Applicabilité des contrôles ISO 27701 selon les rôles GDPR

Il est 08 h 40 un mardi, et Maria, RSSI d’une entreprise SaaS de technologies de santé en forte croissance, examine quatre courriels clients qui se ressemblent presque, mais dont les implications sont très différentes.

Un client grand compte demande des éléments probants démontrant que l’entreprise peut agir comme sous-traitant au sens du GDPR au titre de l’Article 28. Un deuxième demande si la plateforme est également responsable du traitement pour la télémétrie et l’analyse produit. Un troisième demande la liste à jour des sous-traitants ultérieurs et la preuve que les clauses de l’accord de traitement des données sont répercutées. Un quatrième, un client fintech préparant des revues fournisseurs DORA, demande si les mêmes contrôles relatifs à la protection de la vie privée sont cartographiés avec la résilience opérationnelle, le signalement des incidents et le risque lié aux tiers TIC.

L’entreprise de Maria n’est pas négligente. Elle dispose d’un SMSI aligné sur ISO/IEC 27001:2022, de politiques de protection des données, d’un registre des traitements, de l’authentification multifacteur, du chiffrement, de revues d’accès et d’une formation à la protection de la vie privée dès la conception. Mais cette demande met en évidence la question plus exigeante que les auditeurs et les clients testent réellement :

L’entreprise peut-elle prouver que les bons contrôles PIMS ISO 27701 s’appliquent au bon rôle GDPR, pour la bonne activité de traitement, avec le bon propriétaire, les bons éléments probants et la bonne justification ?

C’est là que de nombreux programmes de protection des données échouent. Ils traitent ISO 27701 comme une liste de contrôle, alors que les organismes de certification, les auditeurs clients et les délégués à la protection des données attendent une décision motivée sur l’applicabilité des contrôles. La réponse n’est pas « nous avons des contrôles de protection des données ». La réponse est : « pour cette activité de traitement, nous sommes responsable du traitement, sous-traitant, responsables conjoints du traitement ou sous-traitant ultérieur, et voici pourquoi ces contrôles s’appliquent ou ne s’appliquent pas ».

Pourquoi l’applicabilité des contrôles ISO 27701 est la couche PIMS manquante

Les rôles GDPR reposent sur le pouvoir de décision. Un responsable du traitement détermine les finalités et les moyens du traitement. Un sous-traitant agit pour le compte d’un responsable du traitement. Des responsables conjoints du traitement déterminent conjointement les finalités et les moyens. Un sous-traitant ultérieur est engagé par un sous-traitant pour traiter des données à caractère personnel plus en aval.

Dans les environnements SaaS réels, ces rôles restent rarement homogènes au niveau de l’entreprise. L’organisation de Maria est sous-traitant lorsqu’elle héberge des données de bien-être client, responsable du traitement pour la paie des salariés et les contacts marketing, potentiellement responsable du traitement pour la télémétrie produit selon la finalité et les clauses contractuelles, et responsable conjoint du traitement dans une campagne co-marquée. Si un prestataire de services managés plus important revend sa plateforme, l’entreprise peut également devenir sous-traitant ultérieur dans cette chaîne.

L’applicabilité des contrôles ISO 27701 est la discipline qui empêche ces rôles de se réduire à des déclarations vagues. Elle pose les questions suivantes :

• Quelle activité de traitement relève du périmètre ?
• Quel rôle GDPR l’organisation joue-t-elle pour cette activité ?
• Quels contrôles PIMS s’appliquent du fait de ce rôle ?
• Quels contrôles sont exclus, et pourquoi ?
• Quels éléments probants démontrent la mise en œuvre ?
• Quelle exigence juridique, contractuelle, de risque ou de périmètre a motivé la décision ?

La Politique du système de management des informations relatives à la vie privée de Clarysec fait de la classification des rôles le point de départ :

« [Les deux] Le responsable du processus / propriétaire métier DOIT classer le rôle PIMS de l’organisation pour chaque activité de traitement de PII dans REG02 avant le début de l’activité de traitement. »

Extrait de la section « Détermination du rôle PIMS », clause de politique 4.2.1.

