Contexte et périmètre du PIMS

Contexte et parties intéressées (4.1 et 4.2)

Outre les facteurs habituels, la norme demande de tenir compte de la législation applicable en matière de vie privée, des décisions des autorités de contrôle et des engagements contractuels envers des clients qui imposent des conditions sur les données. Les personnes concernées elles-mêmes — clients, salariés, patients — sont des parties intéressées, et pas seulement les régulateurs.

Le rôle dans chaque traitement

Une même entreprise est souvent responsable du traitement de la paie de son personnel et sous-traitante des données que lui confient ses clients. Cette distinction détermine les mesures de l’Annexe A applicables et doit être tranchée avant d’apprécier les risques.

Périmètre du système (4.3)

Le périmètre délimite les traitements, sites, systèmes et processus inclus, avec leurs interfaces avec les tiers. Un périmètre qui écarte précisément le traitement le plus risqué ôte toute crédibilité au certificat.

Ce que demande habituellement l’auditeur

• Inventaire des traitements avec le rôle de l’organisme dans chacun
• Liste des lois, décisions d’autorités et contrats qui concernent les données
• Parties intéressées avec leurs attentes en matière de vie privée
• Déclaration de périmètre du PIMS documentée

Comment traiter le contexte dans Kimobox

1. 1Documentez le contexte du système de protection de la vie privée comme un enregistrement versionné à part entière.
2. 2Enregistrez les parties intéressées et leurs exigences dans une table revue chaque année.
3. 3Partez du registre des activités de traitement pour délimiter le périmètre.

Modèles et enregistrements ISO 27701 de ce chapitre

• Modèle d’inventaire des données personnelles ISO 27701 · Bonne pratique