Rapport explicatif

Dans un second temps, il s’est agi de reprendre l’annexe normative A d’ISO 27001 qui est en fait constituée de la table des matières de la norme ISO/CEI 27002:2005 plus connue sous le nom de « Code de pratique pour la gestion de la sécurité d’information ». Celui-ci comprend 15 chapitres, dont les 11 derniers forment des « groupes de contrôle », eux-mêmes subdivisés en 39 « objectifs de contrôle » conduisant à un total de 133 « mesures de contrôle ». L’accent sur la protection des données est ici tout tracé, étant donné la mesure 15.1.4 qui porte sur la « Protection des données et confidentialité des informations relatives à la vie privée » et qui prescrit en substance que « celles-ci doivent être garanties telles que l’exigent la législation, les règlementations applicables, et les clauses contractuelles le cas échéant ».

Dans l’optique d’une certification d’organisation ou de procédure de protection des données, cette seule mesure très générale doit à l’évidence être détaillée et subdivisée en objectifs, euxmêmes réalisables par des mesures concrètes de protection. Ceci est actuellement prévu dans le cadre d’un « Guide d’implémentation » ou encore « Code de pratique pour la gestion de la protection des données », annexé aux « Directives sur les exigences minimales qu’un SGPD doit remplir ». À l’instar de l’OCDE et d’autres pays tels l’Australie, le Canada et la Grande-Bretagne, nous avons retenu « 9 principes généraux de la loi sur la protection des données » comme objectifs essentiels de ce « Guide d’implémentation des directives pour SGPD ». Ces objectifs se traduisent à l’heure actuelle par 20 mesures concrètes de protection des données, reprenant de manière non exhaustive les principales exigences issues de la loi ou de son ordonnance d’application. Afin de faciliter la lecture et la compréhension de cette annexe, chaque mesure est structurée conformément au standard ISO 27002, dont elle

constitue une extension spécifique pour la protection des données. Tout comme la mesure 15.1.4 renvoie elle-même les SGSI aux SGPD, il faut encore relever que le 7^e objectif

« Sécurité des données » avec ses mesures associées n’est rien d’autre que le renvoi des SGPD aux SGSI. Parmi les 133 mesures de sécurité proposées par ISO 27002, une

présélection des plus pertinentes pour la protection des données a été effectuée.

S’il n’est bien sûr pas question d’imposer une certification SGSI pour obtenir une certification SGPD, le niveau de reconnaissance d’une certification SGSI préexistante, notamment par rapport aux exigences de « Sécurité des données », devra être évalué et décidé de cas en cas par le certificateur. S’agissant de l’accréditation effectuée par le SAS, il est par contre

possible que l’accréditation SGPD soit prévue comme une extension de l’accréditation SGSI (ISO 27001), étant donné la référence étroite et explicite aux exigences de cette norme.

Pour tous les acteurs concernés (accréditeurs, certificateurs, certifiés, auditeurs, contrôleurs, etc.), il faut souligner que l’actuel lien étroit avec les normes internationales ISO 27001 et 27002 est en définitive judicieux et avantageux, étant donné leur importante reconnaissance

et pénétration sur le marché mondial, ainsi que leur précieux apport terminologique,

structurel et systématique. Ce contexte normatif est ou sera d’ailleurs bientôt élargi par des guides additionnels, comme ISO 27003 « Implémentation de SGSI », ISO 27004 « Métrique de l’efficacité des mesures », ISO 27005 « Gestion des risques » , ISO 27006 « Exigences d’accréditation » ou encore ISO 27007 « Audits de SGSI ».