Que requiert le contrôle A.1.4.4 ?
L’organisation doit s’assurer et documenter que les données personnelles identifiables sont aussi exactes, complètes et à jour que nécessaire aux fins pour lesquelles elles sont traitées, tout au long du cycle de vie des données personnelles identifiables.
Cette commande se trouve à l'intérieur de minimisation des informations personnelles identifiables objectif (A.1.4) et aborde une dimension de la qualité des données qui va au-delà du volume. Même si vous ne collectez que le minimum d'informations personnelles nécessaires (A.1.4.2), que les données doivent rester pertinentes tout au long de leur cycle de vie. Des informations personnelles inexactes peuvent entraîner des décisions erronées, des refus de services ou des préjudices pour la personne, en particulier lorsque prise de décision automatisée (A.1.3.11) est impliqué.
Que disent les directives de mise en œuvre ?
L’annexe B (section B.1.4.4) fournit les indications suivantes :
- Vérifiez l'exactitude lors de la collecte — Mettre en œuvre des procédures permettant de vérifier l'exactitude des données personnelles au moment de leur collecte, telles que des règles de validation, des contrôles de vérification et des étapes de confirmation.
- Maintenir l'exactitude pendant le stockage — Mettre en place des processus pour maintenir à jour les informations personnelles identifiables (IPI) pendant leur stockage, notamment des contrôles réguliers de la qualité des données et des alertes de mise à jour.
- Permettre aux personnes concernées par les informations personnelles de mettre à jour leurs données — Fournir des mécanismes accessibles permettant aux individus de consulter et de corriger leurs propres renseignements personnels, en respectant les droits de rectification prévus par la loi A.1.3.7 Accès, rectification ou effacement
- Définir « suffisamment précis » — Déterminer le niveau de précision approprié à chaque finalité de traitement, en sachant que différentes finalités peuvent exiger différents niveaux de précision.
- Voir aussi A.1.4.3 : Traitement limité pour les exigences connexes
- Voir aussi A.1.4.5 : Objectifs de minimisation des informations personnelles identifiables pour les exigences connexes
L'idée clé est que la précision dépend de l'objectif. Une liste de diffusion marketing peut tolérer un faible pourcentage d'adresses obsolètes, mais un système de dossiers médicaux exige une précision quasi parfaite. L'organisation doit définir et documenter le seuil de précision pour chaque finalité de traitement.
Comment cela se traduit-il au regard du RGPD ?
La commande A.1.4.4 correspond à GDPR Article 5, paragraphe 1, point d), principe d’exactitude : les données à caractère personnel doivent être exactes et, si nécessaire, mises à jour. Toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel inexactes eu égard aux finalités pour lesquelles elles sont traitées soient effacées ou rectifiées sans délai.
Ce GDPR ce principe est directement mis en œuvre par les exigences A.1.4.4 relatives aux mécanismes de vérification, de maintenance et de correction.
Quel est le lien avec les principes de confidentialité de la norme ISO 29100 ?
Cette commande prend directement en charge le ISO 29100 principe de Précision et qualitéCe principe exige que les données personnelles traitées soient exactes, complètes, à jour, adéquates et pertinentes au regard de leur finalité. Il exige également que la fiabilité de ces données soit garantie tout au long de leur cycle de vie.
Commencer votre essai gratuit
Envie d'explorer ?
Inscrivez-vous pour votre essai gratuit dès aujourd'hui et découvrez toutes les fonctionnalités de conformité qu'ISMS.online a à offrir.
Quelles preuves les auditeurs attendent-ils ?
Lors de l'évaluation de la conformité à la norme A.1.4.4, les auditeurs recherchent généralement :
- politique de qualité des données — Une politique documentée définissant les exigences d'exactitude pour chaque catégorie de renseignements personnels, y compris les seuils d'exactitude acceptables par finalité
- Contrôles de validation — Des contrôles techniques aux points de collecte (validation du format, étapes de vérification, courriels de confirmation) contribuent à garantir l'exactitude dès le départ.
- enregistrements d'examen de la qualité des données — Preuve d'audits périodiques de la qualité des données, y compris les indicateurs utilisés, les résultats obtenus et les mesures correctives prises
- mécanismes de libre-service — Preuves que les personnes concernées par les informations personnelles peuvent accéder à leurs propres données et les corriger, telles que les pages de profil de compte, les formulaires de demande de mise à jour ou les portails clients.
- Journaux de rectification — Enregistrement des corrections apportées à l'exactitude des informations, qu'elles soient initiées par l'organisation ou par les responsables des données personnelles.
