Comment démontrer la conformité à l'article 24 du RGPD

Clause 27701 de la norme ISO 5.2.1 (Comprendre l'organisation et son contexte) et article 24 (3) du RGPD de l'UE

Avant de tenter d’aborder la protection de la vie privée et de mettre en œuvre des informations personnelles, les organisations doivent d’abord comprendre leurs obligations en tant que contrôleur et/ou sous-traitant unique ou conjoint des informations personnelles.

Ceci comprend :

• examiner les lois, réglementations ou « décisions judiciaires » en vigueur en matière de protection de la vie privée ;
• en tenant compte de l'ensemble unique d'exigences de l'organisation liées au type de produits et de services qu'elle vend, ainsi que des documents, politiques et procédures de gouvernance spécifiques à l'entreprise ;
• facteurs administratifs;
• accords avec des tiers ou contrats de service.

Clause 27701 de la norme ISO 6.15.1.3 (Protection des enregistrements) et article 24 (2) du RGPD de l'UE

La gestion des dossiers englobe quatre domaines clés :

1. Authenticité;
2. Fiabilité;
3. Intégrité;
4. Utilisabilité.

Les organisations devraient :

• publier des lignes directrices qui traitent de :
• stockage;
• manutention (chaîne de contrôle) ;
• élimination;
• empêcher les manipulations.
• indiquer combien de temps chaque type de dossier doit être conservé ;
• respecter toutes les lois qui traitent de la tenue des dossiers ;
• respecter les attentes des clients quant à la manière dont les organisations doivent gérer leurs dossiers ;
• détruire les enregistrements une fois qu'ils ne sont plus nécessaires ;
• classer les enregistrements en fonction de leur risque de sécurité, par exemple :
• comptabilité;
• transactions commerciales;
• dossiers du personnel ;
• légal
• s'assurer qu'ils sont en mesure de récupérer les dossiers dans un délai acceptable, si un tiers ou un organisme chargé de l'application de la loi leur demande de le faire ;
• respectez toujours les directives du fabricant lors du stockage ou de la manipulation d’enregistrements sur des sources multimédias électroniques.

Clause 27701 de la norme ISO 6.2.1.1 (Politiques de sécurité de l'information) et article 24 (2) du RGPD de l'UE

L'ISO préconise une approche double face de la protection de la vie privée au sein des organisations, qui comprend :

• une politique générale de protection de la vie privée ;
• politiques de protection de la vie privée spécifiques à un sujet.

Les deux types de politiques peuvent être soit combinés en un seul document, soit séparés selon le bon vouloir de l’organisation.

Les politiques doivent être diffusées à tous les membres du personnel concernés (et au personnel externe, le cas échéant), afin de garantir le respect continu des exigences internes et externes en matière de protection de la vie privée.

Il convient de demander à toute personne recevant une politique de confirmer, de préférence par écrit, qu'elle comprend ce qui lui est demandé et qu'elle est prête à s'y conformer.

Les politiques doivent être revues lorsque des modifications sont apportées à :

• stratégie d'entreprise;
• pratiques opérationnelles/environnements techniques ;
• toute loi (y compris le RGPD), toute stipulation réglementaire ou toute directive générale relative aux informations personnelles que l'organisation a la responsabilité de respecter ;
• les niveaux de risque en matière de protection de la vie privée et le paysage des menaces actuelles/prévues.

Politiques générales

La haute direction doit établir une politique de protection de la vie privée de haut niveau (ainsi que d'autres politiques spécifiques à un sujet) qui décrit clairement les processus et les mesures pratiques qui seront prises afin de protéger les informations personnelles.

Les politiques organisationnelles de protection de la vie privée doivent contenir des informations provenant de et rester pertinentes pour :

1. la stratégie commerciale globale ;
2. toute exigence réglementaire, légale ou contractuelle en vigueur ;
3. tout risque clair et actuel en matière de protection de la vie privée.

Les politiques de protection de la vie privée doivent définir les éléments suivants de l'organisation :

• définition opérationnelle de la protection de la vie privée ;
• les objectifs déclarés en matière de protection de la vie privée ;
• un ensemble plus large de principes directeurs relatifs à la protection des informations personnelles ;
• l'engagement à atteindre leurs objectifs liés aux informations personnelles et à les améliorer de manière continue ;
• approche consistant à déléguer la responsabilité de tout ou partie de la politique de protection de la vie privée aux types de rôles concernés ;
• approche pour traiter les exceptions à la politique ;
• il est prévu que la haute direction examine et approuve les changements.

Clause 27701 de la norme ISO 7.2.8 (Enregistrements relatifs au traitement des informations personnelles) et article 24 (1) du RGPD de l'UE

Les enregistrements (également appelés « listes d'inventaire ») doivent avoir un propriétaire délégué et peuvent inclure :

1. opérationnel – le type spécifique de traitement des informations personnelles en cours ;
2. justifications – pourquoi les informations personnelles sont en cours de traitement ;
3. catégorique – listes de destinataires de PII, y compris les organisations internationales ;
4. sécurité – un aperçu de la façon dont les informations personnelles sont protégées ;
5. confidentialité – c'est-à-dire un rapport d'évaluation des facteurs relatifs à la vie privée.

Index des articles liés au RGPD de l'UE et aux clauses ISO 27701

Comment ISMS.online vous aide

ISMS.online vous propose une solution complète RGPD.

Nous fournissons un environnement prédéfini pour vous permettre de décrire et de démontrer votre approche de la protection de vos données clients européennes et britanniques, qui s'intègre parfaitement dans votre système de gestion.

La plateforme ISMS.online dispose de conseils intégrés à chaque étape, combinés à notre approche de mise en œuvre « Adopter, Adapt, Add », de sorte que les efforts requis pour démontrer votre approche du RGPD sont considérablement réduits.

Vous avez 30 minutes ? Apprenez-en davantage en réserver une démo.