02 / Conformité et certification
ISO/IEC 27701, la vie privée adossée à un système de management
Nous vous aidons à bâtir un système de management de la protection de la vie privée qui montre comment les données personnelles sont traitées, par qui et pourquoi, sous une forme qu'un organisme de certification peut auditer.
Présentation
Ce que couvre l'ISO/IEC 27701
L'ISO/IEC 27701 fixe des exigences et des lignes directrices pour un système de management de la protection de la vie privée (PIMS). Elle regarde les données personnelles sous deux angles : en tant que responsable de traitement, qui décide des finalités et des moyens, et en tant que sous-traitant, qui traite des données pour le compte d'un autre.
La norme a été conçue pour fonctionner avec un SMSI selon l'ISO/IEC 27001, et c'est encore ainsi que la plupart des organisations la mettent en œuvre. Les éditions récentes ont modifié la relation entre les deux normes, nous vérifions donc tôt quelle édition votre organisme de certification audite et nous planifions en conséquence.
Le certificat est délivré par un organisme de certification accrédité. Black Fox vous prépare, rapproche le travail de vos obligations au titre du règlement général sur la protection des données (RGPD) là où elles se recoupent, coordonne l'audit avec nos partenaires de certification de longue date ou un organisme de votre choix, et vous accompagne pendant celui-ci si vous le souhaitez.
À qui s'adresse ce service
Les organisations qui traitent des données personnelles pour leurs clients et doivent prouver comment elles les protègent, les responsables de traitement qui veulent faire auditer leur programme, et les équipes qui disposent déjà d'un SMSI ISO/IEC 27001 et veulent y intégrer la vie privée.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Rôles et périmètre
Nous établissons où vous êtes responsable de traitement, où vous êtes sous-traitant, et quels traitements le PIMS couvre.
Analyse d'écarts
Une revue de vos pratiques actuelles de sécurité et de protection des données au regard de la norme, avec des constats classés par risque et par effort.
Risques et analyses d'impact
Une méthode d'appréciation des risques vie privée à côté de celle de la sécurité de l'information, et des analyses d'impact lorsque les traitements l'exigent.
Registres et mesures
Registre des traitements, conservation, demandes des personnes, transferts et gestion des sous-traitants ultérieurs, chacun relié à ses preuves.
Politiques et procédures
Des documents écrits pour ceux qui les appliquent, intégrés à votre SMSI existant plutôt qu'empilés à côté.
Audit interne
Un audit interne du PIMS, indépendant de ceux qui l'ont construit, avec des constats que vous pouvez encore traiter avant la certification.
Déroulement de la mission
Lancement
Nous convenons du périmètre, de vos rôles, des interlocuteurs et de l'échéance. Un accord de confidentialité d'abord si vous le souhaitez.
Analyse d'écarts
Entretiens, revue documentaire et examen de la circulation réelle des données personnelles, avec à la clé un rapport priorisé.
Accompagnement à la mise en œuvre
Nous traitons les écarts avec vos responsables : registres, mesures, contrats, procédures et preuves.
Audit interne
Un audit interne complet au regard de la norme, mené comme le vrai.
Audit de certification
Nous coordonnons l'audit avec l'un de nos partenaires de certification de longue date ou l'organisme accrédité de votre choix, vous aidons à vous préparer et à traiter les éventuels constats.
Ce que vous recevez
- Déclaration de périmètre du PIMS avec les rôles de responsable et de sous-traitant
- Rapport d'analyse d'écarts et plan d'action priorisé
- Registre des risques vie privée et plan de traitement
- Registre des traitements et procédures associées
- Déclaration d'applicabilité ou correspondance des mesures mise à jour
- Rapport d'audit interne
Black Fox vous prépare et vous accompagne, mais ne délivre pas elle-même de certificats, de rapports d'attestation ni d'évaluations officielles. Lorsqu'un certificat ou un rapport est l'objectif, nous coordonnons l'audit avec nos partenaires de certification de longue date ou un organisme de votre choix, pour que le travail se déroule de bout en bout dans une seule mission.
Questions
Faut-il d'abord l'ISO/IEC 27001 ?
Cela dépend de l'édition auditée par votre organisme de certification et de la façon dont il organise la certification. En pratique, la plupart des organisations mènent l'ISO/IEC 27701 avec un SMSI, car les mesures de sécurité portent une grande partie du travail sur la vie privée. Nous le vérifions avec vous dès le lancement.
L'ISO/IEC 27701 nous rend-elle conformes au RGPD ?
Aucune norme ne le fait seule. L'ISO/IEC 27701 recoupe de nombreuses obligations du RGPD et vous donne une façon structurée de montrer comment vous y répondez, mais le règlement reste la référence. Nous rapprochons l'un de l'autre pour rendre les écarts visibles.
Délivrez-vous le certificat ?
Non. Les certificats sont délivrés par des organismes de certification accrédités, indépendants de ceux qui vous ont accompagné. Nous vous préparons, coordonnons l'audit avec l'un de nos partenaires de certification de longue date ou un organisme de votre choix et vous soutenons pendant celui-ci, pour que vous alliez de la préparation au certificat dans une seule mission.
Nous sommes sous-traitant. Cela change-t-il beaucoup ?
Oui. La norme distingue les lignes directrices pour les responsables de traitement et pour les sous-traitants. Un sous-traitant se concentre sur le respect des instructions, le soutien aux obligations de ses clients et la gestion de ses propres sous-traitants ultérieurs.
Services associés
- Conformité et certificationISO/IEC 27001ISO/IEC 27001 avec Black Fox Security : périmètre du SMSI, appréciation des risques, déclaration d'applicabilité, audit interne et préparation à la certification.
- Conformité et certificationRGPDRGPD avec Black Fox Security : registre des traitements, AIPD, sécurité du traitement, contrats de sous-traitance, violations et droits des personnes.
- Conformité et certificationISO/IEC 27017 et 27018ISO/IEC 27017 et 27018 avec Black Fox Security : analyse d'écarts des mesures cloud, responsabilité partagée, mesures de sous-traitant et préparation à l'audit.
- Gouvernance et risquesPolitiques et procéduresBlack Fox Security rédige et revoit vos politiques de sécurité : usage, contrôle d'accès, incidents, fournisseurs, sauvegarde et plus, pour ceux qui les appliquent.
Sachez où en est votre programme vie privée
Dites-nous quelles données personnelles vous traitez et pour qui. Nous vous montrerons ce que la norme attend et ce qui manque.