ISO 27018 et RGPD : le lien pour un fournisseur cloud

L'ISO 27018 n'est pas une certification de conformité au RGPD. C'est un code de bonnes pratiques pour les fournisseurs de cloud public qui traitent des données personnelles pour le compte de leurs clients, et il vous aide à démontrer les garanties que l'article 28 du RGPD attend d'un sous-traitant.

Si votre entreprise héberge, traite ou transmet des données de clients dans le cloud, la norme donne un cadre reconnu pour décrire ce que vous faites et ce que vous vous interdisez de faire. Elle ne remplace ni votre contrat de sous-traitance, ni l'analyse juridique de vos clients.

Ce que l'ISO 27018 demande

La norme, décrite sur la page officielle de l'ISO, s'adresse au fournisseur de services cloud qui agit comme sous-traitant des données personnelles. Elle part des mesures de sécurité de l'ISO 27002 et y ajoute des exigences propres à la protection des données personnelles dans un environnement partagé.

Concrètement, elle attend du fournisseur qu'il traite les données uniquement selon les instructions de son client. Il n'utilise pas ces données pour son propre marketing ou sa publicité sans accord explicite. Il indique où les données sont hébergées et quels sous-traitants ultérieurs y accèdent. Il sait répondre quand un client doit satisfaire une demande d'accès ou de suppression émanant d'une personne concernée. Il prévient son client lorsqu'une autorité exige la communication de données. Il restitue ou supprime les données à la fin du contrat. Il signale les violations de données dans un délai défini avec le client.

Ce sont des points que vos clients vérifient déjà, souvent sans citer la norme, dans leur questionnaire fournisseur.

Pour le détail de l'édition 2025 et de ses exigences, la page ISO 27018 sur Zertify en donne un aperçu.

Où l'ISO 27018 rejoint le RGPD

Le RGPD impose à un sous-traitant des obligations précises. La norme ne les reprend pas article par article, mais ses contrôles couvrent les mêmes sujets.

L'article 28 prévoit aussi que le sous-traitant doit offrir des garanties suffisantes. Une norme internationale appliquée de façon documentée est un élément concret pour justifier cette garantie face à un client ou à une autorité. Ce n'est pas le seul élément possible, mais c'est un élément lisible.

Ce que la norme ne fait pas

L'ISO 27018 ne dit pas que vous respectez le RGPD. Elle laisse de côté plusieurs sujets.

• La base légale du traitement et l'information des personnes concernées relèvent du responsable de traitement, donc de votre client.
• L'analyse d'impact et les décisions sur la finalité des données ne sont pas de votre ressort si vous êtes strictement sous-traitant.
• Les transferts de données hors de l'Espace économique européen suivent leurs propres règles. La norme demande de la transparence sur les lieux de traitement, elle ne vous dispense pas des garanties juridiques exigées pour un transfert.
• Le contrat de sous-traitance reste obligatoire. Aucune norme ne le remplace.

La norme n'est pas non plus un mécanisme de certification approuvé au sens de l'article 42 du RGPD. Une autorité de protection des données n'en tirera donc pas de présomption automatique de conformité. Présentez-la pour ce qu'elle est: la preuve d'un système de gestion structuré autour de la protection des données dans le cloud.

Responsable de traitement ou sous-traitant

La norme vise le rôle de sous-traitant. Avant de l'évoquer dans un devis, vérifiez votre position réelle.

Un éditeur de logiciel en ligne est sous-traitant pour les données que ses clients saisissent dans l'outil: fichiers de clients, listes d'employés, factures. Pour les données de son propre site, de sa newsletter ou de ses collaborateurs, il est responsable de traitement. L'ISO 27018 concerne le premier cas. Une agence qui héberge le site de ses clients et gère leurs formulaires de contact se trouve dans la même situation.

Si vous ne traitez des données que pour vos propres besoins, une autre norme, comme l'ISO 27001 pour la sécurité de l'information, répond mieux à votre situation.

Suisse et LPD révisée

La loi fédérale sur la protection des données révisée, en vigueur depuis le 1er septembre 2023, prévoit elle aussi que le traitement peut être confié à un sous-traitant sous conditions. Le responsable doit s'assurer que le sous-traitant garantit la sécurité des données. Pour une PME suisse qui travaille avec des clients de l'Union européenne, les deux régimes se superposent: le client allemand ou français exige des garanties RGPD, le client suisse attend l'équivalent au titre de la LPD. Un même dossier ISO 27018 sert de base pour répondre aux deux.

