Registre des activités de traitement PII (ISO 27701)

Définition

Le registre des activités de traitement PII, exigence de la norme ISO 27701, désigne le document que l'organisation certifiée doit établir et maintenir à jour pour recenser l'ensemble des traitements de données à caractère personnel qu'elle réalise, que ce soit en tant que contrôleur PII ou processeur PII, dans une logique directement inspirée du registre des activités de traitement exigé par l'article 30 du RGPD, mais formulée dans un cadre normatif international applicable indépendamment du contexte réglementaire européen spécifique. Ce registre doit consigner, pour chaque traitement identifié, des informations telles que la finalité poursuivie, les catégories de données personnelles concernées, les catégories de personnes concernées, les destinataires auxquels les données sont susceptibles d'être communiquées, les éventuels transferts vers des pays tiers et les garanties associées, ainsi que les durées de conservation prévues. La tenue rigoureuse de ce registre constitue un prérequis technique indispensable pour la conduite d'analyses d'impact sur la vie privée pertinentes, pour la réponse efficace aux demandes d'exercice de droits des personnes concernées, et pour la démonstration de la conformité lors des audits de certification ISO 27701 ou des contrôles menés par une autorité de protection des données. Pour une organisation opérant à l'international, ce registre unifié facilite également la cohérence entre les exigences de traçabilité propres à différents cadres réglementaires nationaux applicables à ses activités.