ISO/IEC 29184:2020
(Main)Information technology — Online privacy notices and consent
Information technology — Online privacy notices and consent
This document specifies controls which shape the content and the structure of online privacy notices as well as the process of asking for consent to collect and process personally identifiable information (PII) from PII principals. This document is applicable in any online context where a PII controller or any other entity processing PII informs PII principals of processing.
Technologies de l'information — Mentions sur la protection de la vie privée et consentement en ligne
Le présent document spécifie les mesures qui forment le contenu et la structure des mentions sur la protection de la vie privée en ligne ainsi que le processus de demande du consentement en vue de collecter et de traiter les données à caractère personnel (DCP) des personnes concernées. Le présent document s'applique à tous les contextes en ligne dans lesquels un responsable de traitement de DCP ou toute autre entité traitant des DCP informe les personnes concernées du traitement.
General Information
Relations
Buy Standard
Standards Content (Sample)
INTERNATIONAL ISO/IEC
STANDARD 29184
First edition
2020-06
Information technology — Online
privacy notices and consent
Technologies de l'information — Déclarations de confidentialité en
ligne et les consentements
Reference number
ISO/IEC 29184:2020(E)
©
ISO/IEC 2020
---------------------- Page: 1 ----------------------
ISO/IEC 29184:2020(E)
COPYRIGHT PROTECTED DOCUMENT
© ISO/IEC 2020
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may
be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting
on the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address
below or ISO’s member body in the country of the requester.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva
Phone: +41 22 749 01 11
Fax: +41 22 749 09 47
Email: copyright@iso.org
Website: www.iso.org
Published in Switzerland
ii © ISO/IEC 2020 – All rights reserved
---------------------- Page: 2 ----------------------
ISO/IEC 29184:2020(E)
Contents Page
Foreword .v
Introduction .vi
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 1
4 Symbols and abbreviated terms . 2
5 General requirements and recommendations . 2
5.1 Overall objective . 2
5.2 Notice . 2
5.2.1 General. 2
5.2.2 Providing notice obligation . 2
5.2.3 Appropriate expression . 3
5.2.4 Multi-lingual notice . 3
5.2.5 Appropriate timing . 3
5.2.6 Appropriate locations . 4
5.2.7 Appropriate form . 4
5.2.8 Ongoing reference . . . 5
5.2.9 Accessibility . 5
5.3 Contents of notice . 5
5.3.1 General. 5
5.3.2 Purpose description . 5
5.3.3 Presentation of purpose description . 6
5.3.4 Identification of the PII controller . 6
5.3.5 PII collection . 6
5.3.6 Collection method . 7
5.3.7 Timing and location of the PII collection . 7
5.3.8 Method of use . 8
5.3.9 Geo-location of, and legal jurisdiction over, stored PII . 8
5.3.10 Third-party transfer . 8
5.3.11 Retention period . 9
5.3.12 Participation of PII principal . 9
5.3.13 Inquiry and complaint. 9
5.3.14 Information about accessing the choices made for consent .10
5.3.15 Basis for processing .10
5.3.16 Risks .10
5.4 Consent .11
5.4.1 General.11
5.4.2 Identification of whether consent is appropriate .11
5.4.3 Informed and freely given consent .11
5.4.4 Providing the information about which account the PII principal is using .12
5.4.5 Independence from other consent .12
5.4.6 Separate consent to necessary and optional elements of PII .13
5.4.7 Frequency .13
5.4.8 Timeliness.13
5.5 Change of conditions .13
5.5.1 General.13
5.5.2 Renewing notice .14
5.5.3 Renewing consent .14
Annex A (informative) User interface example for obtaining the consent of a PII principal
on PCs and smartphones .16
Annex B (informative) Example of a consent receipt or consent record (NOTE in 5.4.3) .22
© ISO/IEC 2020 – All rights reserved iii
---------------------- Page: 3 ----------------------
ISO/IEC 29184:2020(E)
Bibliography .25
iv © ISO/IEC 2020 – All rights reserved
---------------------- Page: 4 ----------------------
ISO/IEC 29184:2020(E)
Foreword
ISO (the International Organization for Standardization) and IEC (the International Electrotechnical
Commission) form the specialized system for worldwide standardization. National bodies that
are members of ISO or IEC participate in the development of International Standards through
technical committees established by the respective organization to deal with particular fields of
technical activity. ISO and IEC technical committees collaborate in fields of mutual interest. Other
international organizations, governmental and non-governmental, in liaison with ISO and IEC, also
take part in the work.
