Quelles sont les étapes pour obtenir la certification ISO 27701 ?
Alors que la protection de la vie privée prend une place de plus en plus importante dans les appels d’offres, de nombreuses organisations souhaitent aller au-delà d’une gestion ponctuelle de la confidentialité. ISO 27701 offre une solution idéale sous la forme d’un système certifié de management de la protection de la vie privée.
Beaucoup d’organisations qui se lancent dans une démarche ISO 27701 sous-estiment ce que cela implique réellement. La norme en elle-même n’est pas complexe, mais obtenir la certification nécessite toujours de la structure, l’adhésion des bonnes personnes et un système qui fonctionne à la fois sur le papier et dans la pratique.
Dans cet article, nous vous guidons étape par étape à travers un processus possible de mise en œuvre : de la définition initiale du périmètre à l’audit de certification, en passant par les erreurs les plus fréquentes que nous voyons chez les organisations. Bien entendu, il existe d’autres façons d’aborder ce processus, et la bonne approche dépend en grande partie du périmètre, des priorités et du type d’organisation.
Ce que vous apprendrez dans cet article :
- Les étapes possibles d’un processus ISO 27701
- Les points sur lesquels les choses se compliquent le plus souvent en pratique
- Comment garder le processus maîtrisable
Étape 1 : Commencez par définir votre périmètre.
ISO 27701 suit la même logique que les autres normes ISO : tout commence par la définition du périmètre. Avant même de rédiger le moindre document, vous devez savoir quelle partie de l’organisation sera couverte par la certification. Certifier l’ensemble de l’organisation est tout à fait possible, et parfois souhaitable, mais ce n’est pas toujours le meilleur choix, surtout pour une première certification.
Un périmètre plus limité, par exemple un département, un service ou un produit, permet de garder le processus maîtrisable. Vous pourrez toujours l’élargir par la suite. En revanche, ce qu’il faut éviter, c’est de découvrir en cours de route que votre périmètre était trop large pour être géré de manière réaliste, puis essayer de le réduire.
Certifier un département RH de 50 employés est fondamentalement différent de la certification d’un groupe international entier comptant plusieurs unités opérationnelles. Un périmètre trop ambitieux est l’une des causes les plus fréquentes de retard dans les processus de certification.
Prenez donc le temps de bien cartographier le contexte de votre organisation : qui sont vos parties prenantes, quelles sont leurs attentes et quelle partie de l’organisation souhaitez-vous certifier ? Un périmètre solide constitue la base de tout ce qui suit.
Étape 2 : Cartographiez vos données.
Quelles données à caractère personnel traitez-vous ? Où sont-elles stockées ? Qui y a accès ? Êtes-vous responsable du traitement ou sous-traitant pour ces données ? Il s’agit souvent de la partie la plus chronophage de tout le processus, mais aussi de la plus sous-estimée.
Un registre solide des activités de traitement constitue ici une bonne base. Sans vision claire de vos données à caractère personnel, vous ne pouvez pas les gérer correctement, et encore moins les protéger.
Conseil : impliquez les bonnes personnes à ce stade. Les équipes RH, finance, juridique, marketing et IT savent chacune quelles données à caractère personnel circulent dans leur département. Leur contribution est essentielle pour obtenir une vue d’ensemble complète et précise.
Étape 3 : Prenez les durées de conservation au sérieux.
Les durées de conservation figurent parmi les points qui posent le plus souvent problème lors des audits de certification. Il n’est pas toujours simple de déterminer la durée de conservation appropriée pour chaque traitement de données à caractère personnel, ni de s’assurer qu’elle est effectivement respectée. Prenez donc le temps d’examiner cet aspect en profondeur.
Votre politique prévoit que les données sont supprimées après deux ans ? Assurez-vous de disposer de systèmes ou de processus permettant de vérifier que cette suppression est bien effectuée et que vous pouvez en apporter la preuve.
Dans de nombreuses organisations, les durées de conservation n’existent que sur le papier. Lors des audits, il apparaît alors que personne n’est en mesure de démontrer que les données sont effectivement supprimées ou archivées.