La même politique relie cette décision de rôle à l’applicabilité des contrôles :

« [Les deux] Le responsable de la protection des données / responsable PIMS DOIT tenir à jour REG03 avec les contrôles inclus, les contrôles exclus, le statut de mise en œuvre et la justification, annuellement et dans les 30 jours suivant chaque modification du traitement des risques relatifs à la vie privée. »

Extrait de la section « Politique de protection de la vie privée, objectifs et applicabilité des contrôles », clause de politique 4.3.3.

REG02 indique quels traitements existent et quel rôle s’applique. REG03 indique quels contrôles s’appliquent, ce qui est exclu, quels éléments probants existent et pourquoi la décision est défendable.

Construire le PIMS sur la logique de Déclaration d’applicabilité ISO/IEC 27001:2022

Un PIMS fondé sur les rôles fonctionne mieux lorsqu’il s’appuie sur un SMSI mature. ISO/IEC 27001:2022 exige déjà la définition du périmètre, l’analyse des parties intéressées, l’appréciation des risques, le traitement des risques, la sélection des contrôles et une Déclaration d’applicabilité. ISO 27701 étend cette logique de système de management à la protection de la vie privée.

La Politique de sécurité de l’information de Clarysec précise :

« Le SMSI doit inclure des limites de périmètre définies, une méthodologie d’appréciation des risques, des objectifs mesurables et des contrôles documentés justifiés dans la Déclaration d’applicabilité (SoA). »

Extrait de la section « Exigences de mise en œuvre de la politique », clause de politique 6.1.2.

La Politique de gestion des risques renforce la même discipline relative aux éléments probants :

« Une Déclaration d’applicabilité (SoA) doit refléter toutes les décisions de traitement et doit être mise à jour chaque fois que la couverture des contrôles est modifiée. »

Extrait de la section « Exigences de gouvernance », clause de politique 5.4.

Pour la protection de la vie privée, REG03 devient le registre d’applicabilité des contrôles PIMS qui reprend la discipline de la SoA. Il ne remplace pas la SoA ISO/IEC 27001:2022. Il l’enrichit en ajoutant les décisions relatives à la protection de la vie privée propres aux rôles GDPR pour les responsables du traitement, les sous-traitants, les responsables conjoints du traitement et les sous-traitants ultérieurs.

La Politique d’inventaire des traitements de PII et de base légale rend cette articulation explicite :

« [Les deux] Le responsable de la protection des données / responsable PIMS DOIT lier les activités de traitement REG02 applicables aux enregistrements d’applicabilité des contrôles REG03 avant la revue de préparation à la certification. »

Extrait de la section « Exploitation de l’inventaire des traitements », clause de politique 7.1.5.

Un auditeur doit pouvoir sélectionner une activité de traitement dans REG02, identifier le rôle GDPR, suivre les contrôles applicables dans REG03, examiner les contrôles ISO/IEC 27001:2022 pertinents dans la SoA et inspecter des éléments probants tels qu’un accord de traitement des données (DPA), un enregistrement de base légale, une revue d’accès, une approbation de sous-traitant ultérieur, une procédure de gestion des incidents ou un journal de suppression.

Le modèle d’applicabilité des contrôles fondé sur les rôles

La manière la plus rapide de rendre ISO 27701 exploitable consiste à décider de l’applicabilité au niveau de l’activité de traitement, et non au niveau de l’entreprise.

Un fournisseur SaaS devrait éviter de dire : « nous sommes sous-traitant ». Il devrait dire : « pour les enregistrements utilisateurs téléversés par les clients dans la plateforme de production, nous sommes sous-traitant. Pour la paie, nous sommes responsable du traitement. Pour l’analyse produit, notre rôle dépend du fait que les analyses sont utilisées uniquement pour fournir les services contractuels ou pour nos propres finalités indépendantes. Pour le fournisseur de ticketing qui prend en charge les données clients, le fournisseur est un sous-traitant ultérieur. »

Cette approche fondée sur les rôles est alignée sur la responsabilité au titre du GDPR. Les responsables du traitement doivent démontrer la conformité aux principes de licéité, loyauté, transparence, limitation des finalités, minimisation, exactitude, limitation de la conservation, intégrité, confidentialité et responsabilité. Les sous-traitants doivent traiter uniquement sur instructions documentées, mettre en œuvre une sécurité appropriée, assister les responsables du traitement, gérer les sous-traitants ultérieurs et prendre en charge la restitution ou la suppression.

