ISO 27701:2025 : éléments probants PIMS pour les audits GDPR

Il est 8 h 40 un jeudi matin, et Ava, responsable conformité chez FinScale, vient d’ouvrir le courriel que toute entreprise B2B SaaS en forte croissance finit par recevoir.

Un grand client allemand a envoyé un questionnaire de diligences préalables GDPR avec un délai de réponse de 48 heures. Il ne demande pas une politique de confidentialité. Il ne se contente pas d’un certificat. Il demande des éléments probants.

Fournissez votre registre des activités de traitement pour nos données. Présentez les éléments probants des diligences préalables réalisées lors de l’intégration des sous-traitants ultérieurs. Expliquez comment vous documentez vos obligations au titre de l’Article 28 du GDPR. Indiquez si votre plateforme agit comme responsable du traitement de PII, sous-traitant, responsable conjoint du traitement ou sous-traitant ultérieur pour chaque flux de travail. Prouvez que la base légale a été validée pour votre fonctionnalité de support assistée par IA. Présentez les obligations de suppression, les droits d’audit, l’assistance en cas d’incident et les contrôles contractuels.

Ava sait que FinScale dispose des composants nécessaires. Le service juridique possède l’accord de traitement des données. La sécurité dispose de la Déclaration d’applicabilité ISO/IEC 27001:2022. Le produit possède des listes de contrôle de lancement. Les achats détiennent les contrats fournisseurs. La conformité dispose d’un registre des traitements, même si certaines entrées sont obsolètes. Le problème n’est pas l’absence d’éléments probants. Le problème est qu’ils sont dispersés, que l’ambiguïté des rôles n’est pas résolue et que personne ne peut rapidement retracer une activité de traitement depuis sa finalité jusqu’à la base légale, la décision de risque, le contrôle fournisseur, le contrôle de sécurité, l’enregistrement d’audit et la revue de direction.

C’est là que se situe la véritable lacune de responsabilité démontrable.

ISO 27701:2025 devient réellement utile lorsqu’elle comble cette lacune. Un système de management des informations relatives à la vie privée, ou PIMS, n’est pas seulement un classeur de politiques destiné à la certification en matière de protection des données. C’est un modèle opérationnel pour produire des éléments probants fiables. Pour les RSSI, les responsables conformité, les responsables de la protection des données, les auditeurs et les responsables métier, l’objectif est simple : construire un PIMS qui démontre la responsabilité au titre du GDPR pour les responsables du traitement de PII et les sous-traitants, tout en soutenant les exigences ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 et COBIT 2019.

La responsabilité au titre du GDPR est un problème d’éléments probants

La responsabilité au titre du GDPR est souvent comprise à tort comme une simple exigence documentaire. Elle est plus exigeante que cela.

L’Article 5 du GDPR définit les principes fondamentaux du traitement des données à caractère personnel, notamment la licéité, la loyauté, la transparence, la limitation des finalités, la minimisation des données, l’exactitude, la limitation de la conservation, l’intégrité et la confidentialité. L’Article 5(2) rend le responsable du traitement responsable de sa capacité à démontrer la conformité. L’Article 4 définit le vocabulaire des données à caractère personnel, du traitement, du responsable du traitement, du sous-traitant, de la pseudonymisation et de la violation de données à caractère personnel. L’Article 6 exige une base légale pour chaque activité de traitement réalisée en tant que responsable du traitement. L’Article 9 ajoute des conditions plus strictes pour les catégories particulières de données à caractère personnel. L’Article 28 régit les obligations des sous-traitants et les clauses contractuelles.

Ces obligations ne sont pas satisfaites par une simple mention d’information publique. Elles exigent des éléments probants au niveau de l’activité de traitement.

Un modèle pratique d’éléments probants ISO 27701:2025 PIMS doit répondre aux questions suivantes :

• Quelles PII sont traitées ?
• Pourquoi sont-elles traitées ?
• L’organisation agit-elle comme responsable du traitement, sous-traitant, responsable conjoint du traitement ou sous-traitant ultérieur ?
• Quelle base légale s’applique lorsque l’organisation est responsable du traitement ?
• Quelle instruction documentée s’applique lorsque l’organisation est sous-traitant ?
• Quels systèmes, fournisseurs, sous-traitants ultérieurs et emplacements sont concernés ?
• Quel examen préalable des risques relatifs à la vie privée ou quelle décision de DPIA a été réalisé ?
• Quels contrôles de sécurité protègent les PII ?
• Quels éléments probants prouvent que le contrôle a fonctionné ?
• Qui a approuvé le risque résiduel, les exceptions et les actions correctives ?

