Une annexe de mesures propre
Dans l’édition de 2019, les mesures s’appuyaient sur celles de l’ISO/IEC 27002 avec des compléments relatifs à la vie privée. Dans celle de 2025, l’Annexe A est autonome : elle regroupe les mesures selon qu’elles s’appliquent au responsable du traitement, au sous-traitant ou aux deux, et intègre les mesures de sécurité ayant un impact direct sur la vie privée.
Ce qu’elles couvrent
Pour le responsable du traitement : conditions de collecte et de traitement — finalité, base légale, consentement, analyse d’impact —, obligations envers les personnes concernées, protection de la vie privée dès la conception et transferts. Pour le sous-traitant : accords avec le client, traitement uniquement sur ses instructions, sous-traitants ultérieurs et communications à des tiers.
Annexe B et déclaration d’applicabilité
L’Annexe B est le guide de mise en œuvre de chaque mesure. Chaque mesure de l’Annexe A est appliquée, ou exclue avec justification, dans la déclaration d’applicabilité (6.1.3) : aucun auditeur n’attend d’un sous-traitant qu’il applique les mesures du responsable du traitement, mais il attend qu’il l’explique.
Ce que demande habituellement l’auditeur
- Rôle de l’organisme défini pour chaque traitement
- Déclaration d’applicabilité qui parcourt toute l’Annexe A
- Preuve de la mise en œuvre de chaque mesure appliquée
- Justification de chaque exclusion
Comment traiter les mesures dans Kimobox
- 1Chargez les mesures de l’Annexe A dans la déclaration d’applicabilité avec leur statut.
- 2Reliez chaque mesure à l’enregistrement qui la prouve : traitements, droits, contrats.
- 3Attribuez un responsable et une date de revue à chaque mesure appliquée.
Chaque mesure de l’Annexe A renvoie à l’enregistrement qui la démontre.
Modèles et enregistrements ISO 27701 de ce chapitre
- Modèle de registre des activités de traitement ISO 27701 · Document obligatoire
- Modèle d’analyse d’impact relative à la vie privée ISO 27701 · Enregistrement obligatoire
- Modèle de registre des consentements ISO 27701 · Enregistrement obligatoire
- Modèle de registre des demandes d’exercice des droits ISO 27701 · Enregistrement obligatoire
- Modèle de registre des violations de données personnelles ISO 27701 · Enregistrement obligatoire
- Modèle de contrat de sous-traitance des données ISO 27701 · Document obligatoire
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- ISO/IEC 27701:2025 — Systèmes de management de la protection de la vie privée. Exigences et recommandations ISO/IEC · Deuxième édition, octobre 2025
- ISO/IEC 27701:2019 — Extension d’ISO/IEC 27001 et d’ISO/IEC 27002 au management de la protection de la vie privée ISO/IEC · Première édition, août 2019 ; annulée en octobre 2025
- Règlement (UE) 2016/679, règlement général sur la protection des données EUR-Lex · 27 avril 2016 ; applicable depuis le 25 mai 2018
- ISO/IEC 27001:2022 — Systèmes de management de la sécurité de l’information ISO/IEC · 25 octobre 2022