La meilleure approche consiste à automatiser ces opérations autant que possible. Mettez en place des mécanismes qui suppriment ou archivent automatiquement les données à l’issue de la durée prévue. Vous limitez ainsi les risques liés aux interventions humaines tout en disposant d’une piste d’audit démontrant que les règles sont bien appliquées.
Étape 4 : N’oubliez pas vos sous-traitants.
Travaillez-vous avec des prestataires externes qui traitent des données à caractère personnel pour votre compte ? En tant que responsable du traitement, vous restez responsable de la manière dont ces données sont traitées. Il ne s’agit pas seulement d’une obligation imposée par le RGPD, mais également d’un point d’attention essentiel dans le cadre d’ISO 27701.
Identifiez tous vos sous-traitants et soyez en mesure de démontrer qu’ils respectent vos exigences en matière de protection des données. Cela implique non seulement de disposer d’un accord de sous-traitance signé, mais aussi de mettre en place un processus permettant d’en assurer le suivi de manière active.
Commencez par établir un registre de vos sous-traitants. À l’image de votre registre des activités de traitement, ce document doit être revu et mis à jour de façon régulière.
Concrètement, vous pouvez organiser des points de suivi périodiques avec vos sous-traitants ou leur adresser chaque année un questionnaire afin de vérifier la manière dont ils traitent vos données. Pensez également à contrôler le respect des autres obligations contractuelles, au-delà du simple accord de sous-traitance. Vérifiez notamment que les certifications requises sont obtenues et maintenues, ainsi que le respect des engagements convenus.
Étape 5 : Documentez votre gestion des risques.
Votre démarche de gestion des risques doit permettre de répondre à trois questions essentielles :
- Que peut-il arriver aux données à caractère personnel que vous traitez ?
- Quelle est la probabilité que ce risque se concrétise ?
- Quel serait son impact et quelles mesures mettez-vous en place pour le réduire ?
Cette analyse doit être rigoureuse et correctement documentée. Un auditeur ne cherchera pas uniquement à savoir quels risques vous avez identifiés, mais également pourquoi vous les avez évalués de cette manière et sur quelles bases vous avez pris vos décisions.
Une question fréquemment posée lors d’un audit est la suivante : « Montrez-moi un traitement figurant dans votre registre et expliquez-moi comment il est géré en pratique. »
Dans ce domaine, la régularité et la continuité sont plus importantes que la perfection. Un registre des risques tenu à jour et régulièrement révisé aura bien plus de valeur qu’une analyse irréprochable réalisée une seule fois par an.
Étape 6 : Définissez vos mesures et formalisez vos politiques.
Sur la base de votre analyse des risques, déterminez les mesures nécessaires pour réduire les risques identifiés. Formalisez ensuite ces mesures dans vos politiques et procédures. Cette démarche sera familière à toute organisation déjà engagée dans la conformité au RGPD.
La différence essentielle avec ISO 27701 est que vous devez être en mesure de démontrer que ces mesures sont effectivement appliquées. Des documents ne suffisent donc pas. Il est indispensable de développer une véritable culture de la protection des données, intégrée à tous les projets impliquant des données à caractère personnel.
Une bonne pratique consiste à désigner des privacy champions au sein de chaque département. Il s’agit de collaborateurs qui ne sont pas directement responsables de la protection des données, mais qui relaient les bonnes pratiques et sensibilisent leurs collègues à l’importance de ces enjeux.
Une stratégie de communication efficace est essentielle pour assurer le succès de cette démarche. Si la communication n’est pas votre domaine d’expertise, n’hésitez pas à travailler avec les équipes de votre organisation qui disposent des compétences nécessaires afin de construire un plan de communication adapté.
Étape 7 : Planifiez, mettez en œuvre, contrôlez et améliorez (cycle PDCA).
ISO 27701 repose sur le cycle Plan-Do-Check-Act (PDCA). Une fois vos mesures (controls) mises en place, vient l’étape du suivi et de l’évaluation. Les actions prévues sont-elles réellement mises en œuvre ? Les objectifs sont-ils atteints ? Que peut-on encore améliorer ?
Concrétisez cette démarche en organisant des réunions de suivi régulières, en définissant clairement les responsabilités et en désignant une personne chargée de coordonner l’ensemble du processus. Réunion mensuelle avec un ordre du jour fixe, système de tickets pour les demandes liées à la protection des données, calendrier des échéances… Peu importe l’outil utilisé, l’essentiel est de l’appliquer de manière cohérente et constante.
