Le RGPD n'est pas un dossier de clauses signées une fois puis oubliées : c'est une obligation vivante qui exige des preuves, une révision et une amélioration continue. Summum Calidad aborde la protection des données comme une extension naturelle du système de management de la sécurité de l'information : nous mettons en œuvre l'ISO/IEC 27701:2025 sur la base de votre ISO 27001, nous l'intégrons à votre ISO 9001 si vous la possédez déjà, et nous maintenons la conformité par un audit interne périodique et une formation continue du personnel — la même rigueur avec laquelle nous accompagnons la certification qualité, appliquée aux données personnelles que vous traitez.
Traiter la protection des données comme un dossier juridique isolé — des clauses rédigées une seule fois, un registre des activités de traitement que personne ne met à jour, une politique de confidentialité copiée sur un autre site — est la façon la plus courante d'enfreindre le RGPD sans s'en rendre compte. L'article 24 du Règlement (UE) 2016/679 pose le principe de responsabilité (accountability) : il ne suffit pas de se conformer, il faut pouvoir le démontrer, à tout moment et face à toute demande de l'Agence espagnole de protection des données (AEPD). Cette démonstration exige exactement ce qu'apporte un système de management et pas un simple classeur : des procédures vivantes, des registres à jour, des rôles définis, un audit périodique et des preuves d'amélioration continue. Les sanctions le montrent clairement : l'article 83.5 du RGPD prévoit des amendes allant jusqu'à 20 000 000 € ou 4 % du chiffre d'affaires annuel mondial — le montant le plus élevé étant retenu — pour les infractions les plus graves, comme le non-respect des principes du traitement ou des droits des personnes concernées ; l'article 83.4 fixe un plafond de 10 000 000 € ou 2 % pour le reste des obligations, dont les mesures de sécurité de l'article 32.
Summum Calidad met en œuvre la protection des données avec la même rigueur que pour tout système de management ISO : au moyen de l'ISO/IEC 27701:2025, l'extension du Système de Management de la Sécurité de l'Information (SMSI) de l'ISO 27001 spécifiquement dédiée à la gestion des informations à caractère personnel, connue sous le nom de PIMS (Privacy Information Management System). L'ISO 27701 ajoute des contrôles distincts pour les responsables de traitement et pour les sous-traitants, transforme la protection des données dès la conception et par défaut de l'article 25 du RGPD en contrôles auditables et vérifiables, et permet de démontrer à vos clients, à vos partenaires commerciaux et à l'AEPD elle-même que votre organisation gère la confidentialité au moyen d'un système documenté, et non de bonnes intentions. Lorsque l'entreprise possède déjà la certification ISO 27001, le projet s'appuie directement sur l'analyse des risques, la Déclaration d'Applicabilité et la structure d'audit déjà en place : rien ne repart de zéro, on étend ce qui fonctionne déjà.
Cette intégration ne s'arrête pas à la sécurité de l'information. Si votre entreprise possède déjà l'ISO 9001, la protection des données s'intègre comme un processus de plus dans le système de management de la qualité existant : elle partage la maîtrise documentaire, la gestion des non-conformités, l'audit interne et la revue de direction déjà en place, au lieu de vivre à part dans un dossier juridique que personne ne consulte avant qu'un problème survienne. Et si votre entreprise fournit des services à l'Administration publique, la coordination avec l'Esquema Nacional de Seguridad (le schéma national de sécurité espagnol) est directe : l'ENS et le RGPD partagent une grande partie de leurs mesures de sécurité — gestion des accès, chiffrement, sauvegardes, gestion des incidents —, si bien que les traiter de façon intégrée évite de dupliquer le travail documentaire.
Le système n'est réel que s'il reste vivant, ce qui exige deux éléments que beaucoup de projets de protection des données négligent : l'audit interne et la formation. Notre programme d'audit interne vérifie périodiquement que le registre des activités de traitement reste à jour, que les mentions d'information sont correctes, que la procédure de gestion des violations de données a été répétée — pas seulement rédigée — et que les demandes de droits ARSULIPO (accès, rectification, suppression, limitation, portabilité et opposition) sont traitées dans les délais. La formation périodique du personnel, quant à elle, est l'un des contrôles exigés par l'Annexe A de l'ISO 27701 elle-même, et elle réduit la cause la plus fréquente des violations de données : l'erreur humaine, non l'attaque externe sophistiquée.
La couche purement juridique de la conformité — rédaction des clauses et des contrats, analyse du risque juridique, réponse à une réclamation ou à un contrôle de l'AEPD, ou désignation d'un délégué à la protection des données — est assurée par notre division sœur, Summum Consultoría, avec ses services de protection des données (RGPD) et de DPO externe. Si c'est précisément ce service de DPO externe pur que vous recherchez, sans la couche de système de management, c'est le point de départ le plus direct. Summum Calidad intervient lorsque vous souhaitez que la protection des données cesse de vivre dans un tiroir et s'intègre, preuves et audit à l'appui, dans le système de management de votre entreprise.
Nous établissons le registre des activités de traitement (art. 30 RGPD) : quelles données vous traitez, sur quelle base légale, pendant combien de temps, avec quels sous-traitants et sous-traitants ultérieurs, et selon quels flux d'information entre systèmes et tiers. C'est le point de départ de tout le reste.
Nous appliquons la méthodologie d'analyse des risques du système de management aux traitements identifiés, nous sélectionnons les contrôles applicables de l'ISO/IEC 27701:2025 et nous rédigeons la Déclaration d'Applicabilité relative à la confidentialité. Lorsqu'un traitement l'exige en raison de son risque élevé (art. 35 RGPD), nous réalisons une Analyse d'Impact relative à la Protection des Données (AIPD).
