Risques pour la vie privée et planification

Appréciation des risques pour la vie privée (6.1.2)

Le risque se mesure du point de vue des personnes dont les données sont traitées, et pas seulement de celui de l’entreprise : une fuite de données de santé n’a pas le même poids que celle d’un annuaire commercial. La méthode est libre, mais elle doit produire des résultats cohérents et comparables lorsqu’on la répète.

Traitement et déclaration d’applicabilité (6.1.3)

Pour chaque risque, on choisit des mesures en les confrontant à l’Annexe A, et l’on consigne dans une déclaration d’applicabilité celles qui sont appliquées et les raisons de l’exclusion des autres. Un sous-traitant qui ne collecte jamais de données auprès des personnes concernées peut justifier l’exclusion des mesures prévues pour le responsable du traitement.

Objectifs et modifications (6.2 et 6.3)

Les objectifs de protection de la vie privée doivent être mesurables — par exemple, le pourcentage de demandes traitées dans les délais — et assortis d’un plan, d’un responsable et d’une échéance. Les modifications du système se planifient, elles ne s’improvisent pas.

Ce que demande habituellement l’auditeur

• Méthodologie d’appréciation des risques pour la vie privée documentée
• Résultat de l’appréciation avec le propriétaire de chaque risque
• Déclaration d’applicabilité avec justification des exclusions
• Objectifs de protection de la vie privée avec indicateur et plan

Comment traiter la planification dans Kimobox

1. 1Tenez l’appréciation des risques dans la matrice des risques, avec propriétaire et traitement.
2. 2Gérez la déclaration d’applicabilité comme document maîtrisé relié aux risques.
3. 3Mesurez les objectifs avec des indicateurs issus des enregistrements eux-mêmes.

Modèles et enregistrements ISO 27701 de ce chapitre

• Modèle d’appréciation des risques pour la vie privée ISO 27701 · Enregistrement obligatoire
• Modèle de déclaration d’applicabilité ISO 27701 · Document obligatoire