Cette phase se termine par un audit interne et une revue de direction formelle. Ces deux étapes constituent le lien avec l’audit de certification externe.
L’audit interne peut être réalisé en interne, mais ISO exige qu’il soit mené de manière indépendante par une personne disposant d’une connaissance suffisante de la norme. Les collaborateurs ayant participé à la mise en œuvre d’ISO 27701 ne peuvent donc pas réaliser cet audit, ce qui explique pourquoi de nombreuses organisations font appel à un tiers.
Faire intervenir un organisme externe présente également un autre avantage : il apporte un regard neuf sur l’ensemble du Privacy Information Management System (PIMS) et sur sa mise en œuvre. Même lorsque le système est conforme à la norme, cet audit débouche souvent sur des recommandations d’amélioration pertinentes. En outre, ce prestataire peut présenter les résultats de l’audit lors de la revue de direction, étape obligatoire de la norme, et accompagner l’organisation dans le traitement des autres points qui doivent y être abordés.
Étape 8 : Préparez-vous à l’audit de certification.
Si vous avez suivi et documenté l’ensemble des étapes précédentes, vous êtes prêt à faire appel à un organisme de certification accrédité. Celui-ci réalisera un audit indépendant afin de vérifier que votre PIMS répond aux exigences d’ISO 27701.
Les erreurs les plus fréquentes
Mener un projet ISO 27701 à bien demande bien plus qu’une simple expertise technique. Voici les principaux écueils que nous observons sur le terrain.
Sous-estimer le périmètre. Les organisations qui démarrent sans réelle préparation réalisent souvent trop tard que le projet est plus conséquent qu’elles ne l’avaient imaginé. Une bonne évaluation initiale, éventuellement complétée par une analyse d’écart (gap analysis), permet de gagner un temps précieux et d’éviter bien des frustrations. Définissez votre périmètre avec le plus de précision possible : il constitue le fondement de tout votre PIMS.
Considérer la protection des données comme une simple case à cocher. La norme exige la preuve d’un système vivant et opérationnel, pas une accumulation de modèles de documents complétés. Les organisations qui abordent ISO 27701 comme un exercice purement administratif rencontrent souvent des difficultés lors de l’audit. Appliquez réellement le principe Plan-Do-Check-Act afin d’améliorer continuellement vos processus.
Négliger la gestion de projet. Un projet ISO 27701 a besoin d’un pilote chargé de suivre les actions, de respecter les échéances et de mobiliser les bonnes personnes au bon moment. Les connaissances techniques sont indispensables, mais sans une coordination efficace, le projet risque rapidement de s’essouffler. Ces deux rôles ne doivent pas nécessairement être assurés par la même personne, mais ils doivent être clairement définis et fonctionner en étroite collaboration.
Sous-estimer l’importance de la culture d’entreprise. Les projets les plus réussis ont tous un point commun : un management pleinement impliqué. Lorsque la direction agit comme un véritable sponsor du projet, plutôt que comme un simple observateur, elle contribue à diffuser une culture de la protection des données dans toute l’organisation. Une équipe qui perçoit que la protection des données est une priorité stratégique ne réagit pas de la même manière qu’une équipe qui la considère comme une contrainte imposée.
Tomber dans le piège du « paper tiger ». Nous rencontrons régulièrement des organisations qui disposent d’une politique de protection des données très complète et parfaitement documentée, mais dont les collaborateurs ne savent pas comment signaler un incident de confidentialité ou traiter une demande d’accès. Lors d’un audit, cet écart entre la documentation et la réalité opérationnelle apparaît très rapidement.
Prêt à vous lancer ?
Un projet ISO 27701 est accessible à toute organisation prête à s’y engager sérieusement. La réussite ne repose pas sur la perfection, mais sur une approche structurée, une amélioration continue et l’implication des bonnes personnes.
Vous souhaitez savoir où en est votre organisation aujourd’hui ? Réalisez notre auto-évaluation sur ISO 27701 et obtenez une première estimation de ce qu’un tel projet implique pour votre organisation.Vous pouvez également contacter CRANIUM pour un premier entretien sans engagement.
