Modèles et enregistrements · ISO 27701 · Chapitre A.3
Modèle de registre des violations de données personnelles ISO 27701
Toute violation de données personnelles est documentée, qu’elle soit notifiée ou non. Le registre prouve qu’elle a été évaluée à temps et que la décision était argumentée.
En une phrase
Le registre des violations de données personnelles documente chaque violation de sécurité touchant des données personnelles avec ses faits, ses effets et les mesures correctives, ainsi que la décision motivée de la notifier ou non à l’autorité sous 72 heures, parce que l’article 33.5 du RGPD oblige à les documenter toutes et que l’ISO/IEC 27701 intègre leur gestion dans les mesures communes du tableau A.3.
- Où la norme l’exige
- ISO 27701 · Chapitre A.3 L’édition de 2025 est citée : les numéros 4 à 10 sont des chapitres ; A.1, A.2 et A.3 sont les tableaux de l’Annexe A regroupant les mesures du responsable du traitement, du sous-traitant et celles communes aux deux.
- Type d’information
- Enregistrement obligatoire Enregistrement à conserver (art. 33.5 du RGPD ; mesures de gestion des incidents du tableau A.3)
- Qui le renseigne
- Responsable du PIMS, avec l’informatique et le délégué Celui qui détecte la violation la signale immédiatement par le canal prévu
- Quand
- Dès la première alerte Le compte à rebours des 72 heures démarre au moment où l’on prend connaissance de la violation
- Durée de conservation
- Fixée par l’organisme Ni la norme ni le RGPD ne fixent de durée pour l’enregistrement lui-même ; le principe de limitation de la conservation (art. 5.1.e du RGPD) oblige à justifier celle qui est retenue.
Ce que demande la norme
Ce qu’exige ISO 27701 et ce qui est laissé à votre appréciation
La norme demande de gérer les incidents de sécurité dans leur dimension vie privée : détecter s’ils touchent des données personnelles, évaluer les conséquences pour les personnes et respecter les obligations de notification. Le sous-traitant doit prévenir son client dans les meilleurs délais (art. 33.2 du RGPD).
Le responsable du traitement notifie l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés (art. 33.1). Si le risque est élevé, les personnes concernées sont également informées (art. 34).
L’article 33.5 impose de documenter toute violation — faits, effets et mesures —, y compris celles qui ne sont pas notifiées. C’est cette documentation qui permet à l’autorité de vérifier le respect des obligations.
Structure
Les champs que doit comporter le modèle
- Numéro, date et heure de détection et de prise de connaissance
- Description des faits et type : confidentialité, intégrité ou disponibilité
- Catégories et nombre approximatif de personnes concernées et d’enregistrements
- Conséquences probables pour les personnes
- Mesures prises et envisagées pour atténuer les effets
- Évaluation du risque et décision de notifier, avec son motif
- Date de notification à l’autorité et référence
- Communication aux personnes concernées, le cas échéant
- Non-conformité ou action corrective ouverte
Exemple
Exemple : e-mail envoyé avec les destinataires visibles dans un centre de formation fictif
Entreprise, personnes et chiffres fictifs : l’exemple montre seulement à quoi ressemble un enregistrement correctement renseigné.
| Champ | Contenu |
|---|---|
| Numéro et date | BR-2026-004 · 10 mars 2026, 11:20 (connaissance à 11:45) |
| Description | Envoi à 312 apprenants avec les adresses dans le champ « À » · Confidentialité |
| Données touchées | Adresses e-mail de 312 apprenants adultes |
| Conséquences | Exposition des adresses entre apprenants ; aucune donnée sensible |
| Mesures | Message d’excuses demandant de supprimer l’e-mail ; envois groupés uniquement depuis la plateforme de lettres d’information |
| Décision | Pas de notification : risque improbable pour les droits et libertés · Raisonnement du DPO archivé |
| Action | NC-2026-011 ouverte pour bloquer les envois de plus de 20 destinataires depuis la messagerie individuelle · Académie Lumen (fictive) |
À l’audit
Les erreurs que relèvent souvent les auditeurs
- Seules les violations notifiées sont enregistrées.
- L’heure de prise de connaissance n’est pas consignée, si bien que le respect du délai ne peut être démontré.
- La décision de ne pas notifier n’a pas de motif écrit.
- Le contrat avec le sous-traitant ne précise pas comment ni quand il doit prévenir.
- La violation est clôturée sans action corrective alors qu’elle révèle une mesure défaillante.
Dans Kimobox
Comment tenir cet enregistrement dans Kimobox
- 1Les violations sont enregistrées comme des incidents avec leur classification et l’heure de prise de connaissance.
- 2Le système affiche le temps restant avant l’échéance des 72 heures et alerte les responsables.
- 3La décision de notifier figure dans le même enregistrement avec sa justification.
- 4La non-conformité s’ouvre depuis la violation, avec cause racine obligatoire.
Questions fréquentes
Ce que l’on nous demande avant de commencer
Faut-il notifier toutes les violations ?
Non. On notifie celles qui sont susceptibles d’engendrer un risque pour les droits et libertés ; mais toutes sont documentées (art. 33.5 du RGPD).
Que se passe-t-il si le délai de 72 heures est dépassé ?
La notification est faite malgré tout, en expliquant les motifs du retard (art. 33.1). Les informations peuvent être communiquées de manière échelonnée si elles ne sont pas complètes (art. 33.4).
Tenez les enregistrements ISO 27701 sans modèles éparpillés
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Violations de données et sous-traitants
Le dernier bloc couvre deux obligations critiques : notifier à temps les violations de données et contrôler…
Mesures pour responsables du traitement et sous-traitants
L’Annexe A réunit les mesures de référence du PIMS pour les responsables du traitement et les sous-traitants…
Modèle de registre des activités de traitement ISO 27701
Ce que doit contenir le registre des activités de traitement d’un PIMS ISO 27701 et de l’art. 30 du RGPD…
Modèle d’inventaire des données personnelles ISO 27701
Bâtir l’inventaire des données personnelles d’un PIMS ISO 27701 : où sont les données, dans quels systèmes…