Contexte et parties intéressées (4.1 et 4.2)
Outre les facteurs habituels, la norme demande de tenir compte de la législation applicable en matière de vie privée, des décisions des autorités de contrôle et des engagements contractuels envers des clients qui imposent des conditions sur les données. Les personnes concernées elles-mêmes — clients, salariés, patients — sont des parties intéressées, et pas seulement les régulateurs.
Le rôle dans chaque traitement
Une même entreprise est souvent responsable du traitement de la paie de son personnel et sous-traitante des données que lui confient ses clients. Cette distinction détermine les mesures de l’Annexe A applicables et doit être tranchée avant d’apprécier les risques.
Périmètre du système (4.3)
Le périmètre délimite les traitements, sites, systèmes et processus inclus, avec leurs interfaces avec les tiers. Un périmètre qui écarte précisément le traitement le plus risqué ôte toute crédibilité au certificat.
Ce que demande habituellement l’auditeur
- Inventaire des traitements avec le rôle de l’organisme dans chacun
- Liste des lois, décisions d’autorités et contrats qui concernent les données
- Parties intéressées avec leurs attentes en matière de vie privée
- Déclaration de périmètre du PIMS documentée
Comment traiter le contexte dans Kimobox
- 1Documentez le contexte du système de protection de la vie privée comme un enregistrement versionné à part entière.
- 2Enregistrez les parties intéressées et leurs exigences dans une table revue chaque année.
- 3Partez du registre des activités de traitement pour délimiter le périmètre.
Le périmètre s’appuie sur le registre des activités, et non sur une liste à part qui vieillit toute seule.
Modèles et enregistrements ISO 27701 de ce chapitre
- Modèle d’inventaire des données personnelles ISO 27701 · Bonne pratique
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- ISO/IEC 27701:2025 — Systèmes de management de la protection de la vie privée. Exigences et recommandations ISO/IEC · Deuxième édition, octobre 2025
- ISO/IEC 27701:2019 — Extension d’ISO/IEC 27001 et d’ISO/IEC 27002 au management de la protection de la vie privée ISO/IEC · Première édition, août 2019 ; annulée en octobre 2025
- Règlement (UE) 2016/679, règlement général sur la protection des données EUR-Lex · 27 avril 2016 ; applicable depuis le 25 mai 2018
- ISO/IEC 27001:2022 — Systèmes de management de la sécurité de l’information ISO/IEC · 25 octobre 2022