Le raccourci dangereux consiste à supposer que chaque contrôle de protection des données s’applique partout. Un sous-traitant ne détermine généralement pas la base légale pour les données des utilisateurs finaux des clients, mais il doit prouver qu’il ne traite ces données que selon les instructions du client. Un responsable du traitement peut ne pas avoir besoin d’une approbation client des sous-traitants ultérieurs pour un traitement RH interne, mais il doit réaliser une diligence raisonnable sur le sous-traitant chargé de la paie.

Classer avant l’approbation du contrat ou le début du traitement

Le constat de préparation PIMS le plus fréquent est la classification tardive des rôles. Le contrat est signé, la plateforme est en production, les fournisseurs sont intégrés, et personne n’a déterminé si l’organisation est responsable du traitement, sous-traitant, responsables conjoints du traitement ou sous-traitant ultérieur pour chaque flux de données.

Ce retard crée des difficultés en aval. Le mauvais DPA est utilisé. Les sous-traitants ultérieurs ne sont pas divulgués. Les DPIA sont oubliées. La conservation est floue. Le support client ne sait pas quel délai de notification de violation s’applique. Les achats traitent un fournisseur ayant un impact sur la vie privée comme « un simple outil ».

La Politique de gestion de la vie privée applicable aux sous-traitants, sous-traitants ultérieurs et tiers traite directement le moment de la classification :

« [Les deux] Le responsable de la protection des données / responsable PIMS DOIT classer chaque relation avec un tiers en matière de protection des données comme responsable du traitement, responsables conjoints du traitement, sous-traitant, sous-traitant ultérieur ou autre relation avec un tiers dans REG08 avant l’approbation du contrat ou avant le début du traitement de PII, selon l’événement qui survient en premier. »

Extrait de la section « Identification et classification des relations », clause de politique 4.1.3.

La classification REG08 des fournisseurs et des relations avec des tiers alimente REG03. Si un fournisseur est sous-traitant, les contrôles applicables incluent les clauses DPA, la confidentialité, les mesures de sécurité, les droits d’audit, l’assistance aux demandes d’exercice des droits, l’assistance en cas de violation, la restitution ou la suppression et les contrôles relatifs aux sous-traitants ultérieurs. Si un fournisseur est un responsable du traitement indépendant, l’accent se déplace vers la base légale, la gouvernance de la divulgation, les transferts, la transparence et la responsabilité.

Pour les organisations plus petites, la Politique de sécurité des tiers et des fournisseurs - PME exige que les équipes prennent en compte :

« L’exposition réglementaire (par exemple, rôle de sous-traitant GDPR, obligations du secteur financier au titre de DORA) »

Extrait de la section « Exigences de gouvernance », clause de politique 5.2.4.

Elle fixe également une exigence claire avant tout partage :

« Les clauses de l’accord de traitement des données (DPA) ou des conditions contractuelles équivalentes doivent être convenues avant tout partage de données à caractère personnel ou de données sensibles. »

Extrait de la section « Exigences de mise en œuvre de la politique », clause de politique 6.3.2.

C’est ce qui distingue la simple existence de contrats fournisseurs d’une gouvernance des rôles en matière de protection des données exploitable en audit.

Cartographier les contrôles avec le rôle, le risque, la loi et le contrat

Zenith Blueprint, phase Gestion des risques, Étape 13 : Planification du traitement des risques et Déclaration d’applicabilité, explique la logique fondamentale d’applicabilité. Les contrôles sont applicables en raison de décisions de traitement des risques, d’exigences légales ou contractuelles, de leur pertinence au regard du périmètre et du contexte organisationnel. Les exclusions doivent être clairement motivées, et les contrôles applicables doivent pouvoir être rattachés à un risque ou à une exigence.