L’approche de Clarysec transforme ces questions en exigences de politique, registres et éléments probants traçables. Il en résulte un PIMS capable de résister aux diligences préalables des clients, à la revue d’une autorité de contrôle, à l’audit interne, à l’audit ISO, à l’évaluation DORA et à l’examen du conseil d’administration.

Commencer par la clarté des rôles : responsable du traitement, sous-traitant, ou les deux

Le moyen le plus rapide d’échouer à un audit PIMS consiste à traiter toutes les activités de traitement de la même manière.

Au titre du GDPR, un responsable du traitement détermine les finalités et les moyens du traitement. Un sous-traitant traite des données à caractère personnel pour le compte d’un responsable du traitement. De nombreuses entreprises SaaS et technologiques exercent les deux rôles. FinScale est sous-traitant lorsqu’elle héberge des données d’utilisateurs finaux de clients selon les instructions de ces clients. Elle est responsable du traitement pour les dossiers du personnel, les prospects marketing, les contacts de facturation, les données de recrutement et certaines analyses produit.

Cette distinction détermine les exigences en matière d’éléments probants.

La Politique relative au système de management des informations relatives à la vie privée de Clarysec fait de la classification des rôles une exigence opérationnelle :

[Les deux] Le responsable de processus / propriétaire de l’entreprise DOIT classifier le rôle PIMS de l’organisation pour chaque activité de traitement de PII dans REG02 avant le début de l’activité de traitement.

Cette obligation unique transforme le modèle opérationnel de protection des données. La revue juridique n’est plus une réflexion tardive au moment du lancement. Chaque responsable de processus doit classifier le rôle PIMS avant le début du traitement. Cette classification détermine la chaîne d’éléments probants en aval.

Pour les activités de responsable du traitement, la Politique relative à l’inventaire des traitements de PII et à la base légale de Clarysec exige la validation de la base légale :

[Responsable du traitement] Le responsable de la protection des données / responsable du PIMS DOIT valider la base légale enregistrée dans REG02 avant le début du traitement en tant que responsable du traitement et avant toute prise d’effet d’un changement de finalité.

Extrait de la section « Enregistrements relatifs à la finalité du responsable du traitement et à la base légale », clause de politique 4.2.2.

Pour les activités de sous-traitant, l’attention portée aux éléments probants se déplace vers les instructions documentées, les contrôles contractuels, la gouvernance des sous-traitants ultérieurs, les mesures de sécurité, les obligations d’assistance, le support en cas d’incident et la restitution ou la suppression à la fin du contrat. C’est là que REG08 devient critique.

La Politique de gestion des sous-traitants, des sous-traitants ultérieurs et des tiers en matière de protection des données de Clarysec exige :

[Responsable du traitement] Le responsable de la protection des données / responsable du PIMS DOIT vérifier que les champs de contrôle contractuel du sous-traitant dans REG08 couvrent le périmètre du traitement, sa durée, sa finalité, les catégories de PII, les catégories de personnes concernées, la confidentialité, la sécurité, l’autorisation des sous-traitants ultérieurs, l’assistance, l’audit ou l’assurance, la restitution, la suppression et la fin du contrat avant approbation.

Extrait de la section « Contrôles contractuels et instructions documentées », clause de politique 4.3.2.

REG02 établit l’activité de traitement et le rôle. REG04 examine les risques relatifs à la vie privée. REG08 valide les contrôles relatifs aux sous-traitants, aux sous-traitants ultérieurs et aux fournisseurs. REG12 indexe les éléments probants. Ensemble, ils créent la chaîne d’éléments probants du PIMS.

La chaîne d’éléments probants du PIMS attendue par les auditeurs

Un PIMS robuste ne demande pas aux équipes de maintenir des feuilles de calcul déconnectées. Il définit les éléments probants, les propriétaires, les échéances, les cycles de revue et les pistes d’audit.

