GDPR
De quoi il s'agit
Le règlement général sur la protection des données de l'UE (2016/679). Il s'agit d'un texte relatif à la vie privée, mais plusieurs articles imposent des obligations de sécurité : intégrité et confidentialité (art. 5, § 1, f)), protection des données dès la conception (art. 25), sous-traitants (art. 28), sécurité du traitement (art. 32), notification des violations (art. 33-34), analyses d'impact (art. 35) et délégués à la protection des données (art. 37-39). ControlMapping ne fait correspondre que ces articles.
À qui il s'adresse
Responsables de traitement et sous-traitants établis dans l'UE, ainsi que les organisations situées hors de l'UE qui proposent des biens ou des services à des personnes se trouvant dans l'UE, ou qui surveillent leur comportement.
Comment l'évaluation est réalisée
Aucune certification n'est requise ; les autorités de contrôle en assurent l'application, avec des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. La responsabilisation (accountability) implique de tenir des registres démontrant la conformité.
Décomptes : mappé au niveau du paragraphe, au sein de chaque article.
Le RGPD est une loi sur la vie privée : seuls ses articles liés à la sécurité sont mis en correspondance ici, et toutes les correspondances sont éditoriales.
Comparaisons
Exigences
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
| ID | Exigence | Sujets | Mis en correspondance dans |
|---|---|---|---|
| Requirements · 13 | |||
| Art.5 | Principles relating to processing of personal data | Protection des données, Conformité | 11 sur 13 |
| Art.24 | Responsibility of the controller | Gestion des risques, Politique de gouvernance | 10 sur 13 |
| Art.25 | Data protection by design and by default | Développement sécurisé, Contrôle d'accès | 8 sur 13 |
| Art.28 | Processor | Risque lié à la chaîne d'approvisionnement, Sécurité du cloud, Gestion des risques fournisseurs | 12 sur 13 |
| Art.29 | Processing under the authority of the controller or processor | Menace interne | 8 sur 13 |
| Art.30 | Records of processing activities | Gestion des actifs | 13 sur 13 |
| Art.32 | Security of processing | Chiffrement, Contrôle d'accès, Protection des données, Continuité des activités, Sauvegarde et restauration, Planification de la reprise, Reprise après sinistre, Gestion des vulnérabilités, Gestion des risques, Menace interne | 10 sur 13 |
| Art.33 | Notification of a personal data breach to the supervisory authority | Réponse aux incidents, Notification | 12 sur 13 |
| Art.34 | Communication of a personal data breach to the data subject | Notification, Communication et rétablissement, Chiffrement | 12 sur 13 |
| Art.35 | Data protection impact assessment | Évaluation des risques | 10 sur 13 |
| Art.37 | Designation of the data protection officer | Rôles et responsabilités | 9 sur 13 |
| Art.38 | Position of the data protection officer | — | aucun |
| Art.39 | Tasks of the data protection officer | Rôles et responsabilités, Sensibilisation et formation | 9 sur 13 |
Couverture du sujet
Thèmes avec des exigences GDPR mappées (23) :
Aucune correspondance dans nos données Aucune exigence GDPR (27) :