RGPD (GDPR) : les articles de sécurité d'une loi sur la vie privée

Le RGPD (GDPR) est une loi sur la vie privée. L'essentiel porte sur la question de savoir si vous pouvez traiter des données personnelles, sur la manière dont vous en informez les personnes et sur les droits dont elles disposent. Mais plusieurs articles imposent des obligations de sécurité, et c'est là que les équipes sécurité rencontrent le règlement. ControlMapping ne cartographie que ces articles : intégrité et confidentialité (article 5, paragraphe 1, point f), responsabilité (24), protection des données dès la conception (25), sous-traitants (28), registres des traitements (30), sécurité du traitement (32), notification des violations (33 et 34), analyses d'impact (35) et délégués à la protection des données (37 à 39).

Comment ISO 27001 les couvre

Sur les 13 articles liés à la sécurité GDPR, 12 (92%) correspondent à un élément de ISO 27001, 0 sont seulement faiblement liés et 1 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →

Presque tous les articles du RGPD liés à la sécurité correspondent à ISO 27001. Un SMSI vous fournit des mesures de sécurité fondées sur les risques (article 32), une gestion des incidents pouvant alimenter la notification des violations (articles 33 et 34), des contrôles fournisseurs pour les sous-traitants (article 28) et des responsabilités documentées. Le seul article sans correspondance ISO est l'article 38, relatif à la position du délégué à la protection des données, qui porte sur l'indépendance et les lignes de reporting qu'ISO 27001 ne traite pas.

Article par article

GDPR	Exigence	Correspondance	ISO 27001
Art.5(1)(e)	Principles relating to processing of personal data	Éditorial	A.5.14A.8.10A.8.11A.5.31
Art.24(1)	Responsibility of the controller	Éditorial	Clause 6.1.1Clause 6.1.3A.5.37Clause 5.2
Art.25(1)	Data protection by design and by default	Éditorial	A.8.25A.8.26A.8.28A.8.29
Art.28(1)	Processor	Éditorial	A.5.19A.5.20A.5.21A.5.22
Art.29	Processing under the authority of the controller or processor	Éditorial	A.6.1A.6.4A.8.16
Art.30(1)	Records of processing activities	Éditorial	A.5.9A.5.11A.7.14
Art.32(1)(a)	Security of processing	Éditorial	A.8.24A.5.16A.5.18A.5.29
Art.33(1)	Notification of a personal data breach to the supervisory authority	Éditorial	A.5.5A.5.24A.5.25A.5.26
Art.34(1)	Communication of a personal data breach to the data subject	Éditorial	A.5.5A.5.26A.6.8Clause 7.4
Art.35(1)	Data protection impact assessment	Éditorial	Clause 6.1.2Clause 6.1.3
Art.37(1)	Designation of the data protection officer	Éditorial	A.5.2A.5.4
Art.38	Position of the data protection officer	Aucune correspondance dans nos données	—
Art.39(1)	Tasks of the data protection officer	Éditorial	A.5.2A.5.4A.6.3Clause 7.3

Ce que le RGPD apporte en plus d'ISO 27001

Même au sein des articles sur la sécurité, le RGPD est par endroits plus précis :

• Délais de notification des violations. Notifier l'autorité de contrôle dans les 72 heures suivant la prise de connaissance d'une violation de données personnelles (article 33), et notifier les personnes concernées dans les meilleurs délais lorsque le risque pour elles est élevé (article 34). ISO exige une gestion des incidents, et non une notification réglementaire chronométrée.
• Pseudonymisation et chiffrement sont cités à l'article 32 comme mesures à envisager.
• Protection des données dès la conception et par défaut (article 25) touche à la façon dont les systèmes sont conçus et configurés, et pas seulement sécurisés.
• Analyses d'impact (article 35) pour les traitements à risque élevé : il s'agit d'une évaluation de la vie privée, plus large qu'une analyse de risques de sécurité ISO.

Dans l'autre sens

Sur les 123 Mesures de l'Annexe A et clauses du SMSI ISO 27001, 47 (38%) correspondent à un élément de GDPR, 47 sont seulement faiblement liés et 29 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →

En allant du RGPD vers ISO 27001, la majeure partie de l'Annexe A est en correspondance ou faiblement liée, mais les clauses du SMSI, la sécurité physique et quelques contrôles techniques n'ont pas d'équivalent dans le RGPD. Le RGPD n'exige ni système de management ni contrôles techniques prescrits ; il impose des mesures adaptées au risque et vous laisse le choix.

Comment exploiter le recoupement

1. Traitez l'article 32 comme une exigence de votre SMSI : inscrivez-le dans les exigences légales et contractuelles (ISO A.5.31) et renvoyez-y depuis l'analyse de risques.
2. Étendez le processus d'incident aux violations de données personnelles : une décision sur la notification, le délai de 72 heures, et des registres de chaque violation, notifiée ou non (article 33, paragraphe 5).
3. Appliquez des contrôles fournisseurs aux sous-traitants, avec les clauses de l'article 28 dans les contrats.
4. Allez au-delà de la sécurité pour la vie privée : ISO/IEC 27701 étend un SMSI au management de la vie privée.

Chaque lien RGPD de ce site relève de l'appréciation éditoriale de ControlMapping, car aucune correspondance officielle n'existe. La comparaison ISO 27001 et RGPD et la page du référentiel RGPD détaillent chaque correspondance avec sa justification, et l'analyse d'écarts les exporte.

Questions

Que prévoit l'article 32 du RGPD ?

Sécurité du traitement : mesures techniques et organisationnelles appropriées pour un niveau de sécurité adapté au risque, incluant, le cas échéant, la pseudonymisation et le chiffrement, la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et services de traitement, le rétablissement rapide de la disponibilité et de l'accès aux données en cas d'incident physique ou technique, et des tests, analyses et évaluations réguliers de l'efficacité des mesures.

ISO 27001 vous rend-il conforme au RGPD ?

Non. Il soutient les obligations de sécurité, en particulier l'article 32, mais le RGPD exige aussi une base légale, la transparence, les droits des personnes concernées et bien d'autres points qu'ISO 27001 ne couvre pas.