Que prévoit l'article 7 ?
L’article 7 garantit que votre système de gestion des informations relatives à la protection de la vie privée (PIMS) dispose de l’infrastructure de soutien nécessaire à son bon fonctionnement. Article 5 L'article 7 définit la direction au sommet, tandis que l'article 7 veille à ce que les bases pratiques soient en place : personnel, compétences, sensibilisation, canaux de communication et documentation.
Ressources 7.1
L’organisation doit déterminer et fournir les ressources nécessaires à la mise en place, à l’application, au maintien et à l’amélioration continue du PIMS. Ces ressources comprennent :
- Personnes — Personnel suffisant disposant du temps nécessaire consacré aux activités de gestion de la protection de la vie privée
- Budget — Ressources financières pour les outils, la formation, le conseil et la certification
- Technologie — Systèmes et outils de soutien aux opérations de protection de la vie privée, à la surveillance et au signalement
- Infrastructure — Environnements physiques et logiques nécessaires au traitement sécurisé des données personnelles
7.2 Compétence
L'organisation doit :
- Déterminer les compétences nécessaires des personnes effectuant des travaux sous son contrôle qui ont une incidence sur le respect de la vie privée
- S'assurer que ces personnes possèdent les compétences requises, fondées sur une formation, un enseignement ou une expérience appropriés.
- Le cas échéant, prendre des mesures pour acquérir les compétences nécessaires et évaluer l'efficacité de ces mesures.
- Conserver les informations documentées pertinentes comme preuve de compétence
Les exigences en matière de compétences devraient couvrir non seulement le personnel dédié à la protection de la vie privée, mais aussi toute personne dont le travail a une incidence sur le traitement des renseignements personnels, y compris les développeurs, les équipes du service à la clientèle, le personnel des ressources humaines et du marketing.
7.3 Prise de conscience
Les personnes travaillant sous le contrôle de l'organisation doivent être conscientes de ce qui suit :
- La politique de confidentialité
- Leur contribution à l'efficacité du PIMS, y compris les avantages d'une meilleure performance en matière de protection de la vie privée
- Les conséquences du non-respect des exigences du PIMS
La sensibilisation va au-delà de la formation formelle. Il s'agit de s'assurer que chacun comprenne l'importance de la protection de la vie privée, son rôle dans la protection des données personnelles et les conséquences d'un incident.
Démarrez facilement avec une démonstration de produit personnelle
L'un de nos spécialistes de l'intégration vous guidera à travers notre plateforme pour vous aider à démarrer en toute confiance.
Communication 7.4
L’organisation doit déterminer les besoins en matière de communication interne et externe relatifs au PIMS, notamment :
- Que communiquer
- Quand communiquer
- Avec qui communiquer
- Comment communiquer
Cela concerne les communications avec les personnes concernées par les données personnelles, les autorités de réglementation, les clients, le personnel et les autres parties intéressées. Une planification efficace de la communication garantit que les informations relatives à la protection de la vie privée parviennent aux bonnes personnes au bon moment.
7.5 Informations documentées
Général 7.5.1
Le système de gestion de l'information de l'organisation (PIMS) doit inclure les informations documentées requises par la norme et celles que l'organisation juge nécessaires à son efficacité. L'étendue de la documentation peut varier selon la taille de l'organisation, ses activités, ses processus et les compétences de son personnel.
7.5.2 Création et mise à jour
Lors de la création et de la mise à jour d'informations documentées, l'organisation doit veiller à ce que les éléments suivants soient appropriés :
- Identification et description (titre, date, auteur, numéro de référence)
- Format (langue, version du logiciel, graphismes) et support (papier, électronique)
- Examen et approbation de la pertinence et de l'adéquation
7.5.3 Contrôle des informations documentées
Les informations documentées requises par le PIMS doivent être contrôlées afin de garantir qu'elles sont :
- Disponible et utilisable, où et quand cela est nécessaire
- Protection adéquate (contre la perte de confidentialité, l'utilisation abusive ou la perte d'intégrité)
Les activités de contrôle comprennent la distribution, l'accès, la récupération, l'utilisation, le stockage, la conservation, le contrôle des modifications, la rétention et l'élimination. Ceci est particulièrement important pour la documentation relative à la protection des données personnelles, qui peut contenir des informations sensibles concernant les activités de traitement.
Quel est le lien avec le RGPD ?
- Article 39 (1) (b) — Les tâches du DPO comprennent le suivi de la sensibilisation et de la formation du personnel, conformément aux points 7.2 et 7.3.
- Article 30 — Les exigences relatives aux enregistrements des activités de traitement sont conformes aux contrôles d'information documentés dans la section 7.5.
- Article 5 (2) — Le principe de responsabilité exige la capacité de démontrer la conformité, étayée par une documentation exhaustive
- Article 32 (4) — S’assurer que les personnes agissant sous l’autorité de l’autorité possèdent les compétences et la conscience appropriées
Pour une cartographie complète du RGPD, consultez le guide de conformité au RGPD.
Qu’est-ce qui a changé par rapport à la norme ISO 27701:2019 ?
- exigences autonomes En 2019, la clause 5.5 a complété la clause 7 de la norme ISO 27001. Les exigences de support sont désormais complètes et autonomes.