Quand un client demande l'ISO 27018

La demande arrive le plus souvent par l'un de ces canaux: un questionnaire fournisseur avec la question « disposez-vous de l'ISO 27018 ? », un appel d'offres qui exige une preuve de bonnes pratiques cloud, ou un audit client qui remonte à votre sous-traitance.

La voie classique passe par un audit sur site mené par un organisme de certification. Elle convient quand le client l'exige expressément. Pour une petite structure, elle demande du temps et un budget que beaucoup ne peuvent pas engager avant la clôture d'un appel d'offres. Une certification ISO sans audit sur site, fondée sur une auto-évaluation, offre une autre manière de répondre, à condition que le client accepte ce format. Pour les structures de taille modeste, notre guide sur la certification ISO pour les PME précise ce qu'il faut préparer et dans quel ordre.

Checklist avant de vous prévaloir de l'ISO 27018

• Vous avez identifié les services pour lesquels vous agissez comme sous-traitant de données personnelles.
• Vous disposez d'un contrat de sous-traitance ou d'un avenant qui reprend les points de l'article 28.
• La liste de vos sous-traitants ultérieurs et des lieux d'hébergement est à jour et communicable.
• Vous avez une règle écrite pour l'utilisation des données clients: pas de réutilisation à des fins propres sans accord.
• Votre procédure d'incident prévoit qui informe le client, dans quel délai et avec quelles informations.
• Vous savez restituer ou supprimer les données à la fin du contrat, y compris dans les sauvegardes.
• Vous traitez les demandes d'autorités selon une procédure connue de vos collaborateurs.
• Vos collaborateurs ayant accès aux données sont tenus à la confidentialité et formés.
• Vos mesures de sécurité (chiffrement, contrôle d'accès, journalisation) sont décrites par écrit.

Comment Zertify s'inscrit

Zertify délivre des certificats ISO fondés sur une auto-évaluation en ligne, sans audit sur site. Le certificat est émis par Zertify sous licence du SICE (Swiss Institute of Certification and Education). Un membre du Certification Board du SICE examine chaque évaluation avant l'émission.

Le parcours pour l'ISO 27018 est décrit sur la page de la norme. Vous répondez au questionnaire, vous justifiez vos pratiques, puis l'évaluation est examinée. Après une évaluation réussie et le paiement, le certificat est émis dans un délai de 4 heures. Il porte un QR code qui mène à une page de vérification publique: votre client ou le service achats contrôle l'authenticité sans vous écrire.

Le certificat est valable trois ans. Il est confirmé chaque année par un court réaudit en ligne, dans le cadre d'un abonnement annuel. Le détail figure sur la page des tarifs. Pour commencer, lancez l'évaluation. Vous pouvez la préparer avec la checklist ci-dessus.

Comment présenter le certificat à un client

Ajoutez le PDF et le lien de vérification à votre réponse au questionnaire fournisseur. Précisez les services concernés, par exemple votre application métier ou votre hébergement géré. Indiquez que le certificat atteste d'un système de gestion de la protection des données dans le cloud, et que votre contrat de sous-traitance traite le volet juridique du RGPD.

Ne laissez pas entendre que le certificat vaut conformité au RGPD. Un acheteur averti le sait, et une formulation exacte vous protège mieux qu'un raccourci. Si le client demande un audit sur site par un organisme de certification, dites-le clairement dès le départ et laissez-lui le choix de la voie.

Erreurs fréquentes

La plus courante consiste à citer la norme sans avoir défini son rôle. Un fournisseur qui se dit sous-traitant pour tout, y compris pour ses propres données de prospection, se contredit dès la première question.

La deuxième erreur touche aux sous-traitants ultérieurs. Votre hébergeur, votre outil d'envoi d'e-mails et votre service de sauvegarde en font partie dès qu'ils accèdent aux données de vos clients. Si la liste n'existe pas, la norme ne peut pas être appliquée.

La troisième concerne la fin de contrat. Beaucoup d'entreprises savent ouvrir un compte, peu savent le fermer proprement. Testez une suppression complète avant qu'un client ne la demande.