À l’Étape 13, Zenith Blueprint indique :

« Assurez l’alignement avec votre registre des risques : chaque contrôle d’atténuation que vous avez inscrit dans le plan de traitement des risques doit correspondre à un contrôle de l’Annexe A marqué comme “Applicable”. À l’inverse, si un contrôle est marqué comme applicable, un risque ou une exigence doit le justifier. »

Pour ISO 27701, la même méthode s’applique aux contrôles relatifs à la protection de la vie privée. Un contrôle peut être applicable parce que :

1. GDPR l’exige pour le rôle de l’organisation.
2. Un contrat client, un DPA ou un accord entre responsables conjoints du traitement l’exige.
3. Un traitement des risques relatifs à la vie privée l’exige.
4. Le traitement porte sur des catégories particulières, des données relatives aux enfants, une surveillance à grande échelle, un profilage sensible ou des données à caractère personnel à fort impact.
5. Un risque fournisseur, cloud, lié à un sous-traitant ultérieur ou à un transfert transfrontalier rend le contrôle nécessaire.
6. Le contrôle soutient le périmètre de certification, la préparation à l’audit ou les objectifs approuvés en matière de protection de la vie privée.

La Politique de conformité juridique et réglementaire renforce cette discipline de cartographie :

« Lorsqu’une réglementation s’applique à plusieurs domaines (par exemple, le GDPR s’applique à la conservation, à la sécurité et à la protection de la vie privée), cela doit être clairement cartographié dans le registre de conformité et les supports de formation. »

Extrait de la section « Exigences de gouvernance », clause de politique 5.2.2.

La même Politique de conformité juridique et réglementaire est explicite concernant l’intégration dans le SMSI d’entreprise :

« Toutes les obligations légales et réglementaires doivent être cartographiées avec des politiques, contrôles et propriétaires spécifiques au sein du système de management de la sécurité de l’information (SMSI). »

Extrait de la section « Exigences de mise en œuvre de la politique », clause de politique 6.2.1.

REG03 ne doit donc jamais être une feuille de calcul de protection des données isolée. Il doit relier les activités de traitement, les obligations légales, les traitements des risques, les contrats, les contrôles ISO/IEC 27001:2022 et les responsables des éléments probants.

Exemple pratique : un workflow de support SaaS

Prenons un workflow de support dans la plateforme SaaS de Maria. Les clients soumettent des tickets pouvant contenir des noms, des adresses électroniques, des identifiants de compte, des captures d’écran et parfois un contexte métier sensible. Les agents de support accèdent à des enregistrements limités. Un fournisseur de ticketing cloud héberge les données et utilise ses propres sous-traitants ultérieurs.

Étape 1 : enregistrer l’activité dans REG02

Le responsable de la protection des données enregistre :

• Nom de l’activité : traitement des tickets de support client
• Catégories de PII : identifiants utilisateurs, coordonnées, captures d’écran, métadonnées de compte
• Personnes concernées : administrateurs clients et utilisateurs finaux
• Finalité : support et diagnostic des services
• Rôle : sous-traitant pour les PII d’utilisateurs finaux fournies par les clients, responsable du traitement pour la gestion des contacts professionnels directs lorsqu’ils sont utilisés pour les communications relatives aux comptes
• Conservation : durée de conservation définie à des fins de support et d’audit
• Destinataires : personnel de support interne, fournisseur de ticketing, sous-traitants ultérieurs approuvés
• Classification de sécurité : confidentiel, PII

La Politique de protection des données et de la vie privée - PME soutient ce socle :

« Le Coordinateur protection des données doit tenir un registre de toutes les activités de traitement de données à caractère personnel, incluant les catégories de données, la finalité, la base légale et les durées de conservation »

Extrait de la section « Exigences de gouvernance », clause de politique 5.2.1.

Étape 2 : classer le fournisseur dans REG08

Si l’entreprise de Maria est sous-traitant pour les données clients, le fournisseur de ticketing est généralement un sous-traitant ultérieur pour ces données clients. REG08 doit consigner le type de relation, le statut contractuel, les catégories de données, les lieux d’hébergement des données, les sous-traitants ultérieurs en aval et les éléments probants d’assurance.

Étape 3 : enregistrer l’applicabilité dans REG03

La Politique de protection des données et de la vie privée d’entreprise ajoute un déclencheur de risque élevé :

« La modélisation des menaces et les analyses d’impact relatives à la protection des données (DPIA) sont obligatoires pour les systèmes de traitement à haut risque. »

Extrait de la section « Exigences de mise en œuvre de la politique », clause de politique 6.3.4.