- compétences spécifiques en matière de protection de la vie privée — Les exigences de compétences font désormais explicitement référence à la protection de la vie privée plutôt qu'à la sécurité de l'information.
- portée de la documentation plus claire — Les exigences en matière d'information documentée sont désormais spécifiquement limitées au PIMS plutôt que d'étendre un ISMS.
Pour un aperçu plus complet, voir Quoi de neuf dans la norme ISO 27701:2025 ?.
Voir le Tableau de correspondance de l'annexe F pour la cartographie complète.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Quelles preuves les auditeurs attendent-ils ?
- registres d'allocation des ressources — Approbations budgétaires, plans de dotation en personnel et décisions d'acquisition d'outils
- Dossiers de formation — Preuves de formation, de certifications et de perfectionnement professionnel continu liés à la protection de la vie privée
- Évaluations des compétences — Documents montrant comment les compétences ont été évaluées pour les rôles liés à la protection de la vie privée
- Programme de sensibilisation — Preuves d’activités de sensibilisation (formation initiale, formation de recyclage, campagnes de communication)
- Stratégie de communication — Un plan documenté couvrant les communications internes et externes relatives à la confidentialité
- Procédures de contrôle des documents — Preuve que les informations documentées sont correctement identifiées, approuvées, contrôlées et protégées
- Registre des documents — Une liste de toutes les informations documentées dans le PIMS, avec contrôle de version et dates de révision
Les exigences en matière de sensibilisation et de compétences sont liées à A.3.17 Sensibilisation et formation dans les contrôles de sécurité partagés.
Évitez les pièges courants en matière de documentation en consultant les erreurs de mise en œuvre les plus courantes.
clauses connexes
| Clause | Lien familial |
|---|---|
| Article 5 : Leadership | La haute direction doit s'assurer que les ressources sont disponibles (5.1) et que la politique est communiquée. |
| Article 6 : Planification | Les plans et objectifs de traitement des risques doivent être documentés conformément aux exigences de la section 7.5. |
| Article 8 : Fonctionnement | Les processus opérationnels reposent sur des procédures documentées et un personnel compétent. |
| Article 9 : Évaluation des performances | Les résultats des audits internes et des revues de direction doivent être conservés sous forme d'informations documentées. |
Voir aussi Article 4 (Contexte) pour le contexte et Article 10 (Amélioration) pour une amélioration continue.
Pourquoi nous choisir ISMS.en ligne pour la conformité à la clause 7 ?
ISMS.en ligne fournit des outils de support complets pour votre PIMS :
- Workflow — Gestion complète des versions, flux d'approbation, contrôles d'accès et pistes d'audit pour toute la documentation PIMS
- Suivi d'entraînement — Enregistrez les activités de formation, les certifications et les évaluations de compétences avec des rappels automatisés pour les formations de recyclage.
- Campagnes de sensibilisation — Créer, diffuser et suivre les supports de sensibilisation à la protection de la vie privée avec un suivi de leur réalisation
- Journal des communications — Consignez les communications internes et externes avec horodatage et liens vers les preuves.
- modèle bibliothèque — Modèles prédéfinis de politiques, procédures, enregistrements et formulaires conformes à la norme ISO 27701:2025
Questions fréquentes
De quelle formation à la protection de la vie privée le personnel a-t-il besoin ?
Les exigences en matière de formation varient selon le poste. Tous les employés doivent recevoir une formation générale de sensibilisation à la protection des données, couvrant la politique de confidentialité, leurs responsabilités et la procédure de signalement des incidents. Les employés occupant des fonctions spécifiques liées à la protection des données (DPO, analystes de la protection des données, intervenants en cas d'incident) nécessitent une formation technique et réglementaire plus approfondie. Les développeurs et le personnel informatique doivent être formés aux principes de protection des données dès la conception. La formation doit être documentée et régulièrement mise à jour.
Quel niveau de documentation un PIMS requiert-il ?
La norme exige des informations documentées spécifiques (politique de confidentialité, évaluations des risques, déclaration d'activité, résultats d'audit, conclusions de la revue de direction) ainsi que toute documentation supplémentaire que vous jugez nécessaire. L'étendue de ces documents varie selon la taille et la complexité de l'organisation. Privilégiez une documentation à valeur ajoutée qui contribue à une gestion efficace de la confidentialité, plutôt que de créer des documents uniquement à des fins de conformité.
La gestion électronique des documents peut-elle remplacer les documents papier ?
Oui. La norme ne prescrit aucun format ni support particulier pour les informations documentées. Les systèmes électroniques sont généralement privilégiés car ils offrent un meilleur contrôle des versions, une gestion des accès plus efficace, des fonctionnalités de recherche et des pistes d'audit. Quel que soit le système utilisé, il doit satisfaire aux exigences de contrôle de la section 7.5.3, notamment en matière de disponibilité, de protection, de contrôle d'accès et de gestion de la conservation.
Pour des indications précises sur les attentes des auditeurs, consultez notre exigences en matière de preuves d'audit guider.
Si vous avez besoin d'aide extérieure, consultez notre guide sur Comment choisir un consultant ISO 27701:2025.
