Une annexe de mesures propre
Dans l’édition de 2019, les mesures s’appuyaient sur celles de l’ISO/IEC 27002 avec des compléments relatifs à la vie privée. Dans celle de 2025, l’Annexe A est autonome : elle regroupe les mesures selon qu’elles s’appliquent au responsable du traitement, au sous-traitant ou aux deux, et intègre les mesures de sécurité ayant un impact direct sur la vie privée.
Ce qu’elles couvrent
Pour le responsable du traitement : conditions de collecte et de traitement — finalité, base légale, consentement, analyse d’impact —, obligations envers les personnes concernées, protection de la vie privée dès la conception et transferts. Pour le sous-traitant : accords avec le client, traitement uniquement sur ses instructions, sous-traitants ultérieurs et communications à des tiers.
Annexe B et déclaration d’applicabilité
L’Annexe B est le guide de mise en œuvre de chaque mesure. Chaque mesure de l’Annexe A est appliquée, ou exclue avec justification, dans la déclaration d’applicabilité (6.1.3) : aucun auditeur n’attend d’un sous-traitant qu’il applique les mesures du responsable du traitement, mais il attend qu’il l’explique.
Ce que demande habituellement l’auditeur
- Rôle de l’organisme défini pour chaque traitement
- Déclaration d’applicabilité qui parcourt toute l’Annexe A
- Preuve de la mise en œuvre de chaque mesure appliquée
- Justification de chaque exclusion
Comment traiter les mesures dans Kimobox
- 1Chargez les mesures de l’Annexe A dans la déclaration d’applicabilité avec leur statut.
- 2Reliez chaque mesure à l’enregistrement qui la prouve : traitements, droits, contrats.
- 3Attribuez un responsable et une date de revue à chaque mesure appliquée.
Chaque mesure de l’Annexe A renvoie à l’enregistrement qui la démontre.
Modèles et enregistrements ISO 27701 de ce chapitre
- Modèle de registre des activités de traitement ISO 27701 · Document obligatoire
- Modèle d’analyse d’impact relative à la vie privée ISO 27701 · Enregistrement obligatoire
- Modèle de registre des consentements ISO 27701 · Enregistrement obligatoire
- Modèle de registre des demandes d’exercice des droits ISO 27701 · Enregistrement obligatoire
- Modèle de registre des violations de données personnelles ISO 27701 · Enregistrement obligatoire
- Modèle de contrat de sous-traitance des données ISO 27701 · Document obligatoire