La Politique de protection des données et de la vie privée - PME intègre l’exigence de conception :

« La protection de la vie privée dès la conception et par défaut doit être appliquée dans tous les nouveaux systèmes et services »

Extrait de la section « Exigences de gouvernance », clause de politique 5.3.1.

Étape 4 : aligner avec les contrôles ISO/IEC 27001:2022

Si la plateforme de support relève du périmètre du SMSI, la SoA doit inclure les contrôles ISO/IEC 27002:2022 de soutien, tels que les relations fournisseurs, les accords fournisseurs, la gestion de la chaîne d’approvisionnement TIC, le contrôle d’accès, la gestion des identités, le transfert d’informations, les services cloud, la gestion des incidents, la journalisation et la surveillance, la gestion des changements, la conformité juridique et la protection de la vie privée.

Zenith Blueprint, phase Gestion des risques, Étape 14 : Politiques de traitement des risques et références croisées réglementaires, recommande de croiser GDPR, NIS2 et DORA avec les politiques et contrôles, notamment pour la protection des données à caractère personnel, la réponse aux incidents, le contrôle d’accès, la continuité d’activité et le risque lié aux tiers TIC.

Le résultat est un ensemble d’éléments probants réutilisable, et non des feuilles de calcul séparées pour GDPR, DORA, NIS2 et la certification.

Ce que Zenith Controls apporte à l’applicabilité PIMS

Zenith Controls est le guide de conformité croisée de Clarysec pour comprendre les relations entre les contrôles ISO/IEC 27001:2022 et ISO/IEC 27002:2022, les méthodes d’audit et d’autres référentiels. Il ne s’agit pas d’un ensemble de contrôles distinct. Pour ce sujet, les contrôles centraux ISO/IEC 27002:2022 sont :

• 5.34 Protection de la vie privée et protection des PII
• 5.19 Sécurité de l’information dans les relations fournisseurs
• 5.20 Prise en compte de la sécurité de l’information dans les accords fournisseurs
• 5.21 Gestion de la sécurité de l’information dans la chaîne d’approvisionnement TIC
• 5.22 Surveillance, revue et gestion des changements des services fournis par les fournisseurs

Pour 5.34, Zenith Controls classe le contrôle comme préventif, cartographié avec la confidentialité, l’intégrité et la disponibilité, aligné sur Identify et Protect, et associé aux capacités de protection de l’information, juridiques et de conformité.

Sa cartographie GDPR précise :

« La mise en œuvre de 5.34 constitue un élément probant direct de la capacité d’une organisation à satisfaire aux exigences de responsabilité du GDPR. »

Extrait de Zenith Controls, Protection de la vie privée et protection des PII, cartographie croisée GDPR.

Cette phrase est importante, car elle transforme 5.34 d’une déclaration générale sur la protection de la vie privée en élément probant d’audit. Elle doit être soutenue par les inventaires de PII, la classification, le contrôle d’accès, le masquage, le transfert sécurisé, la gouvernance cloud, les DPIA, les mentions d’information, les workflows DSAR et la gestion des violations.

Zenith Controls relie également la protection de la vie privée et des PII à des normes connexes telles qu’ISO/IEC 27018 pour le traitement de PII dans le cloud public, ISO/IEC 29100 pour les principes de protection de la vie privée et ISO/IEC 29151 pour les pratiques de protection des PII. La gouvernance de la protection des données des fournisseurs est soutenue par la famille ISO/IEC 27036 pour les relations fournisseurs et la sécurité de la chaîne d’approvisionnement TIC, ainsi que par ISO/IEC 27017 pour les responsabilités partagées en matière de sécurité cloud.

Les éléments probants fournisseurs et sous-traitants ultérieurs sont le point de convergence des rôles

Les obligations des responsables du traitement et des sous-traitants se rencontrent souvent à la frontière fournisseur.

