supprimer l'essentiel de la double saisie.
Partir du registre, pas d'une feuille blanche
Le registre des traitements recense déjà les applications, les hébergeurs, les flux et les catégories de données. C'est le squelette de l'inventaire des actifs : on y ajoute ce que le RGPD ne demande pas (actifs sans données personnelles, propriétaire de l'actif au sens ISO, classification selon A.5.12), au lieu de recenser deux fois les mêmes applications. Le cas de l'éditeur de cybersécurité cité plus haut le montre à l'envers : quand le registre décroche, ce n'est pas seulement la conformité RGPD qui vacille, c'est aussi l'inventaire que l'auditeur ISO contrôle.
Une méthode de risque, deux lectures
Une seule échelle de vraisemblance et de gravité, une seule bibliothèque de scénarios, et pour chaque risque deux impacts : sur l'organisme, sur les personnes. Les AIPD deviennent alors des appréciations ciblées sur les traitements à risque élevé, et leurs mesures alimentent directement le plan de traitement des risques ISO. La méthode EBIOS Risk Manager de l'ANSSI est très utilisée en France pour ce travail, et Leto propose une matrice EBIOS pour le structurer.
Un seul circuit fournisseurs, un seul circuit incidents
Un fournisseur qui traite des données personnelles reçoit un seul questionnaire, qui couvre à la fois les mesures A.5.19 à A.5.23 et les garanties de l'article 28. Ses réponses, ses certifications et ses clauses sont rangées au même endroit. Même logique pour les incidents : une seule fiche, avec une case « données personnelles concernées » qui déclenche l'analyse du DPO et le calcul du délai de 72 heures. C'est le principe retenu par l'éditeur SaaS cité en introduction : les mêmes pièces préparent son audit ISO 27001 et ses réponses aux questionnaires de sécurité de ses clients.
Une politique, des annexes
La politique de sécurité (PSSI) exigée par la clause 5.2 de la norme peut renvoyer à la politique de protection des données plutôt que la dupliquer, et la déclaration d'applicabilité peut citer, pour chaque mesure, l'article du RGPD qu'elle sert. Le même socle de preuves alimente la démonstration de conformité attendue par l'article 24 : notre guide des documents RGPD qui prouvent la conformité en dresse la liste.
DPO et RSSI : qui tient quoi
La répartition qui fonctionne suit la nature de la question, pas le nom du document.
- Le RSSI pilote le SMSI : périmètre, appréciation des risques, déclaration d'applicabilité, mesures techniques, audit interne, préparation de l'audit de certification.
- Le DPO tient la matière RGPD : registre des traitements, AIPD, bases légales, droits des personnes, clauses de l'article 28, qualification et notification des violations.
- Les deux partagent l'inventaire, la méthode de risque, l'évaluation des fournisseurs et le circuit d'incident, avec un propriétaire unique par pièce.
- La direction arbitre les risques résiduels et alloue les moyens : la norme l'exige (clause 5.1), et c'est le responsable du traitement, pas le DPO, qui répond de la conformité au RGPD (article 24).
Un DPO peut-il piloter lui-même le SMSI ? L'article 38.6 du RGPD l'autorise à exercer d'autres missions si elles n'entraînent pas de conflit d'intérêts, ce que la CJUE a rappelé dans l'arrêt X-FAB Dresden du 9 février 2023 (C-453/21). Décider seul des moyens de sécurité d'un traitement, puis en contrôler la conformité, s'en approche : le cumul se tranche au cas par cas et se documente. Notre guide sur le rôle du DPO détaille ses missions de l'article 39.
Certification RGPD et certification ISO 27001 : ne pas confondre
L'article 42 du RGPD prévoit des mécanismes de certification approuvés par une autorité de contrôle ou par le Comité européen de la protection des données, qui peuvent servir d'élément pour démontrer la conformité (articles 24.3, 28.5 et 32.3). ISO 27001 n'en est pas un : c'est une norme privée de sécurité de l'information, certifiée par des organismes accrédités, sans approbation au titre du RGPD. Le détail des labels réellement approuvés est dans notre guide sur la certification RGPD. Pour les entités soumises à NIS 2, la même question se pose avec l'article 21 de la directive : voir notre guide NIS 2 et RGPD.
Questions fréquemment posées
ISO 27001 suffit-elle pour être conforme au RGPD ?
Non. ISO 27001 couvre la sécurité de l'information, donc une partie de l'article 32 du RGPD. Elle ne traite ni des bases légales, ni de l'information des personnes, ni de l'exercice des droits, ni des durées de conservation, ni des transferts hors de l'Union. Une certification ISO 27001 est une preuve solide sur le volet sécurité, pas une preuve de conformité au RGPD.
Le RGPD impose-t-il ISO 27001 ?
Non. L'article 32 du RGPD impose des mesures de sécurité appropriées au risque et leur évaluation régulière, sans désigner de norme. ISO 27001 est un moyen reconnu de les organiser et de les démontrer, mais une organisation peut être conforme au RGPD sans être certifiée.
Le registre RGPD peut-il servir d'inventaire des actifs ?
Il en est une bonne base, pas la totalité. Le registre des traitements de l'article 30 recense les applications, les prestataires et les données personnelles. L'inventaire exigé par la mesure A.5.9 d'ISO 27001 couvre aussi les actifs sans données personnelles et désigne un propriétaire pour chacun. On part du registre et on le complète, plutôt que de recenser deux fois les mêmes applications.
Quelle norme pour la protection de la vie privée ?
ISO/IEC 27701. Depuis son édition du 14 octobre 2025, c'est une norme autonome qui décrit un système de management de la protection de la vie privée, pour les responsables de traitement comme pour les sous-traitants. Elle couvre ce qu'ISO 27001 laisse de côté, sans valoir certification au sens de l'article 42 du RGPD.
Qui pilote : DPO ou RSSI ?
En général le RSSI pilote le SMSI et le DPO tient la matière RGPD, avec des pièces partagées : inventaire, méthode de risque, évaluation des fournisseurs, circuit d'incident. Le DPO peut cumuler d'autres missions si elles n'entraînent pas de conflit d'intérêts (article 38.6 du RGPD) : décider seul des moyens de sécurité qu'il devra ensuite contrôler s'en approche.
Une certification ISO 27001 est-elle une certification RGPD ?
Non. Les certifications de l'article 42 du RGPD sont approuvées par une autorité de contrôle ou par le Comité européen de la protection des données. ISO 27001 est une norme de sécurité de l'information délivrée par des organismes accrédités, sans approbation au titre du RGPD. Elle reste un élément utile pour démontrer les mesures de l'article 32.
Leto tient déjà la partie RGPD de votre SMSI
Registre des traitements, gestion des sous-traitants, questionnaires sécurité, violations de données : Leto outille au quotidien les briques que votre SMSI réutilise, et les garde à jour sans tableur. Pour voir comment elles s'articulent avec votre projet ISO 27001, demandez une démo à l'équipe Leto.
