Que requiert le contrôle A.1.2.2 ?
L’organisation doit identifier et documenter les finalités spécifiques pour lesquelles les données personnelles seront traitées.
Cette commande se trouve à l'intérieur de Conditions de collecte et de traitement objectif (A.1.2), qui vise à démontrer que le traitement est licite, avec une base légale selon les juridictions applicables et avec des finalités clairement définies et légitimes.
Que disent les directives de mise en œuvre ?
L’annexe B (section B.1.2.2) fournit les indications suivantes :
- L'organisation doit s'assurer que les personnes concernées par les données personnelles comprennent la finalité du traitement de leurs données.
- Il incombe à l'organisation de documenter clairement cela et de le communiquer aux personnes concernées.
- Sans un énoncé clair des objectifs, le consentement et le choix ne peuvent être donnés de manière adéquate.
- La documentation relative aux finalités doit être suffisamment claire et détaillée pour étayer les informations fournies aux personnes concernées par les renseignements personnels (voir A.1.3.3 Informations destinées aux personnes concernées par les données personnelles)
- La documentation relative à l'objectif doit inclure les informations nécessaires à l'obtention du consentement (voir A.1.2.4 Déterminer le consentement) et des informations documentées sur les politiques et procédures (voir A.1.2.9 Registres de traitement des données personnelles)
- Voir aussi A.1.2.5 : Obtenir et consigner le consentement pour les exigences connexes
- Voir aussi A.1.3.5 : Modifier ou retirer son consentement pour les exigences connexes
Le guide indique également que la taxonomie et les définitions de la norme ISO/IEC 19944-1 peuvent être utiles pour décrire les finalités du traitement dans le contexte du cloud computing.
Comment cela se traduit-il au regard du RGPD ?
La commande A.1.2.2 correspond à GDPR L’article 5(1)(b) (principe de limitation de la finalité) et l’article 32(4) (garantissant que les personnes agissant dans le cadre d’une procédure d’autorisation n’agissent que sur instructions). GDPR exige que les données personnelles soient collectées à des fins spécifiques, explicites et légitimes, et ne soient pas traitées ultérieurement d'une manière incompatible avec ces fins.
Quel est le lien avec les principes de confidentialité de la norme ISO 29100 ?
Ce contrôle prend en charge deux principes de confidentialité de la norme ISO 29100 :
- Consentement et choix — Une documentation claire des objectifs permet un consentement éclairé
- Légitimité et spécifications de l'objectif — Répond directement à l'exigence de finalités spécifiques et légitimes
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Quelles preuves les auditeurs attendent-ils ?
Lors de l'évaluation de la conformité à la norme A.1.2.2, les auditeurs recherchent généralement :
- registre des finalités du traitement — Une liste documentée de toutes les activités de traitement des données personnelles identifiables, avec leurs finalités déclarées
- Avis de confidentialité — Preuve que les finalités sont communiquées aux personnes concernées par le traitement des renseignements personnels dans un langage clair et accessible
- Registres des activités de traitement — Documents indiquant les finalités du traitement de chaque catégorie de renseignements personnels
- Gestion du changement — Preuve que les nouvelles finalités du traitement sont évaluées et documentées avant le début du traitement
- Conformité avec les dossiers de consentement — Que les finalités documentées dans les formulaires de consentement correspondent au traitement réellement effectué
Quelles sont les commandes associées ?
| Contrôle | Lien familial |
|---|---|
| A.1.2.3 Identifier le fondement juridique | Une fois les objectifs définis, il convient d'identifier la base légale de chacun. |
| A.1.2.4 Déterminer le consentement | Les procédures de consentement dépendent de finalités clairement documentées |
| A.1.2.9 Registres de traitement des données personnelles | La documentation relative à l'objet alimente les dossiers de traitement |
| A.1.3.3 Informations destinées aux personnes concernées par les données personnelles | Les objectifs doivent être communiqués aux personnes concernées par les renseignements personnels. |
| A.1.3.4 Fournir des informations | Des descriptions claires et accessibles des finalités dans les avis de confidentialité |
| A.1.4.3 Limiter le traitement | Le traitement doit se limiter à ce qui est nécessaire aux fins documentées |
Qu’est-ce qui a changé par rapport à la norme ISO 27701:2019 ?
Pour une approche étape par étape, voir le Transition de 2019 à 2025.
Dans l'édition 2019, cette exigence figurait à la clause 7.2.1 (identifier et documenter la finalité). Le contenu du contrôle reste sensiblement le même en 2025, mais il est désormais intégré à la clause 7.2.1. Tableau A.1 avec une séparation plus claire entre l'énoncé de contrôle (A.1.2.2) et les directives de mise en œuvre (B.1.2.2). Voir le Tableau de correspondance de l'annexe F pour la cartographie complète.
Pourquoi nous choisir ISMS.en ligne pour la gestion du traitement ?
ISMS.en ligne fournit des outils pratiques pour documenter et gérer les processus :
- Registre des activités de traitement — Documentez chaque activité de traitement en précisant sa finalité, les catégories de données personnelles identifiables et sa base juridique.
- Gestion des avis de confidentialité — Maintenir des avis de confidentialité versionnés et liés aux finalités du traitement
- Suivi des modifications — Consigner les ajouts, modifications et suppressions de finalités avec un historique complet.
- Références croisées — Associer les finalités aux enregistrements de consentement, aux analyses d'impact sur la vie privée et aux demandes des personnes concernées
- Preuve d'audit — Documentation relative à l'exportation à inclure dans votre dossier de preuves de conformité
Questions fréquentes
Quel niveau de détail doit contenir la documentation relative à l'objectif ?
Suffisamment claire et détaillée pour pouvoir être utilisée dans le cadre des informations fournies aux personnes concernées et comme base pour l'obtention de leur consentement. Des finalités vagues telles que « opérations commerciales » ou « amélioration des services » ont peu de chances de satisfaire à cette exigence. Chaque finalité doit décrire précisément le résultat du traitement.
Que se passe-t-il si les finalités changent après la collecte ?
Tout nouvel objectif doit être documenté et sa compatibilité avec l'objectif initial évaluée. En cas d'incompatibilité, un consentement supplémentaire ou une autre base légale est généralement requise. La modification doit être reflétée dans les notices d'information sur la protection des données et les registres de traitement mis à jour.
Cela s'applique-t-il également aux processeurs de données personnelles ?
A.1.2.2 est un contrôle du contrôleur PII. Les sous-traitants PII ont une obligation similaire mais différente en vertu de A.2.2.3 Objectifs de l'organisation (Finalités de l'organisation), ce qui les oblige à traiter les données personnelles uniquement aux fins documentées dans les instructions du client.
Documentez comment ce contrôle s'applique à votre organisation dans votre Déclaration d'applicabilité.
Découvrez nos offres de guide des exigences en matière de preuves d'audit pour ce que les auditeurs attendent lorsqu'ils évaluent ce contrôle.