Quelles sont les commandes associées ?
| Contrôle | Lien familial |
|---|---|
| A.1.3.7 Accès, rectification ou effacement | Permet aux individus de vérifier et de corriger leurs propres informations personnelles |
| A.1.3.11 Prise de décision automatisée | L'exactitude des données saisies est essentielle pour des décisions automatisées équitables. |
| A.1.4.2 Limite de collecte | Moins de données à gérer signifie une maintenance de la précision facilitée |
| A.1.4.8 Rétention | Une durée de conservation plus courte réduit la période pendant laquelle les données peuvent devenir inexactes. |
| A.1.4.10 Commandes de transmission PII | L'intégrité des données lors de la transmission garantit l'exactitude |
| A.1.2.9 Enregistrements de traitement | Les enregistrements de traitement doivent refléter les exigences de précision pour chaque activité. |
Qu’est-ce qui a changé par rapport à la norme ISO 27701:2019 ?
Pour une approche étape par étape, voir le Transition de 2019 à 2025.
Dans l’édition 2019, l’exactitude et la qualité étaient traitées à la clause 7.4.3 (Exactitude et qualité des données personnelles). Le contrôle de 2025 conserve la même exigence fondamentale, mais met explicitement l’accent sur la documentation de l’exactitude tout au long du cycle de vie des données personnelles. Les lignes directrices de mise en œuvre (B.1.4.4) sont également plus structurées, avec une distinction plus claire entre les mesures d’exactitude au moment de la collecte et au moment du stockage. Voir le Tableau de correspondance de l'annexe F pour la cartographie complète.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Pourquoi nous choisir ISMS.en ligne pour gérer l'exactitude et la qualité des informations personnelles identifiables ?
ISMS.en ligne soutient vos obligations en matière de qualité des données grâce à des outils pratiques intégrés à votre système de gestion de la confidentialité :
- Cadre de qualité des données — Définir des seuils de précision pour chaque catégorie de données personnelles et chaque finalité de traitement, en créant une norme documentée que les auditeurs peuvent vérifier.
- Réviser la planification — Mettez en place des revues de qualité des données régulières avec des rappels automatisés, afin de garantir que les contrôles d'exactitude soient effectués dans les délais impartis.
- Suivi des rectifications — Consigner toutes les demandes de correction et les actions entreprises, en conservant la piste d'audit attendue par les auditeurs.
- Commandes liées — Relier les exigences de précision aux droits d'accès et de correction, aux mécanismes de protection de la prise de décision automatisée et aux calendriers de conservation dans un système unique
- Exportation de preuves — Générez des rapports sur la qualité des données et des journaux de rectification dans le cadre de votre dossier de preuves de certification.
Questions fréquentes
Que signifie concrètement l’expression « aussi précis que nécessaire » ?
La norme évite délibérément d'exiger la perfection. L'exactitude doit plutôt être proportionnée à la finalité. L'adresse postale d'un client utilisée pour des envois marketing peut tolérer de légères inexactitudes, tandis que les informations financières de ce même client, utilisées pour les décisions de crédit, requièrent une exactitude absolue. L'organisme doit définir ce que signifie « suffisamment précis » pour chaque finalité de traitement et mettre en œuvre des contrôles proportionnés à ce seuil.
Comment les organisations doivent-elles gérer les informations personnelles qu'elles soupçonnent d'être inexactes ?
En cas de suspicion d'inexactitude, l'organisation doit prendre les mesures raisonnables pour vérifier les données, soit en les comparant à une source fiable, soit en contactant la personne concernée. Pendant la vérification, les données doivent être signalées comme non vérifiées et, si possible, tout traitement dépendant de leur exactitude doit être suspendu. Si la personne concernée a demandé une rectification, celle-ci doit être traitée rapidement conformément aux procédures de correction en vigueur.
Ce contrôle nécessite-t-il une validation automatisée des données ?
La norme n'impose pas de mesures techniques spécifiques. Cependant, la validation automatisée (vérifications de format, de plage de valeurs et détection des doublons) est fortement recommandée comme moyen pratique de garantir l'exactitude à grande échelle. Le choix des contrôles doit être proportionné au volume et à la sensibilité des données personnelles et aux exigences d'exactitude liées à la finalité du traitement.
Découvrez nos offres de guide des exigences en matière de preuves d'audit pour les éléments de preuve spécifiques que les auditeurs attendent en matière de contrôle de la qualité des données et de minimisation.