Nous rédigeons ou révisons les mentions d'information, les contrats de sous-traitance (art. 28 RGPD) avec les fournisseurs et les plateformes SaaS, la procédure de gestion des violations de données avec le délai de 72 heures de l'article 33, la procédure relative aux droits ARSULIPO et le plan de formation du personnel.
Le système entre dans le cycle d'audit interne et de revue de direction : nous vérifions périodiquement que les contrôles restent en place et nous mettons à jour le système face aux évolutions réglementaires, aux nouveaux traitements ou aux nouveaux outils — y compris l'adoption de solutions d'intelligence artificielle.
Le détail opérationnel : ce que nous livrons dans le cadre de la mission et ce que nous maintenons vivant par la suite.
Registre des activités de traitement
Inventaire complet conforme à l'article 30 du RGPD, tenu à jour à chaque évolution.
Déclaration d'Applicabilité relative à la confidentialité
Contrôles de l'ISO/IEC 27701:2025 appliqués ou exclus, avec justification documentée.
Procédure de gestion des violations de données
Protocole répété pour notifier l'AEPD en moins de 72 heures (art. 33 RGPD) et, le cas échéant, les personnes concernées elles-mêmes (art. 34 RGPD).
Procédure relative aux droits ARSULIPO
Délais, formulaires et traçabilité pour chaque demande d'accès, de rectification, de suppression, de limitation, de portabilité et d'opposition.
Contrats de sous-traitance
Clauses de l'article 28 du RGPD révisées pour les fournisseurs, les plateformes SaaS et les sous-traitants ultérieurs.
Formation et sensibilisation continues
Sessions périodiques pour le personnel, avec feuille de présence comme preuve du contrôle mis en œuvre.
La protection des données ne vit pas isolément : elle s'appuie sur le système de sécurité de l'information, coexiste avec l'Esquema Nacional de Seguridad lorsque l'Administration est concernée, et se complète par la couche purement juridique assurée par Summum Consultoría.
Le SMSI de l'ISO 27001 est le socle sur lequel s'appuie le PIMS de confidentialité : lorsque vous possédez déjà l'ISO 27001, la protection des données se met en œuvre comme une extension, et non comme un projet séparé.
Voir le service → calidadPour les entreprises qui fournissent des services à l'Administration, la protection des données coexiste avec l'Esquema Nacional de Seguridad : une grande partie des contrôles sont partagés et le travail documentaire s'en trouve réduit.
Voir le service → consultoríaLa couche juridique — clauses, contrats, réponse face à l'AEPD et désignation du DPO — est assurée par Summum Consultoría, le partenaire naturel lorsque le projet requiert un conseil purement juridique.
Voir le service →Non. Le RGPD n'exige aucune certification ISO comme obligation légale ; la conformité peut être démontrée d'autres manières. Cependant, l'ISO/IEC 27701:2025, en tant qu'extension auditable du système de management, est la façon la plus solide de démontrer à vos clients, à vos partenaires et à l'AEPD elle-même que la protection des données est gérée au moyen de procédures, de preuves et d'une révision continue, plutôt qu'avec un dossier de clauses signées une seule fois.
Ils sont complémentaires, non alternatifs. Le délégué à la protection des données (DPO) est une fonction de supervision et de conseil — obligatoire dans certains cas prévus par l'article 37 du RGPD et l'article 34 de la LOPDGDD espagnole — qui surveille la conformité et informe la direction. Le système de management (ISO 27701 sur ISO 27001) est l'infrastructure documentaire et de contrôle sur laquelle ce DPO s'appuie pour exercer sa mission : sans registre des traitements, sans procédure de gestion des violations et sans audit interne, le DPO a peu de choses à superviser. Summum Calidad met en œuvre le système ; le service de DPO externe est assuré par Summum Consultoría.
Lorsque l'organisation possède déjà la certification ISO 27001, le projet est nettement plus court car une grande partie de l'infrastructure de gestion des risques et des contrôles existe déjà : généralement entre trois et cinq mois. En partant de zéro, sans système de sécurité préalable, le délai habituel est de six à neuf mois, selon la taille de l'organisation et le nombre de traitements.
Elle ne la remplace pas, elle la structure. L'article 35 du RGPD exige une Analyse d'Impact relative à la Protection des Données (AIPD) lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. L'ISO 27701 fournit la méthodologie d'analyse des risques du système de management — héritée de l'ISO 27001 — sur laquelle s'appuie cette analyse, de sorte que le critère appliqué est cohérent et que les décisions de traitement du risque sont documentées.
La protection des données s'intègre comme un processus supplémentaire au sein du système de management de la qualité déjà en place : elle partage la maîtrise documentaire, la gestion des non-conformités, l'audit interne et la revue de direction. Cela évite de dupliquer les procédures et réduit nettement l'effort de maintien par rapport à une gestion isolée de la conformité RGPD sous forme de dossier juridique séparé.
L'article 33 du RGPD impose de notifier la violation à l'Agence espagnole de protection des données dans un délai maximal de 72 heures à compter du moment où elle en a pris connaissance, sauf si le risque pour les droits des personnes concernées est improbable ; si le risque est élevé, il faut également en informer les personnes concernées elles-mêmes dans les meilleurs délais, conformément à l'article 34 du RGPD. Disposer d'une procédure de gestion des incidents déjà répétée — l'un des contrôles que nous mettons en œuvre dans le système — est ce qui permet de tenir ce délai en pratique, et pas seulement sur le papier.