Modèles et enregistrements · ISO 27701 · Chapitre 6.1.2 y 8.2
Modèle d’appréciation des risques pour la vie privée ISO 27701
L’analyse qui détermine les mesures nécessaires : ce qui peut mal tourner avec les données personnelles, quel préjudice cela causerait aux personnes et qui prend en charge chaque risque.
En une phrase
L’appréciation des risques pour la vie privée identifie les risques liés au traitement de données personnelles, estime leur vraisemblance et leurs conséquences pour les personnes et pour l’organisme, les compare aux critères d’acceptation et attribue un propriétaire à chacun, parce que les chapitres 6.1.2 et 8.2 de l’ISO/IEC 27701:2025 demandent de définir le processus, de l’appliquer à intervalles planifiés et d’en conserver les résultats.
- Où la norme l’exige
- ISO 27701 · Chapitre 6.1.2 y 8.2 L’édition de 2025 est citée : les numéros 4 à 10 sont des chapitres ; A.1, A.2 et A.3 sont les tableaux de l’Annexe A regroupant les mesures du responsable du traitement, du sous-traitant et celles communes aux deux.
- Type d’information
- Enregistrement obligatoire Information documentée à conserver (6.1.2 et 8.2)
- Qui le renseigne
- Responsable du PIMS, avec les propriétaires des traitements Le délégué à la protection des données conseille ; le propriétaire accepte le risque résiduel
- Quand
- À intervalles planifiés et en cas de changement significatif En général une revue annuelle, plus une à chaque nouveau traitement ou nouveau système
- Durée de conservation
- Fixée par l’organisme Ni la norme ni le RGPD ne fixent de durée pour l’enregistrement lui-même ; le principe de limitation de la conservation (art. 5.1.e du RGPD) oblige à justifier celle qui est retenue.
Ce que demande la norme
Ce qu’exige ISO 27701 et ce qui est laissé à votre appréciation
La norme demande de définir un processus d’appréciation des risques pour la vie privée, avec des critères d’acceptation et d’évaluation, qui produise des résultats cohérents et comparables, puis de l’appliquer pour identifier, analyser et évaluer les risques avec leur propriétaire. La méthode — qualitative, par matrice, par scénarios — est au choix de l’organisme.
L’appréciation est renouvelée à intervalles planifiés et lors de changements significatifs (8.2), et il faut conserver aussi bien la description du processus que les résultats de chaque appréciation.
La spécificité de la vie privée est de regarder le préjudice causé aux personnes, et pas seulement à l’entreprise. Le RGPD va dans le même sens lorsqu’il exige des mesures adaptées au risque pour les droits et libertés (art. 24 et 32).
Structure
Les champs que doit comporter le modèle
- Traitement ou actif évalué
- Scénario de risque : ce qui peut se produire et pourquoi
- Conséquences pour les personnes concernées et pour l’organisme
- Vraisemblance et niveau d’impact selon les critères
- Niveau de risque obtenu et comparaison avec le critère d’acceptation
- Propriétaire du risque
- Option de traitement et mesures de l’Annexe A associées
- Risque résiduel et acceptation par le propriétaire
- Date de l’appréciation et prochaine revue
Exemple
Exemple : risque sur le portail patients d’une clinique fictive
Entreprise, personnes et chiffres fictifs : l’exemple montre seulement à quoi ressemble un enregistrement correctement renseigné.
| Champ | Contenu |
|---|---|
| Traitement | RAT-02 · Rendez-vous et résultats sur le portail patients · Clinique de l’Arlanza (fictive) |
| Scénario | Accès d’un tiers à des résultats d’analyses par réutilisation de mots de passe |
| Conséquences | Divulgation de données de santé : préjudice élevé pour le patient ; notification de violation et perte de confiance |
| Évaluation | Vraisemblance moyenne × impact élevé = risque élevé (critère d’acceptation : moyen) |
| Propriétaire | Direction médicale |
| Traitement | Réduire : double authentification obligatoire et alerte de connexion par e-mail |
| Risque résiduel | Faible · Accepté par la direction médicale le 9 avril 2026 |
| Revue | Avril 2027, ou plus tôt si le portail change |
À l’audit
Les erreurs que relèvent souvent les auditeurs
- L’appréciation de sécurité de l’ISO 27001 est réutilisée sans évaluer l’impact sur les personnes.
- Les critères d’acceptation ne sont pas écrits et chaque évaluateur note à sa façon.
- Aucun risque n’a de propriétaire en dehors du service informatique.
- L’appréciation n’a pas été renouvelée après l’arrivée d’un prestataire cloud traitant des données de santé.
- Le risque résiduel n’est accepté par personne ayant autorité.
Dans Kimobox
Comment tenir cet enregistrement dans Kimobox
- 1Les risques sont enregistrés dans la matrice des risques avec propriétaire, évaluation et traitement.
- 2Chaque risque est relié au traitement du registre des activités et aux mesures de la déclaration d’applicabilité.
- 3La revue périodique est programmée avec alerte d’échéance.
- 4Les violations et non-conformités liées alimentent la cartographie des risques.
Questions fréquentes
Ce que l’on nous demande avant de commencer
Est-ce la même chose que l’analyse d’impact du RGPD ?
Non. L’appréciation des risques couvre tous les traitements du périmètre et alimente le système ; l’analyse d’impact de l’article 35 est un examen approfondi, obligatoire seulement lorsqu’un traitement est susceptible d’engendrer un risque élevé. La première signale généralement quand la seconde est nécessaire.
Peut-on la combiner avec celle de l’ISO 27001 ?
Oui, avec une même méthodologie et des critères élargis pour évaluer le préjudice causé aux personnes. Ce qui ne tient pas, c’est de supposer qu’un risque de sécurité faible pour l’entreprise l’est aussi pour la personne concernée.
Tenez les enregistrements ISO 27701 sans modèles éparpillés
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Risques pour la vie privée et planification
Apprécier les risques pour la vie privée (6.1.2), les traiter au moyen d’une déclaration d’applicabilité…
Modèle de registre des activités de traitement ISO 27701
Ce que doit contenir le registre des activités de traitement d’un PIMS ISO 27701 et de l’art. 30 du RGPD…
Modèle d’inventaire des données personnelles ISO 27701
Bâtir l’inventaire des données personnelles d’un PIMS ISO 27701 : où sont les données, dans quels systèmes…
Modèle de déclaration d’applicabilité ISO 27701
Ce que doit contenir la déclaration d’applicabilité d’un PIMS ISO 27701 : mesures de l’Annexe A…