La Politique de gestion des informations documentées et des éléments probants du PIMS de Clarysec précise :

[Tous] Le responsable de la protection des données / responsable du PIMS DOIT maintenir un index des informations documentées du PIMS dans REG12 avant la publication initiale du PIMS, puis chaque trimestre.

REG12 évite que le programme de protection des données ne devienne un dossier de PDF obsolètes. Il indique à l’auditeur quels éléments probants existent, où ils sont stockés, qui en est propriétaire, quand ils ont été revus pour la dernière fois et quelles activités de traitement, quels risques, quelles obligations ou quels contrôles ils soutiennent.

Cette chaîne d’éléments probants s’aligne naturellement sur les exigences ISO/IEC 27001:2022 relatives au contexte, aux parties intéressées, à la planification des risques, à la maîtrise opérationnelle, aux informations documentées, à l’évaluation des performances, à l’audit interne, à la revue de direction et à l’amélioration continue. Elle se rattache également aux contrôles ISO/IEC 27002:2022 tels que 5.2 Rôles et responsabilités en sécurité de l’information, 5.20 Prise en compte de la sécurité de l’information dans les accords fournisseurs, 5.21 Gestion de la sécurité de l’information dans la chaîne d’approvisionnement TIC, 5.34 Protection de la vie privée et protection des PII, et 8.10 Suppression des informations.

Les éléments probants du responsable du traitement et du sous-traitant ne sont pas les mêmes

Le client allemand d’Ava ne demande pas seulement si FinScale dispose de politiques de protection des données. Il veut la preuve que FinScale sait quel rôle elle assume pour chaque flux de données.

Lorsqu’elle agit comme responsable du traitement, FinScale doit justifier pourquoi elle traite les données. Par exemple, le traitement de la paie des employés peut reposer sur la nécessité contractuelle et l’obligation légale. Le marketing peut reposer sur le consentement ou les intérêts légitimes selon le contexte et la juridiction. Le recrutement peut exiger des limites de conservation, de la transparence et des contrôles d’accès. L’élément probant ne se limite pas à la base légale sélectionnée. Il comprend l’enregistrement validé, la mention d’information, la règle de conservation, la procédure d’exercice des droits et la décision de risque.

Lorsqu’elle agit comme sous-traitant, FinScale doit prouver qu’elle agit selon les instructions documentées du client. Les éléments probants comprennent l’accord de traitement des données, la configuration du produit, les journaux système, les contrôles de sécurité, les autorisations des sous-traitants ultérieurs, les procédures d’assistance, le processus de support en cas de violation, les droits d’audit et les éléments probants de suppression ou de restitution.

La P17 Politique de protection des données et de la vie privée de Clarysec rappelle que la protection des données doit être intégrée au SMSI :

L’organisation doit maintenir un cadre formel de gouvernance de la protection des données intégré au système de management de la sécurité de l’information (SMSI) afin d’appliquer cette politique.

Extrait de la section « Exigences de gouvernance », clause de politique 5.1.

La version PME, Politique de protection des données et de la vie privée - PME, conserve la même discipline en matière d’éléments probants :

Le coordinateur protection des données doit maintenir un registre de toutes les activités de traitement de données à caractère personnel, incluant les catégories de données, la finalité, la base légale et les durées de conservation

Elle exige également :

La base légale, par exemple le consentement, le contrat ou l’obligation légale, doit être documentée dans le registre des traitements

Pour les programmes d’entreprise, la P17 Politique de protection des données et de la vie privée ajoute la responsabilité suivante :

Le service juridique doit maintenir et mettre à jour le Registre des bases légales.

Cas pratique : lancement d’analyses produit

Prenons une fonctionnalité d’analyse produit qui suit la navigation des utilisateurs, l’adoption des fonctionnalités, les métadonnées de session, l’identifiant de l’organisation, le rôle utilisateur et les informations sur l’appareil. Le produit veut des informations d’usage. Les ventes veulent des indicateurs d’adoption. L’équipe réussite client veut des signaux d’attrition. Le juridique demande si FinScale est responsable du traitement ou sous-traitant. La sécurité demande si les journaux contiennent des données à caractère personnel. Les achats indiquent que le fournisseur d’analytique utilise des sous-traitants ultérieurs.

Un PIMS robuste transforme cette situation en flux de travail répétable.

