Que requiert le contrôle A.3.4 ?
Les rôles et responsabilités en matière de sécurité de l'information liés au traitement des données personnelles doivent être définis et attribués en fonction des besoins de l'organisation.
Cette commande se trouve à l'intérieur de contrôles de sécurité partagés (Tableau A.3), s'appliquant à la fois aux contrôleurs et aux processeurs de données personnelles. Il s'appuie sur A.3.3 Politiques de sécurité de l'information en veillant à ce que les politiques qui y sont définies aient une propriété et une responsabilité clairement définies.
Que disent les directives de mise en œuvre ?
L’annexe B (section B.3.4) fournit des indications détaillées sur les rôles qui devraient être établis :
- Point de contact client — Désigner un interlocuteur privilégié pour les clients concernant le traitement des données personnelles.
- Point de contact principal PII — Désigner un point de contact pour que les personnes concernées par les données personnelles puissent exercer leurs droits et faire part de leurs préoccupations.
- propriétaire du programme de confidentialité — Désigner une ou plusieurs personnes responsables du programme de protection de la vie privée, telles qu'un délégué à la protection des données (DPO).
- La personne responsable devrait être indépendant, avec l'autorité nécessaire pour exercer leur rôle sans conflit d'intérêts
- La personne responsable aurait dû connaissance d'expert du droit et de la pratique en matière de protection des données
- La personne responsable doit agir en tant que contact pour les autorités de surveillance
- Voir aussi A.3.13 : Exigences légales et réglementaires pour les exigences connexes
- Voir aussi A.3.15 : Examen indépendant de la sécurité de l'information pour les exigences connexes
Ces directives sont en parfaite adéquation avec GDPR Ce document répond aux exigences du DPO, mais est rédigé en termes neutres sur le plan juridique, ce qui le rend applicable quelles que soient les lois sur la protection de la vie privée auxquelles l'organisation est soumise.
Comment cela se traduit-il au regard du RGPD ?
Le contrôle A.3.4 correspond (via la clause 5.3 de la norme ISO 27701) à GDPR Articles 37 à 39 (dispositions connexes, non formellement répertoriées à l’annexe D) :
- Article 37 — Désignation du délégué à la protection des données, y compris les circonstances dans lesquelles un DPO doit être nommé
- Article 38 — Position du DPO, notamment son indépendance, ses ressources et sa hiérarchie
- Article 39 — Les missions du DPO comprennent l'information, le conseil, le contrôle de la conformité et le rôle d'interlocuteur de l'autorité de surveillance.
Les organisations soumises au RGPD qui sont tenues de nommer un DPO constateront que le respect de l'A.3.4 répond en grande partie à leurs obligations en matière de DPO, à condition que la personne nommée réponde aux exigences spécifiques du RGPD en matière d'expertise et d'indépendance.
Quel est le lien avec les principes de confidentialité de la norme ISO 29100 ?
En tant que contrôle de sécurité partagé, A.3.4 soutient le cadre plus large ISO 29100 Un cadre clair, définissant les rôles et les responsabilités, est un mécanisme de gouvernance fondamental qui sous-tend le principe de responsabilité et garantit que quelqu'un est responsable de chaque aspect de la protection des données personnelles.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Quelles preuves les auditeurs attendent-ils ?
Lors de l'évaluation de la conformité à la norme A.3.4, les auditeurs recherchent généralement :
- Définitions des rôles — Descriptions documentées de tous les rôles liés à la protection de la vie privée, y compris le périmètre, les responsabilités et la hiérarchie.
- Dossiers de rendez-vous — Preuve que les rôles ont été officiellement attribués à des personnes nommément désignées (lettre de nomination du DPO, résolution du conseil d'administration, etc.).
- Preuves d'indépendance — Démonstration que le responsable du programme de protection de la vie privée n'a pas de conflit d'intérêts (par exemple, il ne détermine pas également les finalités du traitement des données personnelles).
- Dossiers de compétences — Preuve de l'expertise de la personne désignée en matière de protection des données (qualifications, attestations de formation, expérience)
- Documentation du point de contact — Les coordonnées des responsables et des clients des informations personnelles identifiables sont publiées et accessibles via les avis de confidentialité ou le site web de l'organisation.
