ISO 27701 : relier la gestion de la vie privée et la sécurité

La gestion de la protection de la vie privée fonctionne mieux lorsque les décisions de traitement, les garanties, la gestion des droits et les responsabilités des fournisseurs s’articulent. L’ISO/IEC 27701 propose pour ce travail une approche par système de management : un système de management de la protection de la vie privée, ou PIMS.

Pour un directeur technique, le défi consiste à relier les obligations documentées au comportement des systèmes. Une politique de conservation doit devenir un processus de suppression ; un engagement de sous-traitant doit restreindre les accès et la réutilisation ; une revue de protection des données doit peser sur les mises en production. Les mesures de sécurité soutiennent ces résultats, mais elles ne peuvent pas déterminer si un traitement est justifié.

Choisir la bonne édition et l’articulation avec votre SMSI

L’ISO/IEC 27701:2025 est la deuxième édition ; elle établit les exigences du PIMS dans une norme autonome. L’ancienne édition de 2019 était une extension de l’ISO 27001 et de l’ISO 27002. Ne bâtissez pas une nouvelle mise en œuvre sur l’hypothèse que la certification ISO 27001 est toujours un prérequis. Confirmez l’édition applicable et les modalités de transition avec votre organisme de certification.

Un SMSI ISO 27001 existant reste utile. La gouvernance, les processus de gestion des risques, la maîtrise documentaire, les audits internes et la revue de direction peuvent soutenir les deux systèmes. L’ISO 27002 fournit des recommandations sur les mesures de sécurité de l’information.

Gardez les objectifs distincts. La sécurité examine la confidentialité, l’intégrité et la disponibilité. La protection de la vie privée examine aussi les finalités, la proportionnalité, la transparence et les conséquences pour les personnes. Une base de données chiffrée peut néanmoins contenir des informations collectées sans nécessité. Réutiliser des preuves de sécurité est judicieux ; les considérer comme une preuve de conformité en matière de protection des données ne l’est pas.

Définir le périmètre à partir des traitements, pas seulement de l’infrastructure

Commencez par les services et activités couverts par le PIMS. Incluez les systèmes, équipes, fournisseurs et interfaces qui les soutiennent. Une limite telle que « environnement cloud de production » est insuffisante si le support client exporte des données à caractère personnel vers un outil de ticketing distinct.

Pour chaque activité, documentez :

• La finalité, les catégories de données à caractère personnel et les catégories de personnes concernées.
• Le rôle de responsable du traitement ou de sous-traitant, y compris les activités où les rôles diffèrent.
• Les sources de collecte, les destinataires, les lieux de stockage et les voies de transfert.
• Les règles de conservation, le comportement de suppression, les responsables et les obligations applicables.

Les rôles dépendent de l’activité de traitement, et non simplement de l’identité de l’entreprise. Un éditeur de logiciels peut traiter des données téléversées par ses clients sur leurs instructions tout en agissant comme responsable du traitement pour ses propres données de facturation. Ces activités nécessitent des circuits de décision différents.

Attribuez explicitement les responsabilités relevant de l’ingénierie, du produit, de la protection des données, des achats et des opérations. Lorsqu’un DPD est obligatoire ou désigné, préservez son rôle indépendant de conseil et de contrôle plutôt que de le rendre responsable du choix des finalités de traitement. Le RGPD fixe les obligations pertinentes du responsable du traitement, du sous-traitant et du DPD.

Évaluer les risques pour la vie privée en même temps que les risques de sécurité

Utilisez l’inventaire des traitements pour identifier les préjudices pour les personnes autant que l’exposition de l’organisation. L’accès non autorisé compte, mais la collecte excessive, la réutilisation inattendue, les enregistrements inexacts, des procédures d’exercice des droits inaccessibles et une conservation au-delà d’un besoin établi comptent aussi.

Une évaluation pratique doit relier chaque risque à une activité, une conséquence, une garantie existante, un traitement, un responsable et un déclencheur de revue. Consignez pourquoi le risque résiduel est accepté ou pourquoi un travail supplémentaire est nécessaire.

Prenons une fonctionnalité de reporting qui exporte des données de performance des salariés. L’authentification et la journalisation des accès répondent aux préoccupations de sécurité. L’analyse de protection des données doit aussi examiner si l’export inclut des champs inutiles, révèle des déductions sensibles ou permet des usages incompatibles avec la finalité annoncée.

Une évaluation au titre du PIMS peut soutenir le travail d’évaluation juridique, mais elle ne satisfait pas automatiquement aux exigences de chaque juridiction. En vertu de l’article 35 du RGPD, un traitement susceptible d’engendrer un risque élevé exige une analyse d’impact relative à la protection des données. Évaluez ce seuil séparément et conservez la décision ainsi que toute analyse requise.

Traduire les obligations en mesures vérifiables

Évitez une politique de protection des données que l’ingénierie ne peut pas mettre en œuvre. Pour chaque obligation, précisez le comportement attendu du système et les preuves qui le démontrent. Les exemples ci-dessous sont des exemples pratiques de mise en œuvre, et non un ensemble universel de mesures obligatoires.

