Modèles et enregistrements · ISO 27701 · Chapitre 4.3 y 6.1.2
Modèle d’inventaire des données personnelles ISO 27701
La carte des endroits où vivent les données personnelles : systèmes, fichiers, copies et prestataires. Sans elle, l’appréciation des risques et la réponse à une demande d’effacement se font à l’aveugle.
En une phrase
L’inventaire des données personnelles relie chaque catégorie de données aux systèmes, emplacements, copies et prestataires où elle est stockée et aux personnes qui peuvent y accéder ; l’ISO/IEC 27701 ne le nomme pas comme tel, mais c’est la base pratique pour délimiter le périmètre (4.3), apprécier les risques pour la vie privée (6.1.2) et retrouver les données d’une personne lorsqu’elle exerce un droit.
- Où la norme l’exige
- ISO 27701 · Chapitre 4.3 y 6.1.2 L’édition de 2025 est citée : les numéros 4 à 10 sont des chapitres ; A.1, A.2 et A.3 sont les tableaux de l’Annexe A regroupant les mesures du responsable du traitement, du sous-traitant et celles communes aux deux.
- Type d’information
- Bonne pratique Bonne pratique à l’appui des chapitres 4.3 et 6.1.2
- Qui le renseigne
- L’informatique, avec les responsables de chaque traitement L’informatique sait où sont les données ; les métiers savent à quoi elles servent
- Quand
- Lors de la délimitation du périmètre et à chaque changement de systèmes Il se revoit en même temps que l’appréciation des risques
- Durée de conservation
- Tant que le traitement existe C’est un document vivant : on le met à jour en conservant la version précédente, afin de pouvoir montrer ce qu’il était à chaque instant.
Ce que demande la norme
Ce qu’exige ISO 27701 et ce qui est laissé à votre appréciation
La norme demande de connaître les traitements et d’en apprécier les risques, mais n’exige pas d’inventaire des données sous ce nom. Ce que l’auditeur attend, en revanche, c’est que l’organisme sache où se trouvent les données personnelles qu’il traite : impossible de justifier un contrôle d’accès ou un délai d’effacement sans le savoir.
Beaucoup d’organismes l’intègrent à l’inventaire des actifs de l’ISO/IEC 27001 en y ajoutant une colonne données personnelles. C’est une solution valable si elle distingue les catégories de données, et pas seulement les systèmes.
Il est utile d’y inclure ce que l’on oublie : sauvegardes, exports vers des tableurs, boîtes partagées et environnements de test contenant des données réelles.
Structure
Les champs que doit comporter le modèle
- Catégorie de données personnelles
- Traitements du registre des activités qui l’utilisent
- Système, application ou support de stockage
- Emplacement physique ou région du prestataire
- Sauvegardes et répliques
- Profils disposant d’un accès
- Prestataire ou sous-traitant impliqué
- Délai d’effacement et méthode de suppression
- Propriétaire de l’actif
Exemple
Exemple : données des candidats dans un cabinet de conseil fictif
Entreprise, personnes et chiffres fictifs : l’exemple montre seulement à quoi ressemble un enregistrement correctement renseigné.
| Champ | Contenu |
|---|---|
| Catégorie | CV et coordonnées des candidats |
| Traitement | RAT-07 · Recrutement |
| Emplacement | Job board souscrit, boîte recrutement@ et dossier partagé RH |
| Copies | Sauvegarde quotidienne du dossier partagé, conservée 30 jours |
| Accès | Trois chargées de recrutement et la direction des RH |
| Sous-traitant | Fournisseur du job board, serveurs dans l’UE |
| Effacement | Un an après la fin du processus, sauf consentement pour de futures offres · Suppression dans le job board et le dossier ; la boîte est purgée chaque trimestre |
| Propriétaire | Direction des RH · Nubaria Conseil (fictif) |
À l’audit
Les erreurs que relèvent souvent les auditeurs
- L’inventaire liste des serveurs, mais pas les données personnelles que contient chacun.
- Les sauvegardes et les exports vers des tableurs sont oubliés.
- L’environnement de test utilise des données réelles et n’apparaît nulle part.
- Aucun lien entre l’inventaire et le registre des activités : deux listes qui ne concordent pas.
Dans Kimobox
Comment tenir cet enregistrement dans Kimobox
- 1Les catégories de données sont reliées à l’inventaire des actifs et au registre des activités.
- 2Chaque actif a un propriétaire et une classification, et sa revue est programmée.
- 3La localisation des données par personne concernée permet de répondre à une demande d’exercice des droits sans recherche manuelle.
Questions fréquentes
Ce que l’on nous demande avant de commencer
Est-il obligatoire ?
Pas en tant que document portant ce nom. C’est la façon pratique de remplir ce qui, lui, est obligatoire : délimiter le périmètre, apprécier les risques et retrouver les données pour répondre aux demandes d’exercice des droits et les effacer à temps.
Peut-il s’agir du même inventaire des actifs que pour l’ISO 27001 ?
Oui, à condition d’y ajouter la dimension vie privée : quelles catégories de données personnelles contient chaque actif et pour quels traitements.
Tenez les enregistrements ISO 27701 sans modèles éparpillés
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Contexte et périmètre du PIMS
Le système de protection de la vie privée commence par savoir quelles données personnelles sont traitées, en…
Modèle de registre des activités de traitement ISO 27701
Ce que doit contenir le registre des activités de traitement d’un PIMS ISO 27701 et de l’art. 30 du RGPD…
Modèle d’appréciation des risques pour la vie privée ISO 27701
Comment documenter l’appréciation des risques pour la vie privée de l’ISO 27701 : critères, risque pour les…
Modèle de déclaration d’applicabilité ISO 27701
Ce que doit contenir la déclaration d’applicabilité d’un PIMS ISO 27701 : mesures de l’Annexe A…
Sources
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- ISO/IEC 27701:2025 — Systèmes de management de la protection de la vie privée. Exigences et recommandations ISO/IEC · Deuxième édition, octobre 2025
- ISO/IEC 27001:2022 — Systèmes de management de la sécurité de l’information ISO/IEC · 25 octobre 2022
- Règlement (UE) 2016/679, règlement général sur la protection des données EUR-Lex · 27 avril 2016 ; applicable depuis le 25 mai 2018