RGPD et ISO 27001 : la différence
Le RGPD est une obligation légale : il protège les données personnelles des individus et s'impose à toute organisation qui en traite. L'ISO 27001 est une norme volontaire : elle décrit un système de management de la sécurité de l'information, que l'on peut faire certifier.
L'un est un cadre juridique, l'autre une démarche d'organisation. Les deux se rejoignent sur une idée simple : on ne protège bien que ce qu'on a d'abord identifié et cartographié.
Autre différence utile à garder en tête : le RGPD protège les personnes (leurs données à caractère personnel), tandis que l'ISO 27001 protège l'information de l'entreprise au sens large, personnelle ou non. Le RGPD ne se négocie pas : c'est la loi, avec des sanctions à la clé. L'ISO 27001 se choisit, souvent pour rassurer des clients ou répondre à un appel d'offres qui l'exige.
Ni le RGPD ni l'ISO 27001 ne commencent par des outils. Ils commencent par un inventaire : quelles données, où, pour quoi, et qui y accède.
Démarrer côté RGPD
- Cartographier les traitements de données personnelles (le registre).
- Vérifier la base légale et la finalité de chaque traitement.
- Limiter la collecte au strict nécessaire et fixer des durées de conservation.
- Garantir les droits des personnes : accès, rectification, effacement.
Le registre des traitements est la première marche, et la plus concrète. Il s'agit de lister, sans jargon, tout ce que vous faites des données personnelles : paie, clients, prospects, candidats, vidéosurveillance. Pour chaque ligne, quatre questions : quelles données, pour quel objectif, sur quelle base légale, et combien de temps les garde-t-on. Ce simple tableau révèle déjà la plupart des écarts à corriger.
Deux principes guident ensuite tout le reste. La minimisation : ne collectez que ce qui sert vraiment la finalité annoncée, car chaque donnée inutile est un risque en cas de fuite. Et la transparence : les personnes doivent savoir ce que vous faites de leurs données et pouvoir exercer leurs droits facilement. Une politique de confidentialité claire vaut mieux qu'un document juridique illisible.
Démarrer côté ISO 27001
La norme suit une logique de gestion des risques : identifier les actifs d'information, évaluer les menaces, décider des mesures, et surtout entretenir la démarche dans le temps. Ce n'est pas un projet ponctuel mais un cycle d'amélioration continue.
Ce cycle porte un nom, la boucle PDCA : Plan (évaluer les risques et planifier les mesures), Do (les mettre en œuvre), Check (vérifier qu'elles fonctionnent), Act (corriger et améliorer). L'esprit de la norme n'est pas d'être parfait du premier coup, mais de progresser en continu et de le prouver.
Inutile de viser la certification dès le départ. Beaucoup d'organisations adoptent d'abord la démarche ISO 27001 pour structurer leur sécurité, et ne passent l'audit de certification que plus tard, si un besoin commercial le justifie. La valeur est déjà dans la méthode, avant même le certificat.
Les faire avancer ensemble
Bonne nouvelle : les deux démarches se nourrissent. L'inventaire RGPD alimente l'analyse de risques ISO, et les mesures de sécurité ISO servent la conformité RGPD. Menées de front, elles évitent le travail en double. Commencez par les fondations d'hygiène décrites dans nos 8 réflexes.
Pour structurer tout cela, explorez le parcours cybersécurité.