ISO 27701 Privacy Information Management

Extension ISO 27001 pour la vie privée

L'ISO 27701:2019 étend l'ISO 27001 et ISO 27002 avec des exigences et contrôles spécifiques à la gestion de la vie privée. Elle ne peut être implémentée que par une organisation disposant déjà d'un SMSI ISO 27001 (ou intégrant les deux simultanément). Les clauses 5 à 10 de l'ISO 27701 étendent les clauses correspondantes de l'ISO 27001 avec des exigences privacy, et les contrôles ISO 27002 sont augmentés de contrôles privacy supplémentaires.

La norme couvre : la définition des rôles privacy (Responsable du Traitement / Sous-traitant), le mapping avec les obligations du RGPD, la gestion des droits des personnes concernées, l'évaluation d'impact sur la vie privée (DPIA/PIA), la minimisation des données, la gestion des consentements, la gestion des violations de données personnelles, et les transferts internationaux de données.

Annexes : contrôles pour RT et ST

L'ISO 27701 propose deux jeux de contrôles dans ses annexes : l'Annexe A pour les Responsables du Traitement (conditions pour le traitement des données personnelles, finalités, droits des personnes, etc.) et l'Annexe B pour les Sous-traitants (assistance au RT, documentation, sous-sous-traitance). Ces contrôles correspondent directement aux obligations du RGPD, facilitant le mapping entre la norme et le règlement.

L'Annexe C fournit un mapping entre les contrôles ISO 27701 et les exigences du RGPD, et l'Annexe D un mapping avec l'ISO 29151 (lignes directrices pour la protection des informations personnellement identifiables dans les organisations). Ces mappings facilitent l'utilisation de l'ISO 27701 comme outil de démonstration de conformité RGPD.

Certification ISO 27701 et RGPD

La certification ISO 27701 est délivrée par des organismes de certification accrédités. Elle est valable 3 ans avec des audits annuels de surveillance. Cette certification démontre une approche structurée et auditée de la gestion de la vie privée, renforçant la crédibilité de la conformité RGPD aux yeux des autorités de contrôle.

La CNIL reconnaît l'ISO 27701 comme un outil permettant de démontrer le principe d'accountability (responsabilité) du RGPD. En cas de contrôle CNIL ou de violation de données, une organisation certifiée ISO 27701 peut présenter cette certification comme preuve de sa démarche active de conformité, ce qui peut influencer favorablement l'évaluation des mesures prises.