Le chiffrement, le moindre privilège, la journalisation et la reprise restent des garanties communes importantes. Choisissez les mesures selon le risque : l’article 32 du RGPD n’impose pas un chiffrement généralisé dans toutes les situations. Documentez l’accès aux clés, la reprise et les limites de suppression lorsqu’ils influent sur les résultats en matière de protection des données. Voir l’article sur le chiffrement et la gestion des clés pour les considérations de mise en œuvre.

Construire des procédures opérationnelles qui résistent aux cas réels

La gestion des droits nécessite un canal de réception, un responsable, une vérification d’identité proportionnée, des recherches dans les systèmes, une revue des informations concernant des tiers et une transmission sécurisée. Au titre du RGPD, les réponses doivent normalement être apportées dans un délai d’un mois ; les prolongations autorisées exigent d’en informer la personne dans ce premier mois. Conservez des dossiers qui expliquent les décisions, et pas seulement le nombre de tickets clôturés. Un processus de traitement des demandes d’accès doit aussi couvrir les systèmes manuels et l’assistance des fournisseurs.

La gestion des incidents doit distinguer le confinement technique des décisions de notification en matière de protection des données. Au titre du RGPD, les sous-traitants informent les responsables du traitement dans les meilleurs délais. Les responsables du traitement apprécient la notification à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Consignez le raisonnement en cas de non-notification et évaluez si un risque élevé exige une communication aux personnes concernées.

Les procédures relatives aux fournisseurs doivent examiner les instructions, les sous-traitants ultérieurs, l’assistance pour les demandes et les incidents, la restitution ou la suppression et l’accès aux preuves. Lorsque le RGPD s’applique, les contrats prévus à l’article 28 comportent des éléments obligatoires précis. Le certificat d’un fournisseur est une assurance complémentaire, et non un substitut à ces clauses.

Les transferts internationaux exigent une évaluation juridique distincte. La certification ISO 27701 ne les autorise pas et ne neutralise pas les risques de surveillance. Documentez le mécanisme applicable, évaluez ses conditions et mettez en œuvre des mesures supplémentaires si nécessaire. La localisation des données ne suffit pas à établir la conformité.

Exemple concret : un service de support client

Supposons, à titre illustratif, qu’un fournisseur SaaS traite les messages du support client sur instruction de ses clients et maîtrise ses propres données de contact des comptes. Les deux activités utilisent la même plateforme de support.

L’équipe cartographie le contenu des messages, les pièces jointes, les identifiants de compte, les accès des fournisseurs et les destinations d’export. Elle découvre qu’un export de débogage copie des messages complets dans un espace de travail d’ingénierie dont la durée de conservation est plus longue.

Le traitement est précis : remplacer les exports de messages complets par des champs de diagnostic minimisés, restreindre les accès exceptionnels, appliquer une durée de conservation approuvée et consigner qui autorise les exceptions. Testez que les exports courants omettent le corps des messages et que les enregistrements de diagnostic arrivés à échéance sont supprimés.

Le dossier de preuves contient l’enregistrement du traitement, l’évaluation des rôles, les conditions du fournisseur, la décision sur le risque, la configuration, les résultats des tests et l’historique des validations. La revue commune du contrôle d’accès soutient à la fois la sécurité et la protection des données, tandis que la décision sur la finalité de l’export reste propre à la protection des données.

Préparer la certification avec des preuves opérationnelles

La certification est réalisée par un organisme de certification indépendant, et non par l’ISO. Avant de planifier l’évaluation, confirmez le périmètre, l’édition, l’approche d’audit et les attentes en matière de preuves. Un processus de certification initiale typique comprend une revue de préparation et de la documentation, suivie d’une évaluation de la mise en œuvre ; confirmez les modalités avec l’organisme retenu.

Réalisez un audit interne au regard des exigences applicables et de vos propres procédures. Échantillonnez des activités de traitement, des demandes d’exercice des droits, des décisions relatives aux fournisseurs, l’exécution de la conservation et des changements de produit. Distinguez un document manquant d’une mesure qui existe mais échoue en fonctionnement.

La revue de direction doit examiner les constats, les risques non résolus, les changements, les performances et les ressources. Les actions correctives nécessitent des responsables, des preuves d’achèvement et des contrôles d’efficacité. La certification peut apporter une assurance sur le système de management délimité, mais elle n’établit pas la conformité au RGPD, ne crée pas de base légale et ne couvre pas les activités hors de ce périmètre.

Commencer par une activité de traitement traçable

Choisissez une activité, suivez ses données à travers les systèmes et fournisseurs connectés et reliez chaque obligation significative à un responsable, une garantie et un historique de décisions. Revoyez-la après les changements pertinents plutôt que d’attendre le prochain audit.

Secani soutient ce processus de preuves en reliant les exigences, les mesures, les systèmes, les preuves et les décisions de revue. Les équipes peuvent conserver les preuves communes du SMSI à côté des décisions propres à la protection des données, transformer les écarts en tâches attribuées et préserver la validation humaine des suggestions assistées par l’IA. Le premier livrable utile est une chaîne revue allant de la finalité du traitement à la garantie mise en œuvre et aux preuves à l’appui.