Modèles et enregistrements · ISO 27701 · Chapitre 6.1.3
Modèle de déclaration d’applicabilité ISO 27701
Le document que l’auditeur ouvre en premier : il passe en revue toutes les mesures de l’Annexe A et indique celles qui s’appliquent, pourquoi, et où en est leur mise en œuvre.
En une phrase
La déclaration d’applicabilité de l’ISO/IEC 27701 énumère les mesures de l’Annexe A, indique celles qui sont appliquées et celles qui sont exclues avec leur justification, ainsi que l’état de mise en œuvre de chacune, parce que le chapitre 6.1.3 demande de confronter les mesures retenues pour traiter les risques pour la vie privée à celles de l’Annexe A et de garder trace de cette décision.
- Où la norme l’exige
- ISO 27701 · Chapitre 6.1.3 L’édition de 2025 est citée : les numéros 4 à 10 sont des chapitres ; A.1, A.2 et A.3 sont les tableaux de l’Annexe A regroupant les mesures du responsable du traitement, du sous-traitant et celles communes aux deux.
- Type d’information
- Document obligatoire Document à tenir à jour (6.1.3)
- Qui le renseigne
- Responsable du PIMS Elle est approuvée par la direction ou par la personne investie de l’autorité prévue en 5.3
- Quand
- Après chaque appréciation des risques Et chaque fois que changent le périmètre, le rôle de l’organisme ou les mesures
- Durée de conservation
- Tant que le traitement existe C’est un document vivant : on le met à jour en conservant la version précédente, afin de pouvoir montrer ce qu’il était à chaque instant.
Ce que demande la norme
Ce qu’exige ISO 27701 et ce qui est laissé à votre appréciation
Après l’appréciation des risques, la norme demande de sélectionner les mesures nécessaires pour les traiter et de les comparer à l’Annexe A afin de n’en omettre aucune qui soit nécessaire. La déclaration d’applicabilité consigne le résultat : quelles mesures sont incluses, pourquoi, si elles sont mises en œuvre et pourquoi les autres sont exclues.
Le rôle de l’organisme pèse lourd : un sous-traitant peut justifier l’exclusion des mesures du tableau A.1 pour les traitements qu’il effectue pour le compte de ses clients, et un responsable du traitement qui ne recourt à aucun sous-traitant aura peu à appliquer du tableau A.2. L’exclusion doit être argumentée, pas présumée.
Si l’organisme applique aussi l’ISO/IEC 27001, il peut tenir deux déclarations ou une seule intégrée ; ce qu’il ne peut pas, c’est les laisser se contredire.
Structure
Les champs que doit comporter le modèle
- Identifiant et intitulé de chaque mesure de l’Annexe A
- Tableau de rattachement : A.1, A.2 ou A.3
- Applicable ou non applicable
- Justification de l’inclusion : risque, exigence légale ou contractuelle
- Justification de l’exclusion
- État de mise en œuvre
- Preuve ou enregistrement associé
- Responsable de la mesure
- Version, date et approbation
Exemple
Exemple : trois lignes de la déclaration d’un éditeur fictif de logiciel de paie
Entreprise, personnes et chiffres fictifs : l’exemple montre seulement à quoi ressemble un enregistrement correctement renseigné.
| Champ | Contenu |
|---|---|
| Organisme | Nominalia Cloud SAS (fictive) · Sous-traitant pour ses clients et responsable du traitement pour son personnel |
| Mesure relative au consentement (A.1) | S’applique uniquement à la lettre d’information commerciale de l’entreprise · Mise en œuvre · Preuve : registre des consentements |
| Mesure relative au traitement selon les instructions du client (A.2) | S’applique · Mise en œuvre · Preuve : contrats de sous-traitance et procédure de gestion des instructions |
| Mesure relative à la gestion des incidents (A.3) | S’applique · Mise en œuvre · Preuve : registre des violations partagé avec le SMSI |
| Exemple d’exclusion | Mesures de l’A.1 sur l’information des personnes concernées pour les données de paie des clients : non applicables, le client est le responsable du traitement |
| Version | v3 · 2 mai 2026 · Approuvée par la direction générale |
À l’audit
Les erreurs que relèvent souvent les auditeurs
- Des blocs entiers de mesures sont exclus avec la mention « non applicable » sans justification.
- La déclaration ne concorde pas avec l’appréciation des risques : des mesures appliquées ne traitent aucun risque et des risques restent sans mesure.
- Elle suit encore la numérotation de l’édition 2019 après la transition.
- Une mesure est indiquée comme mise en œuvre sans aucune preuve à présenter.
Dans Kimobox
Comment tenir cet enregistrement dans Kimobox
- 1Les mesures de l’Annexe A sont chargées dans un tableau versionné avec leur état et leur responsable.
- 2Chaque mesure est reliée aux risques qu’elle traite et à l’enregistrement qui la prouve.
- 3La déclaration est un document maîtrisé : chaque version est approuvée et datée.
Questions fréquentes
Ce que l’on nous demande avant de commencer
Peut-on utiliser la déclaration d’applicabilité de l’ISO 27001 ?
Elle peut être intégrée, mais ne suffit pas telle quelle : l’Annexe A de l’ISO/IEC 27701 contient des mesures de protection de la vie privée pour responsables du traitement et sous-traitants qui ne figurent pas dans l’ISO/IEC 27001.
Que se passe-t-il si une mesure nécessaire est exclue ?
C’est l’une des non-conformités les plus fréquentes en certification : si le risque ou le RGPD rendent la mesure nécessaire, l’exclusion ne tient pas.
Tenez les enregistrements ISO 27701 sans modèles éparpillés
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Risques pour la vie privée et planification
Apprécier les risques pour la vie privée (6.1.2), les traiter au moyen d’une déclaration d’applicabilité…
Modèle de registre des activités de traitement ISO 27701
Ce que doit contenir le registre des activités de traitement d’un PIMS ISO 27701 et de l’art. 30 du RGPD…
Modèle d’inventaire des données personnelles ISO 27701
Bâtir l’inventaire des données personnelles d’un PIMS ISO 27701 : où sont les données, dans quels systèmes…
Modèle d’appréciation des risques pour la vie privée ISO 27701
Comment documenter l’appréciation des risques pour la vie privée de l’ISO 27701 : critères, risque pour les…