Que prévoit l'article 10 ?
L’article 10 boucle la boucle PDCA en exigeant de votre organisation qu’elle améliore continuellement son système de gestion des informations relatives à la protection de la vie privée (PIMS) et qu’elle traite efficacement les non-conformités lorsqu’elles surviennent. Il comporte deux sous-articles : l’un relatif à l’amélioration continue et l’autre au processus de gestion des non-conformités et des actions correctives.
Des mesures correctives peuvent nécessiter de réexaminer le Contrôles de l'Annexe A et la mise à jour de la déclaration d'applicabilité.
10.1 Amélioration continue
L’organisation doit améliorer en permanence la pertinence, l’adéquation et l’efficacité du PIMS.
L’amélioration continue est un principe fondamental de toutes les normes de systèmes de management ISO. Pour un système de management de la protection des données personnelles (SMPDP), cela signifie identifier et mettre en œuvre systématiquement les opportunités d’améliorer la protection de la vie privée. Les sources d’opportunités d’amélioration comprennent :
- Les résultats de surveillance et mesure (art. 9.1)
- Constatations de l’audit interne (Article 9.2)
- Décisions de revue de direction (Article 9.3)
- Évolutions des risques liés à la protection de la vie privée, de la réglementation ou des technologies
- Commentaires des responsables de PII, des clients et des autres parties intéressées
- Leçons tirées des incidents liés à la protection de la vie privée
- Meilleures pratiques et analyses comparatives du secteur
L'amélioration ne signifie pas toujours des changements majeurs. De petites améliorations progressives apportées aux processus, aux contrôles et à la documentation au fil du temps peuvent renforcer considérablement votre politique de confidentialité.
10.2 Non-conformité et mesures correctives
En cas de non-conformité, l'organisation doit :
- Réagir à la non-conformité — Prenez des mesures pour le maîtriser et le corriger, et assumez-en les conséquences.
- Évaluer la nécessité d'agir — Déterminer si des mesures sont nécessaires pour éliminer la cause afin d'éviter sa réapparition ou son survenance ailleurs, en examinant la non-conformité, en déterminant les causes et en vérifiant si des non-conformités similaires existent ou pourraient potentiellement survenir.
- Mettre en œuvre toutes les mesures nécessaires — Mettre en place des mesures correctives pour s'attaquer aux causes profondes
- Évaluation de l'efficacité — Vérifier que les mesures correctives prises ont été efficaces pour prévenir toute récidive.
- Apporter des modifications au PIMS — Si nécessaire, mettre à jour le système de gestion pour tenir compte des enseignements tirés
Les mesures correctives doivent être proportionnées aux conséquences des non-conformités constatées. Un manquement mineur aux procédures ne requiert pas le même niveau de réaction qu'une atteinte grave à la vie privée.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Exigences en matière d'information documentée
L'organisation doit conserver les informations documentées comme preuve de :
- La nature des non-conformités et les mesures prises par la suite.
- Les résultats de toute action corrective
Cela signifie tenir des registres clairs qui démontrent que vous disposez d'un processus systématique pour traiter les problèmes, non seulement pour résoudre le problème immédiat, mais aussi pour comprendre pourquoi il s'est produit et pour empêcher qu'il ne se reproduise.
Quel est le lien avec le RGPD ?
- Article 33 — Notification de la violation de données à caractère personnel à l'autorité de contrôle. Les incidents de confidentialité constituant des non-conformités peuvent également nécessiter une notification de violation.
- Article 34 — Communication d'une violation de données à caractère personnel à la personne concernée, pouvant constituer une mesure corrective découlant d'une enquête sur l'incident
- Article 5 (2) — Le principe de responsabilité, étayé par des preuves documentées de mesures correctives et d'amélioration
- Article 24 — Le contrôleur a la responsabilité de revoir et de mettre à jour les mesures au besoin, en accord avec une démarche d'amélioration continue.
Pour la cartographie complète, voir le guide de conformité au RGPD.
Qu’est-ce qui a changé par rapport à la norme ISO 27701:2019 ?
- exigences autonomes En 2019, l'article 5.8 a complété l'article 10 de la norme ISO 27001. Les exigences d'amélioration sont désormais complètes et indépendantes.
- Priorité à la protection de la vie privée — Le processus de non-conformité et d'actions correctives s'inscrit désormais explicitement dans le contexte du PIMS au lieu d'étendre un processus ISMS.
- Structure plus claire — Le processus d'action corrective en cinq étapes (réagir, évaluer, mettre en œuvre, examiner, modifier) est plus clairement articulé.
Pour un aperçu plus complet, voir Quoi de neuf dans la norme ISO 27701:2025 ?.