The procedures used to develop this document and those intended for its further maintenance are
described in the ISO/IEC Directives, Part 1. In particular, the different approval criteria needed for
the different types of document should be noted. This document was drafted in accordance with the
editorial rules of the ISO/IEC Directives, Part 2 (see www .iso .org/ directives).
Attention is drawn to the possibility that some of the elements of this document may be the subject
of patent rights. ISO and IEC shall not be held responsible for identifying any or all such patent
rights. Details of any patent rights identified during the development of the document will be in the
Introduction and/or on the ISO list of patent declarations received (see www .iso .org/ patents) or the IEC
list of patent declarations received (see http:// patents .iec .ch).
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation of the voluntary nature of standards, the meaning of ISO specific terms and
expressions related to conformity assessment, as well as information about ISO's adherence to the
World Trade Organization (WTO) principles in the Technical Barriers to Trade (TBT), see www .iso .org/
iso/ foreword .html.
This document was prepared by Joint Technical Committee ISO/IEC JTC 1, Information technology,
Subcommittee SC 27, Information security, cybersecurity and privacy protection.
Any feedback or questions on this document should be directed to the user’s national standards body. A
complete listing of these bodies can be found at www .iso .org/ members .html.
© ISO/IEC 2020 – All rights reserved v
---------------------- Page: 5 ----------------------
ISO/IEC 29184:2020(E)
Introduction
The wider availability of communication infrastructures like home broadband connections and the
global internet, the growth in the use of smartphones and other devices (e.g., wearables) that collect
details of individuals' activities, and improvements in information processing capability have enabled
much wider-ranging collection and analysis of personal information. Such technological improvements
provide a better prospect for more convenient consumer life, new business opportunities, more
attractive services and more added value. On the other hand, consumers are becoming increasingly
"privacy aware” and are questioning the privacy impact of the collection and use of personally
identifiable information (PII) by online services. This criticism is often due to the lack of a clear
explanation of how their PII is processed, stored, maintained and managed.
This document specifies controls and associated additional information for organizations:
— to provide the basis for presenting clear, easily understood information to individuals whose PII is
collected, about how the organization processes their PII (e.g., when providing services to consumers
or under an employment relationship) and
— to obtain consent from the PII principals in a fair, demonstrable, transparent, unambiguous and
revocable (withdrawable) manner.
This document provides details on the implementation of two privacy principles from ISO/IEC 29100
(i.e., Principle 1: Consent and choice, Principle 7: Openness, transparency and notice).
vi © ISO/IEC 2020 – All rights reserved
---------------------- Page: 6 ----------------------
INTERNATIONAL STANDARD ISO/IEC 29184:2020(E)
Information technology — Online privacy notices and
consent
1 Scope
This document specifies controls which shape the content and the structure of online privacy notices as
well as the process of asking for consent to collect and process personally identifiable information (PII)
from PII principals.
This document is applicable in any online context where a PII controller or any other entity processing
PII informs PII principals of processing.
2 Normative references
The following documents are referred to in the text in such a way that some or all of their content
constitutes requirements of this document. For dated references, only the edition cited applies. For
undated references, the latest edition of the referenced document (including any amendments) applies.
ISO/IEC 29100, Information technology — Security techniques — Privacy framework
3 Terms and definitions
For the purposes of this document, the terms and definitions given in ISO/IEC 29100 and the
following apply.
ISO and IEC maintain terminological databases for use in standardization at the following addresses:
— ISO Online browsing platform: available at https:// www .iso .org/ obp
— IEC Electropedia: available at http:// www .electropedia .org/
3.1
explicit consent
personally identifiable information (PII) principal’s freely given, specific and informed unambiguous
agreement to the processing of their PII exercised through an affirmative act indicating such consent by
the PII principal
Note 1 to entry: Explicit consent is the result of an opt-in.
Note 2 to entry: Explicit consent can also be referred to as express consent.
EXAMPLE Consent is obtained by asking the PII principal to take a specific action in the context of a notice.
[SOURCE: ISO/IEC 29100:2011, 2.4, modified – The words "exercised through an affirmative act
indicating such consent by the PII principal" have been added.]
3.2
notice
information regarding processing of PII
Note 1 to entry: Given to the PII principals through different channels, in a concise, transparent, intelligible and
easily accessible form and using clear and plain language.
