ISO 27018 : données personnelles dans le cloud

Ce qu'est la norme ISO 27018

ISO 27018 est un code de bonnes pratiques pour la protection des données à caractère personnel (PII) dans l'informatique en nuage public. Elle reprend les mesures générales des normes ISO 27001 et ISO 27002 et y ajoute un ensemble de mesures propres aux fournisseurs de services en nuage qui traitent des données personnelles pour le compte de leurs clients. Ces mesures couvrent le consentement, la transparence, le traitement des données et les droits des personnes dont les données sont conservées.

Il ne s'agit pas d'un système de management autonome. ISO 27018 s'applique à l'intérieur d'un SMSI conforme à ISO 27001 : le système de management fournit la structure et la rigueur du management du risque, et ISO 27018 apporte les mesures propres au nuage et à la vie privée qui viennent s'y intégrer.

Pourquoi la norme ISO 27018 existe

Lorsqu'une organisation transfère des données personnelles vers un nuage public, elle confie au fournisseur le contrôle quotidien de ces données, mais pas la responsabilité de leur protection. ISO 27018 existe pour donner aux deux parties une base commune et auditable sur la façon de traiter ces données : ce que le fournisseur peut ou ne peut pas en faire, comment elles sont restituées ou supprimées, et comment le fournisseur en apporte la preuve. Pour une organisation européenne, elle correspond étroitement aux attentes du RGPD envers les sous-traitants, ce qui explique pourquoi on la retrouve si souvent aux côtés d'un programme de protection des données.

Qui a besoin de la norme ISO 27018

Deux publics : les fournisseurs de services en nuage qui traitent des données personnelles et veulent prouver qu'ils le font de façon responsable, et les organisations qui achètent leurs services et doivent démontrer à leurs propres autorités de contrôle que leur sous-traitant est fiable. Si vous traitez des données personnelles dans le nuage, en tant que fournisseur ou en tant que client qui s'appuie sur un fournisseur, ISO 27018 est l'ensemble de mesures qui rend démontrable l'affirmation « nous les protégeons ».

Comment elle s'articule avec la norme ISO 27001

ISO 27001 constitue le cadre ; ISO 27018 est un ensemble de mesures supplémentaires, axées sur la vie privée, qui s'y greffent. Vous faites fonctionner le SMSI (domaine d'application, appréciation des risques, mesures de l'Annexe A, déclaration d'applicabilité) et vous l'étendez avec les mesures d'ISO 27018 partout où vous traitez des PII dans le nuage. En pratique, les organisations se certifient selon ISO 27001 en y intégrant les mesures d'ISO 27018, plutôt que de se certifier selon la seule norme ISO 27018.

La norme ISO 27018 et le RGPD

ISO 27018 n'est pas le RGPD et ne suffit pas à elle seule à vous rendre conforme : le règlement impose des obligations légales qu'un code de bonnes pratiques ne peut pas remplir. Mais les deux se recoupent étroitement. La transparence envers les personnes concernées, les restrictions à l'usage secondaire, le soutien aux droits des personnes concernées et le contrôle des sous-traitants ultérieurs leur sont communs. Mettre en œuvre ISO 27018 au sein de votre SMSI est un moyen concret de prouver le volet sécurité et traitement de vos obligations de sous-traitant au titre du RGPD.