ISO 27018 dans le secteur financier
ISO 27018 pour finance : prouver la protection des données personnelles dans le cloud
Banques, assurances, gestionnaires de fortune et fiduciaires demandent à leurs fournisseurs cloud de documenter le traitement des données personnelles. ISO 27018 fournit cette preuve. Chez Zertify, vous répondez à 32 questions en ligne et recevez le certificat dans les 4 heures suivant la réussite et le paiement.
01: Demande
Pourquoi les clients du secteur financier demandent ISO 27018
Un établissement financier qui confie des données de clients à un logiciel en ligne reste responsable de ces données. Il exige donc des garanties de son fournisseur. Dans le questionnaire fournisseur du service achats, une question revient : comment les données personnelles sont-elles utilisées, supprimées, restituées ?
ISO 27018 s'adresse aux fournisseurs qui agissent comme sous-traitants dans le cloud public. Elle décrit les mesures de protection attendues et aide à remplir les obligations du RGPD et de la LPD suisse. Le certificat remplace plusieurs pages de réponses rédigées à la main par un document que l'acheteur contrôle lui-même.
Le besoin se retrouve ailleurs : dans les appels d'offres, lors des revues de partenaires, pendant un audit client. Une fintech ou un éditeur de logiciel financier sans réponse structurée reprend le même travail à chaque demande.
02: Risques
Quels processus financiers la norme couvre-t-elle ?
Les données traitées dans la finance sont sensibles par nature : identité, revenus, avoirs, historique de paiement. Voici des cas typiques où un fournisseur cloud agit comme sous-traitant.
- Comptabilité et facturation en ligne
- Le logiciel héberge les écritures, les salaires et les coordonnées bancaires des clients d'une fiduciaire. Le risque : des données conservées après la fin du mandat. ISO 27018 prévoit la suppression et la restitution.
- Plateforme de paiement
- Les transactions contiennent des noms, des IBAN et des montants. Le risque : un sous-traitant ultérieur, par exemple un hébergeur, qui traite ces données sans que le client le sache. La norme impose de les intégrer au dispositif de protection.
- Gestion de patrimoine et CRM
- Un gestionnaire de fortune suit la situation financière de ses clients dans un outil en ligne. Le risque : un usage des données pour d'autres finalités que celles convenues. La limitation des finalités répond à ce point.
- Souscription et gestion des sinistres
- Un portail d'assurance collecte des pièces justificatives et des informations personnelles. Le risque : une fuite non signalée au client. La notification des violations de données est une exigence de la norme.
- Vérification d'identité et scoring de crédit
- Ces services traitent des documents d'identité et des données de solvabilité. Le risque : un traitement mal délimité. La norme demande de la transparence sur ce qui est traité et pourquoi.
03: Exigences
Comment une entreprise financière remplit les exigences clés
Les exigences de la norme se traduisent en gestes concrets dans l'exploitation quotidienne. Le tableau montre un exemple par exigence pour un fournisseur de logiciels destinés à la finance.
| Exigence | Exemple concret |
|---|---|
| Transparence du traitement | Le contrat de sous-traitance et la documentation décrivent quelles données du portefeuille client sont traitées et où. |
| Limitation des finalités | Les données de paiement ne servent qu'à exécuter les transactions, jamais à des analyses commerciales sans instruction du client. |
| Suppression et restitution | À la résiliation, le client reçoit l'export de ses données comptables, puis celles-ci sont effacées selon une procédure datée. |
| Sous-traitants ultérieurs | Une liste tenue à jour nomme l'hébergeur et le prestataire d'envoi d'e-mails, avec les engagements de protection qui les lient. |
| Analyses d'impact | Avant de lancer un module de scoring, l'équipe évalue les risques pour les personnes concernées et consigne le résultat. |
| Notification des violations | Un processus interne fixe qui informe le client financier, et dans quel délai, en cas d'accès non autorisé. |
Ces mesures s'inscrivent dans le cadre habituel d'un système de management : contexte (chapitre 4), pilotage par la direction (5), planification (6), moyens (7), exploitation (8), évaluation (9) et amélioration (10).
04: Avec Zertify
Obtenir le certificat ISO 27018 en ligne
Le prix est de 799 CHF la première année, puis de 529 CHF par an, re-audit en ligne annuel inclus. L'abonnement se renouvelle chaque année et se résilie à tout moment dans votre espace client, jusqu'à la fin de l'année en cours. Après résiliation, le certificat prend fin avec l'année payée. Les prix incluent la TVA suisse de 8,1 % pour la Suisse et le Liechtenstein.
Répondre à 32 questions
Les réponses sont oui ou non. Onze questions reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 21 autres, 14 oui au minimum sont requis.
Examen par SICE
SICE contrôle chaque évaluation avant l'émission du certificat.
Réception du certificat
G6 Agency AG émet le certificat sous licence de SICE, dans les 4 heures après la réussite et le paiement. Il est valable 3 ans.
Vérification publique
Un numéro et un QR code figurent sur le PDF. Votre client financier ouvre la page de vérification et confirme l'authenticité en quelques secondes.
05: Choix de la voie
ISO 27018, ISO 27001 et voie classique : que choisir ?
ISO 27018 complète ISO 27001. La seconde organise la sécurité de l'information, la première ajoute les mesures propres aux données personnelles dans le cloud. Beaucoup de fournisseurs financiers ont besoin des deux. Zertify accorde 20 % de remise pour deux normes et 30 % à partir de trois, également sur la cotisation annuelle.
La voie classique, avec audit sur site par un organisme de certification, convient si un contrat ou un appel d'offres l'exige expressément. Lisez d'abord les conditions de votre donneur d'ordre. Si le document demande seulement un certificat vérifiable, la voie en ligne répond au besoin à moindre effort.
06: FAQ
Questions fréquentes sur ISO 27018 pour la finance
07: Guide
Pages associées
Testez votre conformité ISO 27018
Répondez aux 32 questions et voyez immédiatement si votre entreprise remplit les critères.
Gratuit et sans inscription.