Voir le Tableau de correspondance de l'annexe F pour la cartographie complète.
Quelles preuves les auditeurs attendent-ils ?
- Registre des non-conformités — Un registre de toutes les non-conformités identifiées, quelle que soit leur source (audits, incidents, réclamations, surveillance).
- Analyse de la cause fondamentale — Preuves que les causes ont été étudiées, et pas seulement les symptômes.
- Dossiers d'actions correctives — Actions documentées entreprises, avec responsables désignés, échéances et preuves d'achèvement
- Évaluations de l'efficacité — Preuves que des mesures correctives ont été mises en œuvre pour vérifier leur efficacité.
- Modifications du PIMS — Enregistrement des modifications apportées au système de gestion à la suite des enseignements tirés
- Preuves d'amélioration — Des améliorations tangibles au fil du temps, telles que la baisse du taux d'incidents, des délais de réponse plus courts ou de meilleurs résultats d'audit
Les améliorations découlant des incidents se connectent à A.3.11 Gestion des incidents dans les commandes partagées.
clauses connexes
| Clause | Lien familial |
|---|---|
| Article 6 : Planification | Les mesures correctives peuvent entraîner des mises à jour de l'évaluation des risques ou du plan de traitement. |
| Article 8 : Fonctionnement | Les non-conformités opérationnelles constituent une source primordiale d'éléments déclencheurs d'actions correctives. |
| Article 9 : Évaluation des performances | Les conclusions des audits et les résultats des revues de direction permettent à la fois de mettre en œuvre des actions correctives et d'améliorer la situation. |
Voir aussi Article 4 (Contexte), Article 5 (direction) et Article 7 (Support).
Démarrez facilement avec une démonstration de produit personnelle
L'un de nos spécialistes de l'intégration vous guidera à travers notre plateforme pour vous aider à démarrer en toute confiance.
Pourquoi nous choisir ISMS.en ligne pour la conformité à la clause 10 ?
ISMS.en ligne fournit les outils nécessaires pour favoriser l'amélioration continue de votre PIMS :
- Gestion des non-conformités — Enregistrer, catégoriser et suivre les non-conformités de toute origine grâce à des modèles d'analyse des causes profondes.
- Flux de travail des actions correctives — Attribuer des tâches aux responsables avec des échéances, suivre les progrès et planifier des évaluations d'efficacité
- Analyse de tendance — Visualiser l'évolution des non-conformités et des incidents au fil du temps afin d'identifier les problèmes systémiques
- Registre d'amélioration — Recueillir et prioriser les opportunités d'amélioration provenant de toutes les sources grâce à un suivi de la mise en œuvre
- Intégration de l'audit — Associer automatiquement les conclusions d'audit aux actions correctives et assurer le suivi jusqu'à leur clôture et vérification
Questions fréquentes
Quelle est la différence entre une non-conformité et une observation ?
Une non-conformité est un manquement à une exigence de la norme, à une obligation légale ou aux exigences du système de management de la qualité de l'organisation (SMQ). Elle requiert des mesures correctives. Une observation (parfois appelée « piste d'amélioration ») est un constat qui ne constitue pas un manquement, mais qui met en évidence un domaine où le SMQ pourrait être renforcé. Les observations ne nécessitent pas de mesures correctives formelles, mais doivent être considérées comme des pistes d'amélioration.
Comment démontrez-vous votre amélioration continue aux auditeurs ?
L’audit repose sur des preuves objectives d’amélioration continue du système de gestion de la protection des données (PIMS). Cela peut se traduire par une baisse des taux de non-conformité, une amélioration des indicateurs de protection de la vie privée, des délais de réponse aux incidents plus courts, des processus de gestion des risques plus matures, des contrôles renforcés, des politiques mises à jour intégrant les enseignements tirés et la réalisation d’initiatives d’amélioration. Les auditeurs recherchent une approche systématique, et non la perfection.
Toute non-conformité doit-elle nécessairement donner lieu à une action corrective ?
Toute non-conformité doit faire l'objet d'une réaction (maîtrise et correction), mais la norme stipule que l'organisme doit « évaluer la nécessité » d'une action pour en éliminer la cause. En pratique, la plupart des non-conformités justifient une action corrective, mais il peut arriver qu'une correction immédiate soit suffisante et que la probabilité de récidive soit négligeable. L'évaluation doit être documentée dans tous les cas.
Apprenez des autres en consultant les erreurs de mise en œuvre les plus courantes et comment les éviter.
Régulier analyse des écarts Les exercices permettent d'identifier les axes d'amélioration et de maintenir le niveau de préparation à la certification.