1. Créer ou mettre à jour REG02 avant le début du traitement

Le responsable métier enregistre l’activité dans REG02. L’enregistrement doit inclure la finalité, les catégories de PII, les catégories de personnes concernées, les systèmes, la durée de conservation, les transferts, les mesures de sécurité, la classification du rôle, ainsi que la base légale ou l’instruction documentée.

Si les analyses sont utilisées pour les propres finalités d’amélioration produit de FinScale, FinScale peut être responsable du traitement pour cette activité. Si les analyses sont réalisées uniquement selon des paramètres configurés par le client pour le compte du client, FinScale peut être sous-traitant. Dans de nombreux environnements SaaS, les deux rôles peuvent exister au sein d’une même fonctionnalité, selon le flux de données et la finalité.

2. Valider la base légale ou l’instruction documentée

Si FinScale est responsable du traitement, le responsable de la protection des données ou le service juridique valide la base légale dans REG02 avant le début du traitement. Si des catégories particulières de données sont concernées, l’équipe doit également identifier la condition pertinente de l’Article 9 du GDPR et les garanties supplémentaires.

Si FinScale est sous-traitant, les éléments probants doivent renvoyer à l’instruction documentée du client. La question devient alors : où se trouve l’instruction, quel traitement est autorisé et comment FinScale prouve-t-elle qu’elle a suivi cette instruction ?

3. Déclencher l’examen préalable des risques relatifs à la vie privée dans REG04

La Politique d’appréciation des risques relatifs à la vie privée et de DPIA de Clarysec exige :

[Les deux] Le responsable de processus / propriétaire de l’entreprise DOIT lancer l’examen préalable des risques relatifs à la vie privée dans REG04 avant le début de tout traitement de PII nouveau ou substantiellement modifié enregistré dans REG02.

Extrait de la section « Examen préalable des risques relatifs à la vie privée », clause de politique 4.1.1.

L’examen doit évaluer la sensibilité, l’échelle, les implications de surveillance, les attentes des personnes concernées, le profilage, les décisions automatisées, les transferts transfrontaliers, l’accès des fournisseurs, la conservation et l’efficacité des contrôles. Si le risque est élevé, le PIMS doit déclencher une DPIA et enregistrer la décision.

4. Mettre à jour REG08 pour les fournisseurs et les sous-traitants ultérieurs

Si un fournisseur tiers d’analytique reçoit des PII, les achats, le juridique et la protection des données mettent à jour REG08. Les champs contractuels doivent couvrir le périmètre, la durée, la finalité, les catégories de PII, la confidentialité, la sécurité, l’autorisation des sous-traitants ultérieurs, l’assistance, l’audit ou l’assurance, la restitution, la suppression et la fin du contrat.

La Politique de sécurité des tiers et fournisseurs - PME soutient cette discipline opérationnelle en exigeant :

La vérification des pratiques de traitement des données ou de la conformité à la protection des données lorsque des informations personnellement identifiables (PII) sont concernées

La P17 Politique de protection des données et de la vie privée exige également :

Les équipes achats, juridique et conformité doivent vérifier la conformité à l’Article 28 du GDPR et exiger une réévaluation annuelle de tous les fournisseurs à haut risque.

5. Indexer les éléments probants dans REG12

Enfin, le responsable du PIMS met à jour REG12 avec des liens vers REG02, la validation de la base légale, l’instruction documentée, l’examen REG04, la DPIA si nécessaire, l’enregistrement fournisseur REG08, l’accord de traitement des données, la revue de sécurité, la décision de conservation, l’approbation produit et les éléments probants de surveillance.

C’est ainsi que la protection de la vie privée dès la conception devient une preuve exploitable en audit.

Utiliser le Zenith Blueprint pour construire la traçabilité

Savoir quels éléments probants collecter ne représente que la moitié du défi. La partie la plus difficile consiste à construire un système qui les produit de manière fiable.

Le Zenith Blueprint : feuille de route en 30 étapes pour l’auditeur situe cette démarche dans la phase Fondations et leadership du SMSI, étape 2 : besoins des parties prenantes et domaine d’application du SMSI. Le guide montre comment les attentes des parties prenantes deviennent des contrôles planifiés :

Clients
(B2B SaaS)
Confidentialité des données, disponibilité selon
accord de niveau de service, notification de violation dans un délai de
24 h
Mettre en œuvre des contrôles d’accès et le chiffrement ;
le plan de réponse aux incidents inclut
les procédures de notification.

