Que requiert le contrôle A.1.4.6 ?
L’organisation doit soit supprimer les données personnelles identifiables, soit les rendre sous une forme qui ne permet pas l’identification ou la réidentification des personnes concernées, dès que les données personnelles identifiables d’origine ne sont plus nécessaires aux fins identifiées.
Cette commande se trouve à l'intérieur de minimisation des informations personnelles identifiables L’objectif (A.1.4) représente l’obligation de fin de cycle de vie. Une fois que la finalité de la collecte et du traitement des données personnelles a été atteinte et qu’aucune obligation légale de conservation n’existe, les données ne doivent plus être conservées sous une forme identifiable. Ce contrôle fonctionne de concert avec A.1.4.8 (rétention) et A.1.4.9 (élimination) afin de garantir que les informations personnelles identifiables ne deviennent pas obsolètes.
Que disent les directives de mise en œuvre ?
L’annexe B (section B.1.4.6) fournit les indications suivantes :
- Définir les déclencheurs d'action — Identifier les événements qui devraient déclencher la dépersonnalisation ou la suppression des données, notamment : réalisation de l’objectif, retrait du consentement, expiration de la période de conservation ou demande d’accès aux données personnelles.
- Garantir une dé-identification robuste — Lorsque l’anonymisation est privilégiée à la suppression, les méthodes utilisées doivent être résistantes à la réidentification. La simple suppression des noms peut s’avérer insuffisante si d’autres données permettent une identification par combinaison.
- Documenter le processus — Les procédures de dépersonnalisation et de suppression doivent être documentées, y compris les méthodes utilisées, les déclencheurs appliqués et les étapes de vérification.
- Vérifier l'efficacité — Après dépersonnalisation ou suppression, l’organisation doit vérifier que l’action a été efficace et que les données personnelles ne peuvent être récupérées ni réidentifiées.
- Référence ISO/IEC 20889 — Les lignes directrices font spécifiquement référence à la norme ISO/IEC 20889 (Techniques de dépersonnalisation des données respectueuses de la vie privée) comme source de méthodes de dépersonnalisation
- Voir aussi A.1.4.3 : Traitement limité pour les exigences connexes
- Voir aussi A.1.4.4 : Exactitude et qualité pour les exigences connexes
Les deux options (suppression ou dépersonnalisation) offrent une certaine flexibilité aux organisations. Lorsque les données sous-jacentes présentent un intérêt analytique mais que l'identification des personnes n'est plus nécessaire, la dépersonnalisation permet de poursuivre leur utilisation. En l'absence de toute autre utilisation, la suppression est la solution la plus appropriée.
Comment cela se traduit-il au regard du RGPD ?
La commande A.1.4.6 correspond à plusieurs GDPR dispositions :
- Article 5 (1) (c) — Principe de minimisation des données
- Article 5, paragraphe 1, point e) — Limitation de la durée de conservation : les données ne doivent être conservées sous une forme identifiable que pendant la durée nécessaire.
- Article 6, paragraphe 4, point e) — Prend en compte l’existence de garanties appropriées, telles que le chiffrement ou la pseudonymisation, lors de l’évaluation de la compatibilité des traitements ultérieurs.
- Article 11 (1) — Lorsque les finalités ne nécessitent plus d'identification, le responsable du traitement n'est pas tenu de conserver des données d'identification.
- Article 32 (1) a) — Pseudonymisation et chiffrement comme mesures techniques appropriées
Pour la correspondance complète entre le RGPD et la norme ISO 27701, voir Guide de conformité au RGPD.
Quel est le lien avec les principes de confidentialité de la norme ISO 29100 ?
Cette commande prend en charge deux ISO 29100 des principes:
- Minimisation des données — La dépersonnalisation réduit les informations personnelles identifiables au minimum nécessaire
- Limitation de l'utilisation, de la conservation et de la divulgation — La suppression ou l'anonymisation à la fin du traitement permet de faire respecter directement les limites de conservation.
Commencer votre essai gratuit
Envie d'explorer ?
Inscrivez-vous pour votre essai gratuit dès aujourd'hui et découvrez toutes les fonctionnalités de conformité qu'ISMS.online a à offrir.
Quelles preuves les auditeurs attendent-ils ?
Lors de l'évaluation de la conformité à la norme A.1.4.6, les auditeurs recherchent généralement :
- Procédures de dé-identification et de suppression — Procédures documentées précisant les méthodes utilisées, les responsables et les modalités de vérification de l'efficacité
- Définitions des déclencheurs — Une documentation claire des événements qui déclenchent la dépersonnalisation ou la suppression pour chaque catégorie de données personnelles identifiables (DPI).
- Registres d'exécution — Journaux ou enregistrements indiquant que les activités de dépersonnalisation et de suppression ont été effectuées comme prévu
- Tests d'efficacité — Preuves que la dépersonnalisation a été testée pour sa résistance à la réidentification, en particulier pour les ensembles de données à haut risque.
- Documentation de méthode technique — Description des techniques spécifiques de dépersonnalisation utilisées (k-anonymat, confidentialité différentielle, tokenisation, etc.) et justification de leur sélection
- Gestion des exceptions — Documentation de tous les cas où des données personnelles ont été conservées au-delà de leur finalité initiale, avec justification (par exemple, obligation légale de conservation, obligation réglementaire de conservation).