Quelles sont les commandes associées ?
| Contrôle | Lien familial |
|---|---|
| A.3.3 Politiques de sécurité des informations | Les politiques définissent ce qui doit être fait ; les rôles définissent qui est responsable de le faire. |
| A.3.8 Gestion des identités | L'accès basé sur les rôles repose sur des rôles et des responsabilités clairement définis. |
| A.1.3.3 Informations destinées aux personnes concernées par les données personnelles Détermination des informations relatives aux personnes physiques à risque | Les coordonnées des personnes concernées par les informations personnelles doivent être communiquées dans le cadre des informations qui leur sont fournies. |
| A.1.2.9 Registres de traitement des données personnelles | Les registres de traitement doivent identifier les personnes responsables de chaque activité de traitement. |
| A.3.5 Classification de l'information | Les responsables de l'information (un rôle défini) sont chargés des décisions de classification. |
Qu’est-ce qui a changé par rapport à la norme ISO 27701:2019 ?
Pour une approche étape par étape, voir le Transition de 2019 à 2025.
Dans l'édition 2019, cette exigence était traitée à la clause 6.3.1.1. La version 2025 regroupe les orientations dans une structure plus claire (A.3.4/B.3.4) et met davantage l'accent sur le rôle équivalent à celui du DPO. Les exigences en matière d'indépendance, d'expertise et de contact avec l'autorité de surveillance sont désormais plus clairement mises en avant. Voir le Tableau de correspondance de l'annexe F pour la cartographie complète.
Démarrez facilement avec une démonstration de produit personnelle
L'un de nos spécialistes de l'intégration vous guidera à travers notre plateforme pour vous aider à démarrer en toute confiance.
Pourquoi nous choisir ISMS.en ligne pour définir les rôles et les responsabilités en matière de protection de la vie privée ?
ISMS.en ligne fournit la structure permettant de définir, d'attribuer et de suivre les responsabilités au sein de votre programme de protection de la vie privée :
- Cartographie de la structure organisationnelle — Définir les rôles de confidentialité avec des descriptions claires, une portée et une autorité adéquates, et les attribuer à des personnes nommément désignées au sein de la plateforme.
- Matrices RACI — Identifier les personnes responsables, redevables, consultées et informées pour chaque activité de contrôle et de traitement de la confidentialité
- Attribution et suivi des tâches — Attribuer des tâches spécifiques relatives à la protection de la vie privée aux titulaires de rôles et suivre leur réalisation par rapport aux échéances.
- Dossiers de compétences — Conserver les dossiers de formation et de qualification des titulaires de postes à responsabilité en matière de protection de la vie privée, en parallèle de leurs affectations de poste.
- Rapports prêts pour l'audit — Générer des rapports indiquant tous les rôles en matière de protection de la vie privée, leurs titulaires et les preuves de leur compétence et de leur indépendance.
- Séparation des tâches — Configurer les contrôles d'accès au sein de la plateforme afin de respecter les exigences d'indépendance du DPO/responsable du programme de protection des données
Questions fréquentes
La désignation d'un délégué à la protection des données est-elle obligatoire selon la norme ISO 27701 ?
La norme ISO 27701 exige la désignation d’une ou plusieurs personnes responsables du programme de protection des données, sans toutefois préciser l’intitulé du poste de délégué à la protection des données (DPO). Cependant, si le RGPD s’applique à votre organisation et que vous remplissez les critères de l’article 37 (autorité publique, surveillance à grande échelle ou traitement à grande échelle de données sensibles), la désignation d’un DPO est obligatoire. Le contrôle ISO 27701 vise à satisfaire aux exigences relatives au DPO lorsqu’elles existent, tout en offrant la flexibilité nécessaire aux juridictions n’imposant pas de DPO formel.
Que signifie l'indépendance en pratique ?
La personne responsable du programme de protection des données ne doit pas occuper une fonction où ses autres responsabilités créent un conflit d'intérêts avec ce rôle. Par exemple, un directeur technique qui détermine les finalités et les moyens du traitement des données ne serait pas considéré comme indépendant. Le responsable de la protection des données doit rendre compte à la direction générale, avoir accès aux ressources nécessaires et ne pas recevoir d'instructions concernant l'exercice de ses fonctions.
Une même personne peut-elle cumuler plusieurs rôles en matière de protection de la vie privée ?
Oui, à condition qu'il n'y ait pas de conflit d'intérêts et que la personne possède les capacités et les compétences requises pour assumer toutes les fonctions qui lui sont confiées. Dans les petites structures, il est fréquent qu'une même personne cumule les rôles de responsable du service client et de responsable principal du traitement des données personnelles. Toutefois, le rôle de responsable du programme de protection des données ne doit pas être cumulé avec les rôles qui déterminent les finalités et les moyens du traitement, car cela compromettrait l'indépendance.
Les DPO peuvent trouver un aperçu complet de leurs responsabilités en vertu de la norme ISO 27701 dans notre [lien/document/article]. guide pour les DPO.
Les RSSI chargés de concilier sécurité et confidentialité devraient lire notre article. Guide du RSSI relatif à la norme ISO 27701:2025.