© ISO/IEC 2020 – All rights reserved 1
---------------------- Page: 7 ----------------------
ISO/IEC 29184:2020(E)
3.3
element of PII
category of PII
piece of PII
descriptor for a type of information, or a set of types of information
4 Symbols and abbreviated terms
JSON JavaScript object notation
PC personal computer
PII personally identifiable information
XML extensible markup language
5 General requirements and recommendations
5.1 Overall objective
The overall objective of this document is to allow PII Principals to understand and act in accordance
with the implications of PII processing, such as the likelihood and severity of any potential impact the
processing can have, as well as the direct and/or intended consequences of the processing.
Organizations that wish to demonstrate compliance with this document shall document for each control
of Clause 5:
a) whether the control applies;
b) when there are reasons that can justify that the control does not apply, that the justification is
documented and validated;
c) how the implementation of the control is verified and validated.
5.2 Notice
5.2.1 General
Objective: To provide notice where it is required, in a language appropriate to PII principals, at a time
that permits PII principals to meaningfully exercise consent, at places where it is easy for PII principals
to recognize, and with references that provide PII principals with access to supplementary material,
including prior notices and their responses.
5.2.2 Providing notice obligation
Control
The organization shall identify situations where providing notice is necessary and shall provide notice
that complies with 5.3 to PII principals whenever it is required.
Additional information
The notice should provide all interested parties, including outsiders to the organization, with the
organization’s privacy practices, as well as other relevant information such as contact details including
the identity and registered address of the PII controller, and contact points from which PII principals
can obtain additional information (see Annex A).
2 © ISO/IEC 2020 – All rights reserved
---------------------- Page: 8 ----------------------
ISO/IEC 29184:2020(E)
Displaying a visual notice is one way to provide notice. For accessibility, either screen readers for visual
notices or directly audible notices can be appropriate to assist those who are visually impaired. Other
forms of notice can also be appropriate (see 5.2.9).
The organization should provide a notice to PII principals. Notice may be required, among other
situations, when the organization plans to collect new PII (from the PII principal or from another
source) or when it plans to use PII already collected for new purposes.
5.2.3 Appropriate expression
Control
The organization shall provide the notice in a way that is clear and easy to understand for the targeted
PII principals. The notice shall be easily legible and in a concise language that a person without any
legal or technical training can reasonably comprehend.
Additional information
The notice should be drafted taking into account particular categories or types of PII principals (e.g.
disadvantaged societal sub-groups).
5.2.4 Multi-lingual notice
Control
The organization shall provide the notice in the language(s) according to the target principal's language
expectations.
Additional information
For example, the organization may present the PII principal with a list of supported languages displayed
in the respective languages and allow the PII principal to choose the language. Displaying the name of
each language in that language is important, as the PII principal may not be able to recognize it if it is
shown in another language.
A web browser has a preference setting for a preferred language, and it may be used for this purpose.
However, it may not be a good idea to solely depend on the browser's language preference since the PII
principal can be using a shared computer.
5.2.5 Appropriate timing
Control
The organization shall determine and document the appropriate timing (e.g. immediately prior to
collecting the PII) for providing notice to the PII principals when the activity in question is relevant to
the privacy interests of the PII principals.
Additional information
When an organization provides a PII principal with a notice and then collects the PII at a later point in
time, including cases in which data are collected from another source, the timing of the notice and the
collection of PII can differ significantly.
The organization should provide notice where the use of PII can have unexpected or significant effects
on PII principals. If an organization intends to collect additional PII, it should provide a further notice.
© ISO/IEC 2020 – All rights reserved 3
---------------------- Page: 9 ----------------------
ISO/IEC 29184:2020(E)
5.2.6 Appropriate locations
Control
The organization shall provide notices in a manner appropriate to the product or service in question so
that PII principals can find and access the notices electronically and easily, including at online locations.
Additional information
Appropriate online locations can include, but are not limited to, links on the organization's home pages
on its websites or on the landing page, the start-up page of mobile apps, online forms or in captive
portals.
In some cases, PII may be processed without prior interaction with the PII principal. From the point of
view of the PII principals, it would actually be quite hard to even find out who is processing their data
and, thus, it does not help to post the privacy notice only on the organization’s website. It is useful to
have a place where a PII principal can go and obtain the privacy notices of such organizations. Thus,
where applicable and feasible, the organization should consider using a publicly accessible common
repository where stakeholders can easily find and access the relevant notices.
5.2.7 Appropriate form
Control
The organization shall determine how the notice is provided and made accessible with respect to the
timing of processing.