Si l’entreprise de Maria est responsable du traitement, le GDPR attend qu’elle utilise des sous-traitants présentant des garanties suffisantes. Si elle est sous-traitant, les clients attendent qu’elle gère les sous-traitants ultérieurs, répercute les obligations et fournisse une assurance. Si elle est sous-traitant ultérieur, elle hérite des obligations tout au long de la chaîne.

Cela rend les contrôles ISO/IEC 27002:2022 5.19 et 5.20 centraux pour l’applicabilité des contrôles ISO 27701.

Pour 5.19, Zenith Controls met l’accent sur la sécurité des relations fournisseurs dans les domaines de la gouvernance, de l’écosystème et de la protection. Ce contrôle est directement lié à 5.20 sur les accords fournisseurs, 5.21 sur la sécurité de la chaîne d’approvisionnement TIC, 5.14 sur le transfert d’informations, 5.36 sur la conformité aux politiques, règles et normes de sécurité de l’information, et 5.10 sur l’utilisation acceptable des informations et autres actifs associés.

Pour 5.20, Zenith Controls met l’accent sur la formalisation contractuelle. Les accords fournisseurs doivent définir la confidentialité, la notification des violations, les droits d’audit, l’approbation des sous-traitants, le transfert sécurisé, la restitution ou la destruction des données, les obligations de conformité et la surveillance.

Zenith Blueprint, phase Contrôles en action, Étape 23 : Contrôles organisationnels, donne une instruction pratique concernant les sous-traitants ultérieurs :

« Pour chaque fournisseur critique, identifiez s’il utilise des sous-traitants (sous-traitants ultérieurs) susceptibles d’accéder à vos données ou à vos systèmes. Documentez la manière dont vos exigences de sécurité de l’information sont répercutées à ces parties, soit au moyen des conditions contractuelles de votre fournisseur, soit au moyen de vos propres clauses directes. »

Les auditeurs ne s’arrêteront pas à la question « avez-vous un DPA ? ». Ils demanderont si les fournisseurs sont sous-traitants, sous-traitants ultérieurs, responsables du traitement indépendants ou responsables conjoints du traitement, si les approbations des sous-traitants ultérieurs sont documentées, si les obligations sont répercutées, si les délais de notification des violations sont clairs, si une surveillance est réalisée et si des éléments probants de suppression ou de restitution peuvent être obtenus.

Conformité croisée sans systèmes de contrôle redondants

L’applicabilité des contrôles ISO 27701 prend davantage de valeur lorsqu’elle soutient, à partir de la même base d’éléments probants, les échanges d’assurance relatifs à GDPR, NIS2, DORA, NIST CSF 2.0 et COBIT 2019.

GDPR impose des obligations de protection des données fondées sur les rôles : responsabilité du responsable du traitement, obligations du sous-traitant, base légale, droits des personnes concernées, sécurité, gouvernance des violations et contrats.

NIS2 ajoute la gestion des risques de cybersécurité, la gestion des incidents, la continuité d’activité, la sécurité de la chaîne d’approvisionnement, le développement sécurisé, la gestion des vulnérabilités, le contrôle d’accès, la cryptographie, l’authentification multifacteur et la formation pour les entités essentielles et importantes.

DORA s’applique à compter du 17 janvier 2025 aux entités financières relevant de son champ d’application et exige la gestion des risques TIC, le signalement des incidents, les tests de résilience et la gestion des risques liés aux tiers TIC. Les fournisseurs SaaS et TIC servant des entités financières sont souvent invités à fournir des éléments probants de protection des données, de sécurité, de résilience, de droits d’audit et de sortie dans un seul dossier d’assurance.

NIST CSF 2.0 fournit une couche de gouvernance au moyen de la fonction GOVERN, incluant les obligations légales, réglementaires, contractuelles et relatives à la vie privée, les rôles, l’appétence au risque, la supervision des politiques et la gouvernance de la chaîne d’approvisionnement.

COBIT 2019 ajoute des pratiques de gouvernance et de management. Pour la protection de la vie privée, Zenith Controls cartographie 5.34 avec COBIT DSS06.02, DSS06.08 et APO13.01. Pour les fournisseurs, 5.19 et 5.20 soutiennent les pratiques relatives au risque fournisseur et aux accords fournisseurs.

