ISO 270187 min de lecture
ISO 27018 : protéger les données personnelles dans le cloud
Ce que l'ISO 27018 exige d'un fournisseur cloud qui traite des données personnelles, et comment le prouver à vos clients.
Par Zertify Redaktion
L'ISO 27018 est la norme qui définit comment un fournisseur de services cloud public doit protéger les données personnelles qu'il traite pour le compte de ses clients. Si vous hébergez, stockez ou traitez des données personnelles dans le cloud pour d'autres entreprises, elle décrit ce que vos clients attendent de vous, et ce que vous pouvez leur démontrer avec un certificat.
La version de référence est l'ISO 27018:2019. Elle ne s'adresse pas à tout le monde. Il faut d'abord savoir de quel côté du contrat vous vous trouvez.
Que couvre l'ISO 27018 ?
L'ISO 27018 est un code de bonnes pratiques. Elle complète les mesures de sécurité de l'ISO 27002 par des recommandations propres aux données personnelles, appelées « DCP » dans le texte de la norme. Elle ne remplace pas un système de management de la sécurité de l'information. Beaucoup de fournisseurs l'appliquent en complément de l'ISO 27001, parce que les deux se recoupent sur la gestion des accès, le chiffrement ou la journalisation.
La norme part d'une idée simple : le client du cloud reste responsable de ses données, le fournisseur les traite sur instruction. Tout ce qui suit découle de cette répartition des rôles. Le fournisseur ne décide pas seul de ce qu'il fait des données, et il doit pouvoir le prouver.
Qui est concerné ?
La norme vise les fournisseurs cloud qui agissent comme sous-traitants de données personnelles. Quelques exemples concrets :
- une application SaaS de gestion des clients, de la paie ou des rendez-vous ;
- un hébergeur ou un fournisseur de stockage en ligne ;
- une agence qui exploite pour ses clients un outil de newsletter, un CRM ou une plateforme de réservation ;
- une start-up qui propose une API traitant des données de ses clients professionnels.
Si vous utilisez seulement des services cloud pour vos propres données, vous êtes du côté du client. L'ISO 27018 vous sert alors de grille de lecture : elle vous aide à choisir un fournisseur et à lui poser les bonnes questions.
Les engagements concrets que la norme attend du fournisseur
Les recommandations de l'annexe A de la norme s'organisent autour de principes de protection de la vie privée. Voici ce qu'elles signifient au quotidien.
Traiter les données uniquement sur instruction du client
Le fournisseur n'utilise pas les données personnelles de ses clients pour son propre compte. Cela exclut en particulier la publicité et le marketing, sauf accord exprès du client, qui ne peut pas être imposé comme condition du service. Cette règle doit figurer dans le contrat.
Aider le client à respecter les droits des personnes
Une personne concernée demande l'accès à ses données, leur correction ou leur effacement. C'est le client qui reçoit la demande, mais c'est le fournisseur qui détient les données. La norme attend que le fournisseur offre les moyens techniques et organisationnels d'y répondre dans un délai raisonnable.
Être transparent sur les sous-traitants et les lieux de traitement
Le fournisseur informe ses clients des sous-traitants auxquels il fait appel et des pays dans lesquels les données peuvent être stockées. Pour une PME suisse, cette information pèse lourd : elle détermine si une communication de données à l'étranger est en jeu.
Gérer les demandes d'accès par des autorités
Si une autorité exige l'accès à des données personnelles, le fournisseur en informe le client, sauf interdiction légale. Il tient un registre de ces communications. Il ne transmet que ce qui est exigé.
Notifier les incidents
En cas de violation de données, le fournisseur avertit le client dans un délai défini par le contrat, avec les informations utiles pour que celui-ci remplisse ses propres obligations d'annonce. Un incident que personne ne signale ne peut être traité.
Restituer ou effacer les données à la fin du contrat
La norme demande une procédure claire pour rendre les données au client ou les détruire, y compris les fichiers temporaires et les copies de sauvegarde. Les données ne restent pas indéfiniment sur des serveurs après la résiliation.
Protéger les données techniquement
Le chiffrement des données transmises sur les réseaux publics, la limitation des accès au personnel qui en a besoin et un engagement de confidentialité signé par les collaborateurs font partie des attentes. Chaque personne ayant accès aux données doit avoir été formée à leur sensibilité.
ISO 27018, nLPD et RGPD : quel lien ?
La nouvelle loi suisse sur la protection des données (nLPD) et le RGPD européen imposent des obligations au responsable du traitement et au sous-traitant. Les deux textes exigent notamment un contrat de sous-traitance, des mesures de sécurité adéquates et une information sur les sous-traitants ultérieurs.
L'ISO 27018 n'est pas une loi. Elle ne vous dispense pas de conclure un contrat de sous-traitance, ni de respecter les règles sur la communication de données à l'étranger. Elle offre en revanche une manière structurée de montrer que votre organisation applique des pratiques reconnues. Dans un questionnaire fournisseur, la réponse « nous appliquons l'ISO 27018 » est plus utile qu'un paragraphe de bonnes intentions, surtout si elle est accompagnée d'un certificat que le client peut vérifier lui-même.