Quelles sont les commandes associées ?
| Contrôle | Lien familial |
|---|---|
| A.1.4.5 Objectifs de minimisation des informations personnelles identifiables | La dé-identification est un mécanisme clé de la stratégie de minimisation |
| A.1.4.8 Rétention | Les périodes de conservation définissent le moment où la dépersonnalisation ou la suppression doit être déclenchée. |
| A.1.4.9 Élimination | Les procédures d'élimination complètent les procédures de suppression des supports physiques. |
| A.1.4.7 Fichiers temporaires | Les fichiers temporaires contenant des informations personnelles doivent également être supprimés. |
| A.1.4.2 Limite de collecte | Moins de collecte signifie moins de données nécessitant des soins de fin de vie |
| A.1.2.2 Identifier et documenter l'objectif | La documentation relative à l’objectif définit à quel moment les renseignements personnels sur les personnes « ne sont plus nécessaires ». |
Qu’est-ce qui a changé par rapport à la norme ISO 27701:2019 ?
Pour une approche étape par étape, voir le Transition de 2019 à 2025.
Dans l'édition 2019, la dépersonnalisation et la suppression étaient traitées à la clause 7.4.5 (Dépersonnalisation et suppression des données personnelles à la fin du traitement). Le contrôle de 2025 est substantiellement identique, avec les mêmes deux options (suppression ou dépersonnalisation). Les lignes directrices de mise en œuvre incluent désormais une référence plus explicite à la norme ISO/CEI 20889 pour les techniques de dépersonnalisation et insistent davantage sur la vérification de l'efficacité de la dépersonnalisation. Voir le Tableau de correspondance de l'annexe F pour la cartographie complète.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Pourquoi nous choisir ISMS.en ligne pour la gestion de la dépersonnalisation et de la suppression des données personnelles ?
ISMS.en ligne fournit les outils nécessaires à la gestion des obligations de fin de cycle de vie que les auditeurs examinent de près :
- Gestion des déclencheurs de rétention — Définir des déclencheurs pour la dépersonnalisation et la suppression des données en fonction des finalités du traitement, avec des alertes automatisées lorsque ces déclencheurs sont atteints.
- Registres d'élimination et de dépersonnalisation — Consignez chaque action de dépersonnalisation et de suppression en indiquant l'horodatage, les méthodes utilisées et les résultats de la vérification.
- Documentation technique — Documenter les méthodes d’anonymisation appliquées à chaque catégorie de données, en justifiant le choix de la technique.
- Suivi des exceptions — Consigner et justifier tout cas où des renseignements personnels sont conservés au-delà de leur finalité initiale, en veillant à ce que les obligations légales et les exigences réglementaires soient correctement documentées.
- Rapports de conformité — Générer des rapports de fin de cycle de vie démontrant que les obligations de dépersonnalisation et de suppression sont respectées pour toutes les catégories de données personnelles identifiables.
Questions fréquentes
Quand faut-il privilégier la dépersonnalisation à la suppression ?
L’anonymisation est appropriée lorsque les données sous-jacentes présentent un intérêt à des fins secondaires (telles que l’analyse statistique, la recherche ou l’établissement de rapports de tendances), mais que l’identification des personnes n’est plus nécessaire. La suppression est appropriée lorsqu’il n’existe plus d’utilité pour les données. Ce choix doit être documenté et la méthode d’anonymisation doit être suffisamment robuste pour empêcher toute réidentification, compte tenu notamment de la sensibilité des données.
Comment vérifie-t-on l'efficacité de l'anonymisation ?
La vérification consiste à tester si l'ensemble de données anonymisées peut être relié à des individus, soit directement, soit en le combinant à d'autres sources de données disponibles. Les techniques utilisées incluent les tests d'intrusion motivée, l'évaluation de l'anonymat k et l'examen de la possibilité d'une réidentification à l'aide de quasi-identifiants (tels que la date de naissance associée au code postal). La norme ISO/IEC 20889 fournit des recommandations détaillées sur les techniques d'anonymisation et leur évaluation.
Qu’advient-il des données personnelles identifiables (PII) dans les sauvegardes après la suppression des données originales ?
La présence de données personnelles identifiables (DPI) dans les sauvegardes demeure un problème. Les organisations doivent se doter d'une stratégie pour gérer ce risque, qui peut inclure : le chiffrement des sauvegardes afin d'empêcher l'accès aux données supprimées, même si elles persistent ; l'application de politiques de rétention aux cycles de sauvegarde pour que les anciennes sauvegardes soient écrasées ; ou l'acceptation et la documentation du risque résiduel lié aux DPI dans les sauvegardes, assorties de contrôles d'accès appropriés. L'approche choisie doit être documentée et justifiée.
Découvrez nos offres de guide des exigences en matière de preuves d'audit pour les éléments de preuve spécifiques que les auditeurs attendent en matière de contrôle de la qualité des données et de minimisation.
Consignez ce contrôle dans votre Déclaration d'applicabilité avec votre justification quant à son applicabilité.