Il inclut également :

Action 4.2 : Compiler une liste de toutes les parties intéressées significatives et noter leurs exigences relatives à la sécurité de l’information.

Pour ISO 27701:2025, étendez cette action à la protection des données. Les parties intéressées incluent les clients, les personnes concernées, les régulateurs, les sous-traitants, les sous-traitants ultérieurs, les employés, les équipes produit, l’audit interne, la direction, les clients du secteur financier et les régulateurs sectoriels lorsque NIS2 ou DORA s’applique.

Dans la phase Gestion des risques, étape 13 : planification du traitement des risques et Déclaration d’applicabilité, le Zenith Blueprint recommande la traçabilité :

Croiser les réglementations : si certains contrôles sont mis en œuvre spécifiquement pour se conformer au GDPR, à NIS2 ou à DORA, vous pouvez le noter soit dans le registre des risques, dans la justification de l’impact du risque, soit dans les notes de la SoA.

Cela crée le fil conducteur attendu par les auditeurs : exigence, risque, contrôle, propriétaire, élément probant, résultat de test et action d’amélioration.

Où Zenith Controls s’insère dans le modèle PIMS

Le Zenith Controls : guide de conformité croisée de Clarysec aide les équipes à éviter les programmes de conformité redondants en cartographiant les thèmes de contrôle ISO/IEC 27001:2022 et ISO/IEC 27002:2022 avec d’autres normes, attentes d’audit et schémas d’éléments probants.

Pour les éléments probants ISO 27701:2025 PIMS, quatre contrôles ISO/IEC 27002:2022 sont particulièrement importants :

• 5.2 Rôles et responsabilités en sécurité de l’information
• 5.20 Prise en compte de la sécurité de l’information dans les accords fournisseurs
• 5.21 Gestion de la sécurité de l’information dans la chaîne d’approvisionnement TIC
• 5.34 Protection de la vie privée et protection des PII

Le contrôle 5.2 soutient la clarté des rôles. Un PIMS nécessite des responsabilités définies pour le responsable du PIMS, le responsable de la protection des données, le responsable de processus, le propriétaire métier, le juridique, les achats, la sécurité, l’audit interne et la direction générale.

Le contrôle 5.34 soutient l’obligation centrale de protection des données. Le Zenith Blueprint, phase Contrôles en action, étape 23, explique l’attente d’audit :

D’un point de vue audit, ce contrôle fait l’objet d’une attention croissante. Les auditeurs, régulateurs et clients veulent tous voir :

✓ où résident les PII,
✓ quelle base légale régit leur traitement,
✓ comment l’accès est restreint,
✓ comment les incidents sont signalés,
✓ et comment l’organisation respecte les droits et maintient la transparence.

Le Zenith Blueprint poursuit :

Le contrôle 5.34 n’est pas une simple case à cocher. C’est une déclaration de responsabilité éthique.

Les contrôles 5.20 et 5.21 relient les éléments probants du PIMS à la gouvernance des fournisseurs et de la chaîne d’approvisionnement TIC. Le Zenith Blueprint, phase Contrôles en action, étape 23, énumère les sujets des accords fournisseurs :

Les principaux domaines généralement couverts dans les accords fournisseurs comprennent :

✓ Les obligations de confidentialité, notamment le périmètre, la durée et les restrictions de divulgation à des tiers ;
✓ Les responsabilités de contrôle d’accès, telles que les personnes pouvant accéder à vos données, la manière dont les identifiants sont gérés et la surveillance en place ;
✓ Les mesures techniques et organisationnelles applicables à la protection des données, au chiffrement, à la transmission sécurisée, à la sauvegarde et aux engagements de disponibilité ;
✓ Les délais et protocoles de notification des incidents, souvent avec des délais définis, par exemple « notifier sous 24 heures » ;
✓ Le droit d’audit, incluant la fréquence, le périmètre et l’accès aux éléments probants pertinents, par exemple les rapports de tests d’intrusion, la SoA et les certifications ;
✓ Les contrôles des sous-traitants, exigeant que votre fournisseur répercute des obligations de sécurité équivalentes à ses partenaires en aval ;
✓ Les dispositions de fin de contrat, telles que la restitution ou la destruction des données, la récupération des actifs et la désactivation des comptes.