Le point stratégique est simple. REG03 doit être plus qu’un livrable justificatif ISO 27701. Il doit être une cartographie réutilisable de l’applicabilité des contrôles pour les audits clients, les revues réglementaires et l’assurance destinée au conseil d’administration.

Comment les auditeurs testent l’applicabilité des contrôles ISO 27701

Les auditeurs commencent sous des angles différents, mais ils convergent généralement vers la même piste d’éléments probants.

Un auditeur de système de management ISO commence par le périmètre, les parties intéressées, les obligations, l’appréciation des risques, l’alignement avec la SoA, l’audit interne, la revue de direction et l’amélioration continue. Il vérifiera que REG02, REG03 et la SoA ISO/IEC 27001:2022 concordent.

Un auditeur orienté GDPR ou un réviseur DPD teste la logique des rôles. Il échantillonnera des activités, examinera la base légale, les mentions d’information, les DPA, les sous-traitants ultérieurs, les DPIA, la gestion des DSAR, la conservation et la décision relative aux violations.

Un évaluateur orienté NIST recherche les résultats de gouvernance, la catégorisation des risques, les inventaires de données, les contrôles d’accès, la protection des données au repos et en transit, la surveillance, la réponse aux incidents, le risque fournisseur et les plans d’amélioration.

Un auditeur COBIT 2019 ou ISACA examine la responsabilité de gouvernance, la capacité des processus, la conception des contrôles et l’efficacité opérationnelle. Il vérifiera que les contrôles de protection des données sont intégrés aux achats, à la gestion des changements, à la gestion des incidents et à la surveillance des fournisseurs.

Pour 5.34, Zenith Controls décrit l’examen par les auditeurs des politiques de protection des données, des inventaires de données, des DPIA, des journaux de formation, des mesures de protection techniques, des échantillons DSAR, des incidents relatifs aux PII et des éléments probants de protection de la vie privée dès la conception. Pour 5.19 et 5.20, les auditeurs demandent les inventaires fournisseurs, les classifications de risque, les enregistrements de diligence raisonnable, les contrats, les clauses relatives aux violations, les droits d’audit, l’approbation des sous-traitants, les éléments probants de sortie et la preuve que les rapports fournisseurs sont revus.

La distinction est essentielle. La préparation à l’audit ne consiste pas à dire « nous avons une clause ». Elle consiste à dire : « nous avons utilisé la clause, l’avons surveillée, avons revu les éléments probants et avons agi lorsque le risque a changé ».

Erreurs fréquentes dans l’applicabilité pour les responsables du traitement et les sous-traitants

Clarysec observe régulièrement cinq défaillances évitables.

Premièrement, les organisations classent toute l’entreprise dans un seul rôle GDPR. Cela ne fonctionne pas pour les fournisseurs SaaS, fintech, HR tech, health tech, services managés ou cloud ayant des flux de données mixtes.

Deuxièmement, elles traitent les contrôles ISO 27701 comme universellement applicables sans justification fondée sur les rôles. Cela crée des exigences probatoires excessives et des exclusions fragiles.

Troisièmement, elles excluent des contrôles sans documenter pourquoi. Dans la logique de SoA ISO/IEC 27001:2022 et dans la logique d’applicabilité PIMS, les exclusions doivent être conscientes, motivées et soutenues par une analyse de périmètre, de rôle, de risque ou juridique.

Quatrièmement, elles oublient les sous-traitants ultérieurs. La solidité de l’assurance fournie par un sous-traitant dépend de sa chaîne en aval. Les registres de sous-traitants ultérieurs, les mécanismes d’approbation, les clauses répercutées et les éléments probants de suppression sont indispensables.

Cinquièmement, elles ne relient pas les contrôles de protection des données aux opérations de sécurité. La protection de la vie privée dès la conception n’est pas seulement un modèle de DPIA. Elle doit influencer les contrôles d’accès, la journalisation, le développement sécurisé, la configuration cloud, la diligence raisonnable des fournisseurs, l’automatisation de la conservation et la réponse aux incidents.

