Consentement et choix du sujet PII (ISO 27018)

Définition

Le consentement et le choix du sujet PII, principe central de la norme ISO 27018 relative à la protection des données à caractère personnel dans les services cloud publics, impose aux fournisseurs de tels services de mettre en œuvre des mécanismes permettant au client, qui agit comme responsable du traitement, d'obtenir et de gérer le consentement des personnes concernées, désignées dans la norme sous le terme PII principal, lorsque ce consentement constitue la base légale du traitement effectué dans l'environnement cloud. La norme précise que le fournisseur de services cloud, agissant en tant que processeur PII selon la terminologie ISO, ne doit pas traiter les données personnelles à des fins autres que celles instruites par le client, notamment à des fins publicitaires ou marketing propres au fournisseur, sauf autorisation explicite préalable du client dans ce sens, sujet particulièrement sensible dans le contexte des offres gratuites de services cloud grand public financées par la publicité ciblée. Ce contrôle s'articule directement avec les exigences de l'article 28 du RGPD encadrant la relation entre responsable de traitement et sous-traitant, la norme ISO 27018 étant fréquemment mobilisée par les fournisseurs cloud pour démontrer une conformité renforcée aux exigences européennes de protection des données dans un contexte international.