En réponse à la nécessité de protéger la vie privée, l’organisation internationale de normalisation (ISO), et la commission électrotechnique internationale (IEC) ont publié en août 2019 la norme ISO 27701.
Cette norme est une extension des ISO 27001 et 27002 (sécurité des systèmes d’information).
Son but ? Spécifier les exigences et fournir des recommandations pour la création, la mise en œuvre, le maintien et l’amélioration continue d’un système de management de la protection de la vie privée (PIMS*).
Ainsi lorsque le terme « sécurité de l’information » est utilisé dans l’ISO 27001 ou dans l’ISO 27002, « sécurité de l’information et protection de la vie privée » s’applique dans l’ISO 27701 (auquel des exigences spécifiques en lien avec les données personnelles viennent s’ajouter).
Je suis déjà certifié ISO 27001 et 27002, comment faire la différence lors de la mise en place ?
Pas de panique ! Sa structure chapitrale permet de retrouver facilement les exigences supplémentaires puisqu’elles sont identifiées article par article (et quand aucune exigence supplémentaire n’est à déployer, c’est indiqué).
Autres remarques importantes :
- Le chapitre 5 traite des articles de la partie HLS** de l’ISO 27001 v 2013, seuls les articles 4 « Contexte de l’organisation » et 6 « Planification » possèdent des exigences supplémentaires.
- Le chapitre 5 traite des 114 mesures de sécurité identifiées dans l’Annexe A de l’ISO 27001 de A5 à A18, seules les mesures du A17 ne sont pas concernées par des recommandations supplémentaires par rapport au recommandations énoncées dans l’ISO 27002 v2013.
- Le chapitre 7 donne des recommandations supplémentaires de l’ISO/IEC 27002 pour les responsables de traitement des Données Personnelles, ventilées sous 31 mesures.
- Enfin le chapitre 8 référence les recommandations supplémentaires de l’ISO/IEC 27002 pour les sous-traitants des Données Personnelles qui sont déployées sous 18 mesures.
- A noter que l’annexe D fournit une correspondance indicative entre les dispositions de l’ISO 27701 et les Articles 5 à 49 (à l’exclusion du 43) du Règlement général sur la Protection des Données de l’Union européenne. Elle montre comment la conformité aux exigences et aux mesures de l’ISO 27701 peut être pertinente pour satisfaire aux obligations du RGPD.
*PIMS (Privacy Information Management System)
** La structure HLS est un cadre pour les normes de système de management qui définit des termes, des notions et un chapitre communs
Source : AFNOR
Pour se rendre sur la page de la norme, c’est ici