Liste de contrôle Clarysec pour l’applicabilité des contrôles REG03

Utilisez cette liste de contrôle avant les revues de préparation ISO 27701, l’assurance client GDPR ou les évaluations fournisseurs motivées par DORA :

• Créer ou mettre à jour REG02 pour chaque activité de traitement impliquant des PII.
• Classer le rôle PIMS pour chaque activité avant le début du traitement.
• Classer chaque relation avec un tiers dans REG08 avant l’approbation du contrat ou le traitement de PII.
• Identifier les obligations selon le rôle : responsable du traitement, sous-traitant, responsables conjoints du traitement ou sous-traitant ultérieur.
• Enregistrer les contrôles PIMS applicables dans REG03 avec le propriétaire, le statut de mise en œuvre et les éléments probants.
• Enregistrer les contrôles exclus avec une justification claire.
• Relier les décisions REG03 aux risques, obligations légales, contrats ou justifications de périmètre.
• Aligner REG03 avec la SoA ISO/IEC 27001:2022 lorsque les contrôles de sécurité soutiennent la protection de la vie privée.
• Cartographier les contrôles de protection des données avec ISO/IEC 27002:2022 5.34 lorsque la protection des PII est requise.
• Cartographier les exigences fournisseurs et sous-traitants ultérieurs avec 5.19, 5.20, 5.21 et 5.22.
• Ajouter des références de conformité croisée pour GDPR, NIS2, DORA, NIST CSF 2.0 et COBIT 2019 lorsque pertinent.
• Tester la piste d’éléments probants au moyen d’un échantillon d’audit interne avant la revue de préparation à la certification.
• Obtenir l’approbation de la direction lorsque le domaine d’application du PIMS ou l’applicabilité des contrôles change.

La Politique du système de management des informations relatives à la vie privée boucle cette gouvernance :

« [Les deux] La direction DOIT approuver les changements du domaine d’application du PIMS et de l’applicabilité des contrôles dans REG01 et REG03 avant la soumission de changements du périmètre de certification. »

Extrait de la section « Gouvernance du PIMS », clause de politique 6.1.3.

C’est le type d’éléments probants de gouvernance auquel les auditeurs accordent leur confiance.

Transformer les décisions de rôles GDPR en éléments probants défendables

L’applicabilité des contrôles ISO 27701 est l’endroit où la théorie des rôles GDPR devient une réalité opérationnelle. Un responsable du traitement a besoin d’éléments probants relatifs à la base légale, à la transparence, à la conservation, aux DPIA, à la gestion des droits et à la supervision des sous-traitants. Un sous-traitant a besoin d’éléments probants relatifs aux instructions documentées, à la confidentialité, à la sécurité, à l’assistance, aux sous-traitants ultérieurs, à l’assistance en cas de violation et à la suppression. Des responsables conjoints du traitement ont besoin d’un accord de responsabilités transparent. Un sous-traitant ultérieur a besoin d’obligations répercutées et d’un appui à l’assurance.

Clarysec aide les organisations à construire cette couche d’éléments probants au moyen de :

• La structure REG02 d’inventaire des traitements et de base légale.
• Les enregistrements REG03 d’applicabilité des contrôles PIMS.
• La classification REG08 des relations avec des tiers en matière de protection des données.
• L’alignement avec la SoA ISO/IEC 27001:2022.
• Des clauses de politique qui attribuent les responsables, les délais et les exigences d’approbation.
• La cartographie croisée de conformité au moyen de Zenith Controls.
• Le séquençage de mise en œuvre au moyen de Zenith Blueprint.

Si votre organisation se prépare à une revue de préparation du PIMS ISO 27701, à une assurance client GDPR, à des revues fournisseurs DORA ou à une gouvernance de sécurité alignée sur NIS2, commencez par une activité de traitement à haut risque. Classez le rôle. Cartographiez les contrôles applicables. Reliez les éléments probants. Répétez ensuite l’exercice jusqu’à ce que votre programme de protection des données ne soit pas seulement conforme sur le papier, mais explicable en audit.

Téléchargez la suite de politiques PIMS Clarysec, explorez Zenith Blueprint, ou réservez une évaluation de préparation Clarysec pour transformer les décisions relatives aux responsables du traitement, sous-traitants, responsables conjoints du traitement et sous-traitants ultérieurs en registre d’éléments probants de protection des données prêt pour la certification.