Que requiert le contrôle A.1.3.4 ?
L’organisation doit fournir aux personnes concernées des informations claires et facilement accessibles identifiant le responsable du traitement des données personnelles et décrivant le traitement de leurs données personnelles.
Cette commande se trouve à l'intérieur de Obligations envers les principaux responsables de l'assurance responsabilité civile professionnelle objectif (A.1.3). Où A.1.3.3 Informations destinées aux personnes concernées par les données personnelles détermine quelles informations fournir et quand, A.1.3.4 se concentre sur la diffusion : comment les informations sont présentées, formatées et rendues accessibles aux personnes qui en ont besoin.
Que disent les directives de mise en œuvre ?
L’annexe B (section B.1.3.4) fournit des orientations sur la qualité et la transmission des informations aux personnes concernées :
- Concis et transparent — L’information doit être exempte de jargon inutile et présentée de manière à être facile à comprendre.
- Intelligible — Rédigé pour le public visé, en tenant compte de facteurs tels que l'âge, la langue et l'alphabétisation
- Facile d'accès — Les personnes concernées par le traitement des données personnelles ne devraient pas avoir à effectuer de longues recherches pour trouver l'information. Celle-ci devrait être clairement visible et accessible sans obstacle.
- Un langage clair et simple — Évitez autant que possible le langage juridique ou technique. Si des termes techniques sont nécessaires, fournissez des explications.
- Avis superposés — Envisagez d'utiliser une approche par couches pour le traitement complexe, avec une couche de résumé concise renvoyant à des informations plus détaillées.
- Point de contact désigné — Désignez un contact spécifique pour les questions relatives à la protection de la vie privée, afin de faciliter la possibilité pour les personnes concernées de poser des questions ou d'exercer leurs droits.
- Voir aussi A.1.3.7 : Accès, rectification ou effacement pour les exigences connexes
- Voir aussi A.1.3.8 : Obligations d'informer les tiers pour les exigences connexes
Ces recommandations reconnaissent qu'un format unique peut ne pas convenir à tous les publics et encouragent les organisations à envisager plusieurs canaux et formats de diffusion.
Comment cela se traduit-il au regard du RGPD ?
La commande A.1.3.4 correspond à plusieurs GDPR dispositions relatives à la forme et à la qualité de la transparence :
- Article 12 (1) — Exigence de transparence : l’information doit être concise, transparente, intelligible et facilement accessible, rédigée dans un langage clair et simple.
- Article 12 (7) — Les informations peuvent être présentées avec des icônes standardisées pour en donner un aperçu clair.
- Article 11 (2) — Dispositions applicables lorsque le responsable du traitement ne peut pas identifier la personne concernée
- Article 13 (3) — Obligation d'informer des changements de finalité
- Article 21 (4) — Le droit d’objection doit être explicitement porté à l’attention et présenté clairement
GDPR L’article 12(1) constitue la disposition fondamentale en matière de transparence. Les autorités de réglementation ont infligé des amendes importantes pour des mentions d’information relatives à la protection des données qui ne satisfont pas aux critères de clarté et d’accessibilité, même lorsque les éléments d’information requis étaient techniquement présents.
Quel est le lien avec les principes de confidentialité de la norme ISO 29100 ?
Ce contrôle prend en charge deux principes de confidentialité de la norme ISO 29100 :
- Ouverture, transparence et notification — Répond directement à l'exigence d'une communication claire et accessible sur les pratiques de traitement
- participation et accès individuels — La mise à disposition d'un point de contact désigné permet aux individus de participer à la gestion de leur vie privée
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Quelles preuves les auditeurs attendent-ils ?
Lors de l'évaluation de la conformité à la norme A.1.3.4, les auditeurs recherchent généralement :
- Avis de confidentialité publiés — Avis réels mis à la disposition des personnes concernées par les renseignements personnels, évalués quant à leur clarté, leur accessibilité et leur exhaustivité
- Évaluation de la lisibilité — Preuve que les avis ont été revus pour leur clarté et leur formulation, en tenant compte du public cible.
- Structure de notification à plusieurs niveaux — Lorsque le traitement est complexe, preuve d'une approche de divulgation progressive ou par étapes
- Livraison multiformat — Informations relatives à la confidentialité disponibles sur les différents canaux (site web, application, magasin, téléphone)
- Coordonnées de contact désignées — Un point de contact pour la protection de la vie privée ou un délégué à la protection des données clairement indiqué.