C’est le pont entre la responsabilité au titre du GDPR et les éléments probants du SMSI.

Cartographier les éléments probants du PIMS entre GDPR, NIS2, DORA, NIST et COBIT 2019

Les éléments probants relatifs à la protection des données servent rarement un seul référentiel. Un élément probant PIMS bien conçu peut répondre à plusieurs questions d’audit.

Le GDPR ancre la responsabilité en matière de protection des données dans la base légale, la clarté des rôles, les contrats des sous-traitants, les droits, la gestion des violations et la conformité démontrable.

NIS2 concerne les entités essentielles et importantes, notamment certains fournisseurs cloud, prestataires de services managés, prestataires de services de sécurité managés, fournisseurs de centres de données et organisations d’infrastructure numérique. L’Article 20 de NIS2 confère aux organes de direction la responsabilité de la gouvernance cybersécurité. L’Article 21 exige des mesures techniques, opérationnelles et organisationnelles appropriées, notamment l’analyse des risques, la gestion des incidents, la continuité d’activité, la sécurité de la chaîne d’approvisionnement, le développement sécurisé, l’évaluation de l’efficacité, la formation, la cryptographie, la sécurité RH, le contrôle d’accès, la gestion des actifs et l’authentification multifacteur ou l’authentification continue lorsque cela est approprié. L’Article 23 introduit des exigences de notification des incidents significatifs, notamment une alerte précoce dans les 24 heures et une notification d’incident dans les 72 heures.

DORA concerne les entités financières et les prestataires tiers de services TIC au sein des écosystèmes financiers. Les Articles 5 et 6 de DORA exigent une gouvernance des risques TIC, des politiques, une stratégie, des tests et une amélioration continue. Les Articles 17 à 19 couvrent la détection des incidents TIC, leur classification, leur escalade, leur notification, l’analyse de la cause racine et les enseignements tirés. Les Articles 28 à 30 exigent une stratégie de risque tiers TIC, des registres, des diligences préalables, des dispositions contractuelles, des droits d’audit, une assistance en cas d’incident, la protection des données, une planification de sortie et une revue du risque de concentration.

NIST CSF 2.0 fournit un langage de gouvernance et de risque au travers de GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND et RECOVER. COBIT 2019 ajoute des objectifs de gouvernance, des pratiques de management, la propriété, des indicateurs, l’assurance et la capacité des processus.

L’avantage en matière de conformité est clair. Une seule chaîne maîtrisée d’éléments probants PIMS peut soutenir GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, COBIT 2019 et les diligences préalables des clients.

Comment les auditeurs testeront votre PIMS

Un audit PIMS n’est pas une revue documentaire. C’est un exercice de traçabilité des éléments probants.

La P33 Politique d’audit et de surveillance de la conformité de Clarysec soutient le modèle d’audit :

L’organisation doit maintenir un registre des audits contenant :

L’équivalent PME, Politique d’audit et de surveillance de la conformité - PME, ajoute une exigence importante de qualité des éléments probants :

Les métadonnées, par exemple qui les a collectées, quand et depuis quel système, doivent être documentées.

Cette exigence de métadonnées est limitée mais puissante. Les captures d’écran dépourvues de source, de date, de collecteur et de contexte système constituent des éléments probants faibles. Des éléments probants d’audit maîtrisés prouvent l’authenticité, l’actualité et la traçabilité.

À quoi ressemblent de bons éléments probants PIMS

Supposons qu’un auditeur sélectionne une activité : l’analyse des tickets de support client.

Une réponse faible serait : « Nous avons une politique de confidentialité et notre accord de traitement des données couvre ce point. »

Une réponse PIMS robuste serait :

