Mise en œuvre de l’ISO/IEC 27018:2019

L’ISO/IEC 27018:2019 est une norme internationale qui fournit des lignes directrices pour la protection des données à caractère personnel (DCP) dans les environnements de cloud public. Elle établit un ensemble de mesures répondant spécifiquement aux exigences de protection de la vie privée des fournisseurs de services cloud agissant en tant que sous-traitants de DCP.

Bien qu’elle ne soit pas imposée par la loi, la certification apporte une vérification indépendante des pratiques de protection de la vie privée dans le cloud et constitue de plus en plus un facteur de différenciation sur le marché. De nombreuses grandes entreprises exigent désormais de leurs fournisseurs de services cloud la certification ou la conformité ISO/IEC 27018:2019.

Si ces deux normes traitent de la protection de la vie privée, l’ISO/IEC 27018:2019 vise spécifiquement les fournisseurs de services cloud qui traitent des DCP, tandis que l’ISO/IEC 27701 définit un système de management de la protection de la vie privée plus large, applicable aux responsables de traitement comme aux sous-traitants, dans tous les environnements et pas uniquement dans le cloud.

Les principales exigences comprennent : la transparence du traitement des DCP, la divulgation des sous-traitants, des processus de notification des violations de données, des restrictions sur l’utilisation des DCP à des fins marketing, des protocoles de suppression des données, des restrictions géographiques sur le stockage des données et une documentation claire des responsabilités en matière de vie privée entre fournisseurs et clients.