- Tests ou retours d'utilisateurs — Toute preuve que les responsables du traitement des données personnelles peuvent effectivement trouver et comprendre les informations fournies
Quelles sont les commandes associées ?
| Contrôle | Lien familial |
|---|---|
| A.1.3.3 Détermination des informations relatives aux personnes physiques à risque | Détermine le contenu ; A.1.3.4 régit la manière dont il est présenté et diffusé |
| A.1.3.2 Obligations envers les mandants PII | Les obligations générales qui déterminent les exigences en matière de fourniture d'informations |
| A.1.3.5 Modifier ou retirer son consentement | Les mécanismes de retrait du consentement doivent être clairement communiqués dans le cadre des informations fournies. |
| A.1.3.6 S'opposer au traitement des données personnelles | Le droit d'opposition doit être présenté clairement et séparément des autres informations. |
| A.1.3.10 Traitement des demandes | Les coordonnées et les procédures de demande doivent faire partie des informations fournies. |
| A.1.2.4 Déterminer le consentement | Les points de collecte du consentement sont des moments clés de diffusion des informations relatives à la protection de la vie privée. |
Qu’est-ce qui a changé par rapport à la norme ISO 27701:2019 ?
Pour une approche étape par étape, voir le Transition de 2019 à 2025.
Dans l'édition 2019, cette exigence figurait à la clause 7.3.3 (Fourniture d'informations aux responsables de l'assurance responsabilité civile). L'édition 2025 conserve les mêmes principes, mais bénéficie d'une séparation plus claire entre A.1.3.3 Informations destinées aux personnes concernées par les données personnelles (quoi communiquer) et A.1.3.4 (comment le communiquer). L'accent mis sur la communication par niveaux et le langage clair demeure essentiel. Voir le Tableau de correspondance de l'annexe F pour la cartographie complète.
Démarrez facilement avec une démonstration de produit personnelle
L'un de nos spécialistes de l'intégration vous guidera à travers notre plateforme pour vous aider à démarrer en toute confiance.
Pourquoi nous choisir ISMS.en ligne pour la diffusion d'informations sur la confidentialité ?
ISMS.en ligne prend en charge l'intégralité du cycle de vie de la diffusion des informations relatives à la protection de la vie privée :
- Modèles d'avis de confidentialité — Commencez par des modèles structurés par des professionnels, conçus pour plus de clarté et d'exhaustivité, avec des instructions en langage clair pour chaque section.
- Support de notification multicouche — Créer des niveaux de notification récapitulatifs et détaillés liés entre eux, facilitant ainsi la communication des processus complexes
- Flux de travail d'approbation — Soumettre les projets d'avis à un processus de relecture juridique, de conformité et de marketing avant publication, afin d'en garantir la qualité et la cohérence.
- Notifications de modification — En cas de modification des activités de traitement, vous recevrez des notifications vous invitant à mettre à jour les mentions légales correspondantes avant leur entrée en vigueur.
- Gestion centralisée des contacts — Conservez vos coordonnées de contact désignées pour la protection de la vie privée en un seul endroit, accessibles dans tous les avis et formulaires de demande.
- La piste de vérification — Démontrer précisément aux auditeurs quelles informations ont été publiées, quand elles ont été mises à jour et qui a approuvé chaque version.
Questions fréquentes
Qu’est-ce qui rend une notice de confidentialité « facilement accessible » ?
L'accessibilité est essentielle : les personnes concernées ne doivent pas avoir à rechercher les informations personnelles identifiables (IPI). Sur un site web, cela se traduit généralement par un lien bien visible dans le pied de page ou l'en-tête de chaque page. Pour les applications mobiles, cela signifie que l'information doit être accessible directement depuis l'application, sans nécessiter de navigation externe. En cas de collecte hors ligne, cela signifie que des avis imprimés sont disponibles sur le lieu de collecte. Le critère est de savoir si une personne raisonnable pourrait trouver l'information sans difficulté.
Quand faut-il utiliser une approche de notification par couches ?
Les notices structurées sont particulièrement utiles lorsque le traitement est complexe, concerne plusieurs finalités ou catégories de données personnelles, ou lorsque l'espace est limité (par exemple sur les appareils mobiles ou aux points de collecte physiques). La version courte fournit en un coup d'œil les informations essentielles (qui vous êtes, quelles données sont collectées et pourquoi, vos principaux droits) avec un lien direct vers la notice complète. Cette approche concilie l'exigence d'exhaustivité et le fait que la plupart des gens ne liront pas un document trop long.
Peut-on utiliser des icônes ou des éléments visuels dans les mentions d'information sur la confidentialité ?
Oui, et le RGPD l'encourage expressément. L'article 12, paragraphe 7, autorise la présentation d'informations accompagnées d'icônes normalisées afin d'offrir une vue d'ensemble pertinente, claire et lisible. Les icônes permettent de transmettre rapidement les messages clés, mais elles doivent compléter le texte et non le remplacer. Les icônes utilisées doivent être cohérentes et facilement compréhensibles par le public cible.
Nos guide des exigences en matière de preuves d'audit détaille la documentation attendue par les auditeurs en matière de contrôle des droits des personnes concernées.
Les DPO chargés de ces obligations devraient consulter notre guide pour les DPO pour un aperçu complet.