1. REG02 identifie l’activité, les systèmes, les catégories de PII, les personnes concernées, la finalité, la classification du rôle, la conservation, les transferts, les contrôles de sécurité et le propriétaire.
2. La classification du rôle indique si l’organisation est responsable du traitement, sous-traitant, ou les deux pour des parties spécifiques du flux de travail.
3. Si elle est responsable du traitement, la base légale est validée et enregistrée dans le Registre des bases légales.
4. Si elle est sous-traitant, l’instruction du client et la clause de l’accord de traitement des données sont liées.
5. REG04 montre l’examen préalable des risques relatifs à la vie privée avant le lancement ou une modification substantielle.
6. REG08 identifie la plateforme de ticketing, le fournisseur de synthèse par IA, les sous-traitants ultérieurs, les contrôles contractuels, les droits d’audit, les assurances de sécurité, les clauses de suppression et l’assistance en cas d’incident.
7. Les éléments probants de contrôle d’accès montrent que l’accès du personnel de support est fondé sur les rôles et revu.
8. Les éléments probants de journalisation et de surveillance montrent que l’accès aux tickets de support est surveillé.
9. Les éléments probants de conservation et de suppression montrent que les tickets sont supprimés ou anonymisés conformément à la durée de conservation approuvée.
10. REG12 indexe tous les éléments probants de support avec un propriétaire et une date de revue.
11. Le Registre des audits indique si l’activité a été testée, quels constats ont été relevés et si les actions correctives ont été clôturées.

C’est ainsi qu’ISO 27701:2025 devient opérationnelle. Elle crée une chaîne répétable de responsabilité démontrable.

Défaillances fréquentes des éléments probants PIMS

Dans les environnements SaaS, fintech, de services managés et de technologies B2B, les mêmes lacunes apparaissent régulièrement.

Premièrement, les organisations maintiennent un RoPA ou un registre des traitements, mais ne classifient pas les rôles de responsable du traitement et de sous-traitant par activité. Cela crée une confusion sur la base légale, les instructions documentées et les obligations relatives aux sous-traitants ultérieurs.

Deuxièmement, la base légale est enregistrée une fois puis n’est pas revalidée lorsque la finalité change. L’Article 6 du GDPR exige une discipline sur la finalité et la base légale. Un traitement ultérieur peut nécessiter un test de compatibilité et des garanties.

Troisièmement, les inventaires fournisseurs listent les fournisseurs mais ne présentent pas les champs de contrôle contractuel. Une liste de fournisseurs n’est pas équivalente à une gouvernance des sous-traitants.

Quatrièmement, les décisions de DPIA sont informelles. Les équipes déclarent « pas de risque élevé » sans pouvoir montrer les critères d’examen, l’approbateur, la date ou les éléments probants.

Cinquièmement, les éléments probants d’audit existent mais ne sont pas maîtrisés. Les captures d’écran manquent de métadonnées. Les politiques sont à jour, mais les registres sont obsolètes. Les contrats existent, mais les réévaluations au renouvellement sont oubliées.

Sixièmement, les processus d’incident se concentrent sur les événements de cybersécurité mais ne classifient pas clairement les violations de données à caractère personnel. L’analyse des violations de données à caractère personnel au titre du GDPR, la notification des incidents significatifs NIS2 et la notification des incidents TIC DORA doivent être coordonnées, non dupliquées.

Clarysec répond à ces défaillances en traitant les éléments probants PIMS comme un système de management maîtrisé, et non comme une préparation d’audit de dernière minute.

Liste de contrôle de préparation des éléments probants ISO 27701:2025 PIMS

Utilisez cette liste de contrôle pour votre prochaine revue interne de préparation.

• Définir le domaine d’application du PIMS et les parties intéressées, notamment les clients, les régulateurs, les personnes concernées, les fournisseurs, l’audit interne et la direction.
• Attribuer les rôles et responsabilités PIMS, notamment responsable du PIMS, responsable de la protection des données, responsable de processus, juridique, achats, sécurité et audit interne.
• Créer des entrées REG02 pour chaque activité de traitement de PII.
• Classifier le rôle de responsable du traitement, de sous-traitant, de responsable conjoint du traitement ou de sous-traitant ultérieur pour chaque activité.
• Valider la base légale du traitement réalisé en tant que responsable du traitement avant le début du traitement et avant tout changement de finalité.
• Enregistrer les instructions documentées pour les activités de sous-traitant.
• Déclencher l’examen préalable des risques relatifs à la vie privée dans REG04 avant tout traitement nouveau ou substantiellement modifié.
• Réaliser une DPIA lorsque l’examen des risques indique un risque élevé relatif à la vie privée.
• Maintenir REG08 pour les sous-traitants, les sous-traitants ultérieurs, les fournisseurs TIC et les fournisseurs pertinents pour la protection des données.
• Vérifier les champs contractuels relatifs au périmètre, à la durée, à la finalité, aux catégories de PII, à la confidentialité, à la sécurité, à l’assistance, aux droits d’audit, à la restitution, à la suppression et à la fin du contrat.
• Maintenir REG12 comme index des informations documentées du PIMS.
• Cartographier les éléments probants du PIMS avec le traitement des risques ISO/IEC 27001:2022 et les notes de SoA.
• Croiser les obligations GDPR, NIS2, DORA, NIST CSF 2.0 et COBIT 2019 lorsque cela est pertinent.
• Réaliser des audits internes annuels de conformité en matière de protection des données et mettre à jour le Registre des audits.
• Revoir chaque trimestre les constats ouverts, les actions correctives, les décisions de risque et le reporting de direction.

