Extension du SMSI à la vie privée (PIMS, ISO 27701)

Définition

L'extension du système de management de la sécurité de l'information à la vie privée, formalisée par la norme ISO 27701 sous l'acronyme PIMS pour privacy information management system, désigne l'approche méthodologique consistant à enrichir un système de management déjà conforme à l'ISO 27001 de contrôles et d'exigences supplémentaires spécifiquement dédiés à la protection de la vie privée et des données à caractère personnel, plutôt que de construire un système de gouvernance de la protection des données entièrement séparé et déconnecté du dispositif de sécurité de l'information existant. Cette approche présente un avantage pratique significatif pour les organisations déjà certifiées ISO 27001, qui peuvent capitaliser sur leur structure documentaire, leurs processus d'audit interne et leur revue de direction existants pour intégrer les exigences de la norme ISO 27701, plutôt que de dupliquer intégralement une gouvernance parallèle dédiée à la seule protection des données personnelles. La certification ISO 27701 n'est jamais délivrée de manière autonome mais toujours en extension d'une certification ISO 27001 préalable ou concomitante, ce qui matérialise concrètement ce principe d'intégration. Pour les organisations soumises simultanément au RGPD et à des exigences de sécurité de l'information exigeantes de la part de leurs clients, cette extension constitue un moyen efficace de démontrer une gouvernance mature et unifiée des deux dimensions étroitement liées de la protection de l'information.