Additional information
The organization may implement the control using different techniques: layered notices, dashboards,
just-in-time notices and icons, and may provide notices in a machine-readable format so that the
software which is presenting it to the PII principal can parse it to optimize the user interface and help
PII principals make decisions.
If the organization implements the control using a layered notice, the first layer should detail anything
unexpected or things that can significantly impact a PII principal, with that impact determined in the
assessment described in 5.3.3. The other layers should provide notice of all collection and/or processing
activities in order to give the PII principal detailed information of these activities.
Organizations should display the first layer of each notice such that PII principals are able to read it
as quickly as possible. It should not span more than a few screens. Given the volume constraints, it
may not be possible to display all the contents on one screen. In that case, organizations should display
the summary first. In the context of mobile devices and smartphones, for better readability, it would
be useful to introduce a “multilayer approach” to notice and consent, showing a short text, with key
information and with a link to the “full text” notice/consent.
When organizations display elements of PII to be collected, they should display them by groups with
those having the highest potential privacy impact being listed first so that PII principals can clearly
recognize the differences.
Organizations should make content, including relevant information omitted from the first or subsequent
screens, available for reference by PII principals if they wish.
NOTE In the case of online notification, pop-ups and drill-downs can be used to display content. PII
principals can have difficulty in reading a large amount of terms and conditions in a contract, especially when
they are about to take a certain action.
Machine-readable notices may be provided in a standardized XML or JSON format. By doing so, it
becomes possible for devices to select items appropriately and display graphics and icons where
applicable. However, organizations need to note that the PII principal’s interpretation of graphical
4 © ISO/IEC 2020 – All rights reserved
---------------------- Page: 10 ----------------------
ISO/IEC 29184:2020(E)
representation can differ significantly depending on cultural backgrounds. Guidance for the region or
culture in question may be created in order to prevent PII principals from getting confused.
5.2.8 Ongoing reference
Control
The organization shall keep and make available the version of the notice presented when the PII
principal gave consent, as well as the most recent relevant version for easy reference by that PII
principal.
Additional information
Versions of notices should be retained for as long as they are associated with retained PII.
5.2.9 Accessibility
Control
The organization shall provide a notice in an accessible manner that is appropriate to the technologies
underlying the online service.
Additional information
Particularly in cases where individuals with accessibility issues are expected to access notices, the
notices should enable them to understand the content of the notices. This can involve the need to ensure
that the text of the notice can be converted to sound for those individuals with visual issues.
Guidelines such as ISO/IEC 40500 help in designing accessibility.
5.3 Contents of notice
5.3.1 General
Objective: To ensure that the PII principal has sufficient information within the notice to understand
how the PII is being processed and what rights the PII principal has.
5.3.2 Purpose description
Control
The organization shall ensure that the notice includes information about the purpose(s) for which the
PII will be processed.
Additional information
It is important for PII principals to understand the purposes for the processing of the PII collected so
that they can provide meaningful consent. For brevity of the notice, a name or short phrase for each
purpose may be used, but it should be possible (e.g. via a hyperlink) to associate that name or phrase
with an overview of the purpose sufficient for PII principals to provide meaningful consent.
Care needs to be taken when drafting notices, as the inclusion of too much detail can result in the need
to reissue them at frequent intervals.
© ISO/IEC 2020 – All rights reserved 5
---------------------- Page: 11 ----------------------
ISO/IEC 29184:2020(E)
5.3.3 Presentation of purpose description
Control
The organization shall specify the purposes related to the collection of each element of PII and
appropriate information about the plausible risk of the processing, in an order according to the general
assessment of the risk.
NOTE The impact and risk are necessarily obvious.
Additional information
The organization explains how PII will be used in a manner that allows the PII principal to clearly
and readily understand the purpose. If the purpose of the use varies among the elements of PII being
collected, the organization should clearly mark which purpose applies to which element of PII.
5.3.4 Identification of the PII controller
Control
The organization shall provide the PII principal with the relevant information (e.g. the identity and
contact details) about the PII controller.
Additional information
Identification of the PII controller is typically by company name, but can also involve the displaying of
company number, head office/operational address and (if appropriate) departmental information.
5.3.5 PII collection
Control
The organization shall provide information that allows PII principals to understand what elements of
PII are being collected, even where the collection of the particular elements of PII is obvious.
Additional information
In addition to using generic language such as “We collect your personal information.” where appropriate
based on the impact determined in the assessment described in 5.3.3, the organization should provide
the list of specific elements of PII that are collected (e.g. “We collect your name, address, and telephone
number.”) even if it is obvious what the collected information is.