Ce que vos clients vous demandent déjà
Le sujet arrive rarement par la norme, mais par une question précise. Un service des achats vous envoie un questionnaire de sécurité. Un appel d'offres demande la preuve de mesures de protection pour les données personnelles hébergées. Un client audite ses prestataires cloud et veut savoir où se trouvent les données et qui y accède.
Dans ces situations, trois éléments font la différence : des réponses précises, des documents internes cohérents et une preuve externe qui évite d'ouvrir chaque fois la discussion depuis le début.
Checklist : où en êtes-vous ?
Cette liste permet de mesurer l'écart avant de commencer. Cochez ce qui est déjà en place et documenté.
Si vous cochez moins de la moitié, commencez par les contrats et la liste des sous-traitants. Ces deux points génèrent le plus de questions de la part des clients, et ils se règlent sans investissement technique.
Comment Zertify s'intègre dans cette démarche
Pour une PME, une agence ou une start-up, la voie classique avec un audit sur site par un organisme de certification demande du temps et un budget que beaucoup d'équipes n'ont pas à ce stade. Le certificat ISO 27018 de Zertify repose sur une autoévaluation en ligne, sans audit sur site. Si vous voulez comprendre ce que cela implique, notre guide sur la certification ISO sans audit détaille la démarche.
Vous répondez aux questions de l'évaluation, qui portent sur les pratiques décrites plus haut. Un membre du SICE Certification Board relit chaque évaluation avant l'émission. Le certificat est délivré par G6 Agency AG, sous licence de SICE (Swiss Institute of Certification and Education), dans les 4 heures qui suivent une évaluation réussie et le paiement.
Le document PDF porte un code QR qui renvoie vers une page de vérification publique. Votre client ou le service des achats peut ainsi contrôler lui-même l'authenticité du certificat, sans vous écrire. Il est valable trois ans et se confirme chaque année par un court réaudit en ligne, dans le cadre d'un abonnement annuel. Les conditions sont détaillées sur la page des tarifs.
Si votre entreprise est de taille modeste, le guide sur la certification ISO pour les PME montre comment une certification s'intègre dans une organisation sans service conformité dédié. Quand vous êtes prêt, vous pouvez démarrer l'évaluation.
Ce que le certificat ne remplace pas
Un certificat ne dispense pas de la documentation interne ni de l'application réelle des mesures. L'évaluation vous oblige à regarder honnêtement vos pratiques, et c'est son intérêt. Si une réponse révèle une lacune, vous la corrigez avant de recevoir le certificat.
Le contrat de sous-traitance, lui, reste nécessaire avec chaque client. Le certificat appuie vos réponses, il ne les remplace pas. Si votre client exige un type d'audit précis dans son cahier des charges, vérifiez ce point avant de commander.
Par où commencer cette semaine
Prenez la checklist ci-dessus et traitez-la avec la personne qui connaît à la fois vos contrats et votre infrastructure. Dans une petite structure, c'est souvent la même personne. Notez les écarts, fixez un responsable pour chacun et une date. Les points sur les sous-traitants et sur la procédure d'incident prennent généralement le plus de temps à formaliser, alors lancez-les en premier.
Une fois les pratiques en place, l'évaluation en ligne devient une formalité de preuve, pas un exercice de rattrapage.
Questions fréquentes
L'ISO 27018 est-elle obligatoire pour un fournisseur cloud ?
Non. Aucune loi n'impose l'ISO 27018. La nLPD et le RGPD fixent des obligations de protection des données, et la norme est un moyen reconnu de montrer que vous les appliquez. Ce sont souvent vos clients qui la demandent dans un questionnaire fournisseur ou un appel d'offres.
Quelle est la différence entre ISO 27018 et ISO 27001 ?
L'ISO 27001 définit un système de management de la sécurité de l'information pour toute organisation. L'ISO 27018 est un code de bonnes pratiques qui complète les mesures de sécurité par des règles spécifiques aux données personnelles traitées par un fournisseur cloud public. Les deux se combinent bien.
L'ISO 27018 remplace-t-elle un contrat de sous-traitance ?
Non. Le contrat de sous-traitance exigé par la nLPD et le RGPD reste nécessaire avec chaque client. La norme décrit les pratiques que vous appliquez, le contrat fixe les obligations entre vous et votre client.
Combien de temps faut-il pour obtenir un certificat ISO 27018 avec Zertify ?
Zertify émet le certificat dans les 4 heures qui suivent une évaluation réussie et le paiement. Le temps nécessaire pour remplir l'évaluation dépend de l'état de votre documentation et de vos pratiques.
Mes clients peuvent-ils vérifier le certificat ?
Oui. Le PDF porte un code QR qui mène à une page de vérification publique. Votre client ou son service des achats contrôle ainsi l'authenticité du certificat sans passer par vous.
