Risques pour la vie privée et planification

Appréciation des risques pour la vie privée (6.1.2)

Le risque se mesure du point de vue des personnes dont les données sont traitées, et pas seulement de celui de l’entreprise : une fuite de données de santé n’a pas le même poids que celle d’un annuaire commercial. La méthode est libre, mais elle doit produire des résultats cohérents et comparables lorsqu’on la répète.

Traitement et déclaration d’applicabilité (6.1.3)

Pour chaque risque, on choisit des mesures en les confrontant à l’Annexe A, et l’on consigne dans une déclaration d’applicabilité celles qui sont appliquées et les raisons de l’exclusion des autres. Un sous-traitant qui ne collecte jamais de données auprès des personnes concernées peut justifier l’exclusion des mesures prévues pour le responsable du traitement.

Objectifs et modifications (6.2 et 6.3)

Les objectifs de protection de la vie privée doivent être mesurables — par exemple, le pourcentage de demandes traitées dans les délais — et assortis d’un plan, d’un responsable et d’une échéance. Les modifications du système se planifient, elles ne s’improvisent pas.

Ce que demande habituellement l’auditeur

• Méthodologie d’appréciation des risques pour la vie privée documentée
• Résultat de l’appréciation avec le propriétaire de chaque risque
• Déclaration d’applicabilité avec justification des exclusions
• Objectifs de protection de la vie privée avec indicateur et plan

Comment traiter la planification dans Kimobox

1. 1Tenez l’appréciation des risques dans la matrice des risques, avec propriétaire et traitement.
2. 2Gérez la déclaration d’applicabilité comme document maîtrisé relié aux risques.
3. 3Mesurez les objectifs avec des indicateurs issus des enregistrements eux-mêmes.

Modèles et enregistrements ISO 27701 de ce chapitre

• Modèle d’appréciation des risques pour la vie privée ISO 27701 · Enregistrement obligatoire
• Modèle de déclaration d’applicabilité ISO 27701 · Document obligatoire

D’où vient chaque donnée

Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.

1. ISO/IEC 27701:2025 — Systèmes de management de la protection de la vie privée. Exigences et recommandations ISO/IEC · Deuxième édition, octobre 2025
2. ISO/IEC 27701:2019 — Extension d’ISO/IEC 27001 et d’ISO/IEC 27002 au management de la protection de la vie privée ISO/IEC · Première édition, août 2019 ; annulée en octobre 2025
3. Règlement (UE) 2016/679, règlement général sur la protection des données EUR-Lex · 27 avril 2016 ; applicable depuis le 25 mai 2018
4. ISO/IEC 27001:2022 — Systèmes de management de la sécurité de l’information ISO/IEC · 25 octobre 2022