Protection des données dans le cloud
ISO 27018 obligatoire : ce que votre client peut exiger
Le certificat ISO 27018 est volontaire: la norme n'est pas une loi. Mais lorsqu'un client ou un appel d'offres le réclame, il devient obligatoire pour signer. Vous pouvez l'obtenir en ligne, dans les 4 heures après la réussite de l'auto-évaluation et le paiement.
01: Réponse courte
ISO 27018 est-elle obligatoire pour un fournisseur cloud ?
Une norme ISO est un référentiel publié par un organisme de normalisation. Elle n'a pas force de loi, et ISO 27018:2019 ne fait pas exception. Personne ne vérifie si vous la détenez, et aucune autorité ne vous demande un certificat pour exploiter un service cloud.
Les obligations légales viennent d'ailleurs. Si vous traitez des données personnelles pour le compte de clients, le RGPD et la LPD suisse s'appliquent, à vous ou à vos clients selon la situation. ISO 27018 décrit des mesures concrètes pour y répondre dans le cloud public: limitation des finalités, suppression et restitution, sous-traitants ultérieurs, notification des violations. Le certificat ne remplace pas la conformité. Il la documente.
02: Exigence de fait
Quand ISO 27018 devient exigée par le marché
Sans être imposée par la loi, la norme apparaît dans des situations très concrètes. Ce sont celles où vous perdez un contrat si vous n'avez rien à présenter.
- Questionnaire fournisseur
- Le service achats d'un client envoie une liste de questions sur la sécurité et la protection des données. Une ligne demande si vous détenez ISO 27018. Sans certificat, vous répondez par des explications, et le dossier prend du retard.
- Appel d'offres
- Certains cahiers des charges retiennent les certifications comme critère d'éligibilité ou de notation. Sans le certificat, votre offre peut être écartée avant d'être lue.
- Contrat de sous-traitance
- Votre client doit encadrer son sous-traitant. Il demande des preuves de vos mesures de protection, et un certificat est la pièce la plus simple à joindre au contrat.
- Audit client
- Un client qui audite ses fournisseurs critiques apprécie une preuve externe. Elle raccourcit la discussion sur les mesures de base.
- Attentes d'un secteur
- Dans la santé, les logiciels RH et de paie ou l'e-commerce, les acheteurs comparent plusieurs fournisseurs cloud. Celui qui présente un certificat vérifiable passe plus facilement le premier tri.
03: Demandes clients
Que demande le client, et que présenter ?
La demande prend plusieurs formes. Le tableau montre les cas courants et la pièce qui y répond.
| Situation | Ce que le client demande | Ce que vous présentez |
|---|---|---|
| Questionnaire fournisseur | Case « ISO 27018 : oui ou non » | Numéro du certificat et lien de vérification |
| Appel d'offres | Certificat joint à l'offre | PDF du certificat avec QR code |
| Contrat de sous-traitance | Preuve des mesures de protection des données personnelles | Certificat, complété par votre documentation interne |
| Audit client | Preuve que les mesures sont suivies dans le temps | Page de vérification publique et confirmation annuelle par re-audit en ligne |
04: Contenu
Ce que la norme attend de vous concrètement
Avant de répondre à un client, il faut savoir ce que le certificat affirme. ISO 27018 complète ISO 27001 par des mesures propres aux données personnelles traitées en tant que sous-traitant. Six exigences structurent le sujet.
Transparence du traitement
Vos clients savent où et comment leurs données personnelles sont traitées.
Limitation des finalités
Vous n'utilisez les données que pour la prestation convenue, pas pour vos propres fins.
Suppression et restitution
Un client peut récupérer ses données ou obtenir leur effacement.
Sous-traitants ultérieurs
Les prestataires auxquels vous faites appel respectent le même niveau de protection.
Analyses d'impact
Vous évaluez les risques pour la protection des données avant les traitements sensibles.
Notification des violations
Vous avertissez vos clients en cas de violation, selon une procédure définie.
05: Avec Zertify
Obtenir le certificat ISO 27018 quand un client le demande
Zertify fonctionne en ligne, sans audit sur site. Vous répondez à 32 questions par oui ou non. Onze d'entre elles sont des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 21 autres, au moins 14 réponses positives sont nécessaires pour réussir.
SICE contrôle chaque auto-évaluation avant l'émission. Le certificat est ensuite délivré par G6 Agency AG sous licence de SICE, dans les 4 heures après la réussite et le paiement. Chaque certificat porte un numéro et un QR code, et son authenticité se vérifie sur une page publique. Votre client peut le contrôler lui-même.
Le prix est de 799 CHF la première année, puis 529 CHF par an, re-audit en ligne inclus. Le certificat est valable 3 ans. L'abonnement est annuel et se résilie à tout moment dans votre compte, jusqu'à la fin de l'année en cours. Pour deux normes, vous bénéficiez de 20 % de remise, et de 30 % à partir de trois, y compris sur la cotisation annuelle. Aucun compte n'est nécessaire pour acheter.
06: Comparer
Voie classique ou certificat en ligne : que choisir ?
La voie classique passe par un audit sur site réalisé par un organisme de certification. Elle convient si votre client la prescrit expressément dans son contrat ou son cahier des charges. Lisez alors la demande avec attention: elle indique souvent la forme de preuve attendue.
Si le client demande simplement un certificat ISO 27018 vérifiable, le certificat Zertify répond à cette demande. Il repose sur une auto-évaluation en ligne, sans audit sur site, et il est confirmé chaque année par un court re-audit en ligne. En cas de doute, posez la question à l'acheteur avant de commander. Une phrase suffit: acceptez-vous un certificat délivré après auto-évaluation en ligne, vérifiable par QR code ?
07: FAQ
Questions fréquentes sur ISO 27018 obligatoire
08: Guide
Pages liées
Votre client attend une réponse sur ISO 27018 ?
Répondez aux 32 questions en ligne et sachez immédiatement si vous remplissez les conditions du certificat.
Gratuit et sans inscription.