Rôle de contrôleur PII (ISO 27701)

Définition

Le rôle de contrôleur PII, terminologie employée par la norme ISO 27701 relative au management de la protection de la vie privée, désigne l'entité qui détermine les finalités et les moyens du traitement des données à caractère personnel, correspondant directement à la notion de responsable de traitement au sens du RGPD, la norme ayant volontairement adopté une terminologie internationale neutre permettant son application au-delà du seul cadre réglementaire européen. La norme ISO 27701 étend le système de management de la sécurité de l'information établi selon l'ISO 27001 en y intégrant des exigences et des lignes directrices spécifiques à ce rôle : conduite d'analyses d'impact sur la vie privée pour les traitements à risque, identification de la base légale applicable à chaque traitement, gestion des demandes d'exercice de droits des personnes concernées, encadrement des transferts internationaux de données et gestion de la relation avec les processeurs PII auxquels le contrôleur peut avoir recours pour tout ou partie du traitement. Une organisation certifiée ISO 27701 pour son rôle de contrôleur PII démontre à ses clients, partenaires et autorités de contrôle que sa gouvernance de la protection des données repose sur un système de management structuré et audité, plutôt que sur des pratiques ponctuelles et non formalisées, ce qui facilite notamment la démonstration du principe d'accountability exigé par le RGPD.