La P17 Politique de protection des données et de la vie privée renforce le cycle d’audit :

Un audit interne de conformité en matière de protection des données doit être réalisé chaque année ou lors de changements organisationnels ou réglementaires majeurs. Le périmètre de l’audit doit inclure :

Le message est simple. La conformité en matière de protection des données est surveillée ; elle n’est pas présumée.

Construire votre modèle d’éléments probants PIMS avec Clarysec

ISO 27701:2025 apporte le plus de valeur lorsqu’elle est intégrée à ISO/IEC 27001:2022 et conçue pour produire des éléments probants par défaut. C’est ainsi que la protection des données devient un modèle opérationnel défendable plutôt qu’un projet de certification.

Lorsqu’un client demande une assurance en matière de protection des données, vous pouvez présenter des éléments probants. Lorsqu’un régulateur demande pourquoi vous avez traité des données, vous pouvez présenter le rôle, la finalité, la base légale, les garanties et les approbations. Lorsqu’un auditeur demande comment vous gouvernez les sous-traitants ultérieurs, vous pouvez présenter REG08, les contrôles contractuels, les réévaluations et les droits d’audit. Lorsque le conseil d’administration demande si le risque relatif à la vie privée est maîtrisé, vous pouvez présenter des métriques, des actions ouvertes, des résultats d’audit et la revue de direction.

Si votre PIMS reste riche en politiques mais pauvre en éléments probants, commencez par la chaîne que les auditeurs suivront :

Inventaire des traitements REG02, examen préalable des risques relatifs à la vie privée REG04, gouvernance des sous-traitants et sous-traitants ultérieurs REG08, index d’éléments probants REG12, Registre des bases légales, Registre des audits et cartographie SoA.

Clarysec peut vous aider à opérationnaliser cette chaîne au moyen de :

• Zenith Blueprint : feuille de route en 30 étapes pour l’auditeur, notamment l’étape 2 pour les exigences des parties prenantes, l’étape 13 pour le traitement des risques et la traçabilité de la SoA, et l’étape 23 pour les contrôles relatifs à la protection des données, aux fournisseurs et à l’organisation.
• Zenith Controls : guide de conformité croisée, en utilisant les contrôles ISO/IEC 27002:2022 5.2, 5.20, 5.21 et 5.34 comme points d’ancrage pratiques de la responsabilité en matière de protection des données.
• Le corpus de politiques ISO 27701 PIMS de Clarysec, incluant la Politique relative au système de management des informations relatives à la vie privée, la Politique relative à l’inventaire des traitements de PII et à la base légale, la Politique d’appréciation des risques relatifs à la vie privée et de DPIA, la Politique de gestion des sous-traitants, des sous-traitants ultérieurs et des tiers en matière de protection des données et la Politique de gestion des informations documentées et des éléments probants du PIMS.
• Un accompagnement entreprise et PME au travers de la P17 Politique de protection des données et de la vie privée, de la Politique de protection des données et de la vie privée - PME, de la Politique de sécurité des tiers et fournisseurs - PME, de la P33 Politique d’audit et de surveillance de la conformité et de la Politique d’audit et de surveillance de la conformité - PME.

Votre prochaine action est simple : choisissez une activité de traitement de PII à haut risque et parcourez la chaîne d’éléments probants de REG02 à REG12. Si la chaîne se rompt, vous avez identifié votre premier projet d’amélioration. Si elle tient, étendez le modèle à l’ensemble de votre inventaire des traitements.

C’est ainsi qu’ISO 27701:2025 devient plus qu’un certificat. Elle devient la preuve de la responsabilité au titre du GDPR.