ISO 27018:2019
ISO 27018 exigences : ce que la norme demande à un fournisseur cloud
ISO 27018 fixe les règles de protection des données personnelles que vous traitez pour vos clients dans le cloud public. Six exigences structurent la norme : transparence, finalités, suppression et restitution, sous-traitants ultérieurs, analyses d'impact, notification des violations. Cette page les traduit en pratiques et en documents que vous pouvez vérifier chez vous.
01: Cadre
À qui s'appliquent les exigences d'ISO 27018 ?
La norme vise les fournisseurs cloud qui agissent comme sous-traitants : vous hébergez ou traitez des données personnelles, mais c'est votre client qui décide pourquoi et comment elles sont utilisées. C'est la situation d'un éditeur SaaS, d'une plateforme de e-commerce, d'un éditeur de logiciels RH ou de paie, ou d'un fournisseur cloud actif dans la santé.
ISO 27018 complète ISO 27001. Cette dernière protège l'information en général. ISO 27018 ajoute les mesures propres aux données personnelles : limitation des finalités, suppression, restitution, sous-traitants ultérieurs, notification des violations. Elle aide à remplir les obligations de sous-traitant prévues par le RGPD et la LPD suisse.
02: Six exigences
Les six exigences clés d'ISO 27018 en langage clair
Les clients qui envoient un questionnaire fournisseur posent presque toujours les mêmes questions. Elles correspondent aux exigences suivantes.
- Transparence du traitement
- Vos clients savent où leurs données sont traitées, par qui et selon quelles règles. Vos contrats et votre documentation de service le disent sans zone d'ombre.
- Limitation des finalités
- Vous utilisez les données uniquement selon les instructions du client. Un usage pour votre propre marketing ou pour entraîner vos produits n'est pas permis sans base claire.
- Suppression et restitution
- Le client peut récupérer ses données et obtenir leur effacement. Vous disposez d'une procédure qui s'applique aussi à la fin du contrat.
- Sous-traitants ultérieurs
- Si vous faites appel à un hébergeur ou à un prestataire de support, vous le déclarez et vous lui imposez les mêmes exigences de protection.
- Analyses d'impact
- Vous évaluez les risques que votre traitement fait peser sur les personnes concernées, et pas seulement sur votre système d'information.
- Notification des violations
- En cas d'incident touchant des données personnelles, le client est informé à temps pour remplir ses propres obligations de déclaration.
03: Clauses 4 à 10
Clauses 4 à 10 : ce que chacune attend de votre organisation
ISO 27018 s'inscrit dans le cadre de gestion commun aux normes ISO, la structure de haut niveau. Le tableau indique ce que chaque clause demande et ce que vous conservez comme preuve.
| Clause | Attente en pratique | Preuve habituelle |
|---|---|---|
| 4 Contexte | Définir le service cloud concerné et les parties qui ont des attentes : clients, autorités, sous-traitants. | Périmètre écrit, liste des parties intéressées |
| 5 Leadership | La direction s'engage et attribue les rôles liés aux données personnelles. | Politique de protection des données, organigramme des responsabilités |
| 6 Planification | Identifier les risques pour les données de vos clients et fixer des objectifs. | Analyse de risques, objectifs mesurables |
| 7 Support | Former le personnel, maintenir la documentation à jour. | Registre de formations, documents versionnés |
| 8 Fonctionnement | Appliquer les procédures de suppression, de restitution et de gestion des sous-traitants. | Procédures, journaux de suppression, contrats |
| 9 Évaluation | Contrôler que les mesures fonctionnent. | Rapport d'audit interne, compte rendu de revue de direction |
| 10 Amélioration | Traiter les incidents et corriger les écarts. | Registre des incidents, actions correctives |
04: Documents
Quels documents prouvent que vous respectez ISO 27018 ?
Une documentation courte et à jour vaut mieux qu'un classeur que personne n'ouvre. Voici les pièces que l'on vous demande le plus souvent lors d'un appel d'offres ou d'un audit client.
Contrat de sous-traitance
Il précise l'objet du traitement, les types de données, les instructions du client et les obligations de sécurité.
Liste des sous-traitants ultérieurs
Nom, rôle et lieu de traitement de chaque prestataire qui touche aux données de vos clients.
Procédure de suppression et de restitution
Les étapes, la personne responsable et la preuve qu'une suppression a bien eu lieu.
Procédure de gestion des violations
Qui détecte, qui évalue, qui prévient le client et comment l'événement est consigné.
Analyse d'impact
Une évaluation écrite des risques pour les personnes concernées, mise à jour quand le service change.
Si l'un de ces documents n'existe pas encore, l'autoévaluation vous le montre avant que votre client ne le fasse.
05: Avec Zertify
Comment Zertify vérifie ces exigences
L'autoévaluation en ligne compte 32 questions auxquelles vous répondez par oui ou non. Onze d'entre elles reprennent des exigences obligatoires de la norme : toutes doivent recevoir la réponse oui. Sur les 21 autres, il faut au moins 14 réponses oui pour réussir.
Le certificat est émis par G6 Agency AG sous licence de SICE, qui examine chaque évaluation avant l'émission. Vous le recevez dans les 4 heures suivant la réussite et le paiement. Chaque certificat se vérifie publiquement par son numéro et par le code QR du PDF, ce qui répond directement à la question d'un service achats.
Le prix est de 799 CHF la première année, puis de 529 CHF par an, ré-audit en ligne annuel inclus. Le certificat est valable 3 ans. L'abonnement se résilie à tout moment dans votre compte, pour la fin de l'année en cours. Aucun compte n'est nécessaire pour acheter.
06: FAQ
Questions fréquentes sur les exigences d'ISO 27018
07: Guide
Pages liées
Vérifiez où vous en êtes face à ISO 27018
Répondez à 32 questions et sachez en quelques minutes quelles exigences vous remplissez déjà.
Gratuit et sans inscription.