To identify what would count as the PII to be listed in the notice, the organization should consult
ISO/IEC 29100:2011, 4.4.
The organization should present the actual value of an element of PII to be collected at the time of
collection where it is relevant, feasible and practical. Where it is not feasible to do so, the organization
may provide a clear example of the element values being collected with the associated name of an
element of PII. By doing so, the PII principal can understand what is referred to by the name of an
element of PII and what kind of values are
...
NORME ISO/IEC
INTERNATIONALE 29184
Première édition
2020-06
Technologies de l'information —
Mentions sur la protection de la vie
privée et consentement en ligne
Information technology — Online privacy notices and consent
Numéro de référence
ISO/IEC 29184:2020(F)
© ISO/IEC 2020
---------------------- Page: 1 ----------------------
ISO/IEC 29184:2020(F)
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO/IEC 2020
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: +41 22 749 01 11
Fax: +41 22 749 09 47
E-mail: copyright@iso.org
Web: www.iso.org
Publié en Suisse
ii
© ISO/IEC 2020 – Tous droits réservés
---------------------- Page: 2 ----------------------
ISO/IEC 29184:2020(F)
Sommaire Page
Avant-propos .v
Introduction . vi
1 Domaine d'application .1
2 Références normatives .1
3 Termes et définitions . 1
4 Symboles et abréviations .2
5 Exigences générales et recommandations . 2
5.1 Objectif général . 2
5.2 Mention . 2
5.2.1 Généralités . 2
5.2.2 Obligation de fournir une mention . 2
5.2.3 Expression appropriée . 3
5.2.4 Mention multilingue . 3
5.2.5 Moment approprié . 3
5.2.6 Emplacements appropriés . 4
5.2.7 Forme appropriée . 4
5.2.8 Consultation continue . 5
5.2.9 Accessibilité . 5
5.3 Contenu de la mention . 5
5.3.1 Généralités . 5
5.3.2 Description des finalités . 5
5.3.3 Présentation de la description des finalités . . 6
5.3.4 Identification du responsable de traitement de DCP . 6
5.3.5 Collecte des DCP. 6
5.3.6 Méthode de collecte . 7
5.3.7 Moment et emplacement de la collecte de DCP . 8
5.3.8 Méthode d'utilisation . 8
5.3.9 Géolocalisation des DCP stockées et juridiction légale applicable . 8
5.3.10 Transmission à un tiers . 8
5.3.11 Durée de conservation . 9
5.3.12 Participation de la personne concernée . 9
5.3.13 Requête et réclamation. 10
5.3.14 Information concernant l'accès aux choix de consentement effectués . 10
5.3.15 Base de traitement . 11
5.3.16 Risques . 11
5.4 Consentement . 11
5.4.1 Généralités . 11
5.4.2 Identification de la pertinence du consentement . 11
5.4.3 Consentement éclairé et libre .12
5.4.4 Fourniture des informations concernant le compte utilisé par la personne
concernée .13
5.4.5 Indépendance par rapport aux autres consentements.13
5.4.6 Consentement distinct pour les éléments de DCP nécessaires et facultatifs .13
5.4.7 Fréquence . 14
5.4.8 Moment opportun . 14
5.5 Modification des conditions . 14
5.5.1 Généralités . 14
5.5.2 Renouvellement de la mention . 14
5.5.3 Renouvellement du consentement . 15
Annexe A (informative) Exemple d'interface utilisateur pour l'obtention du consentement
d'une personne concernée sur PC et smartphones .17
iii
© ISO/IEC 2020 – Tous droits réservés
---------------------- Page: 3 ----------------------
ISO/IEC 29184:2020(F)
Annexe B (informative) Exemple de récépissé de consentement ou d'enregistrement
de consentement (NOTE en 5.4.3) . .23
Bibliographie .26
iv
© ISO/IEC 2020 – Tous droits réservés
---------------------- Page: 4 ----------------------
ISO/IEC 29184:2020(F)
Avant-propos
L'ISO (Organisation internationale de normalisation) et l'IEC (Commission électrotechnique
internationale) forment le système spécialisé de la normalisation mondiale. Les organismes
nationaux membres de l'ISO ou de l'IEC participent au développement de Normes Internationales
par l'intermédiaire des comités techniques créés par l'organisation concernée afin de s'occuper des
domaines particuliers de l'activité technique. Les comités techniques de l'ISO et de l'IEC collaborent
dans des domaines d'intérêt commun. D'autres organisations internationales, gouvernementales et non
gouvernementales, en liaison avec l'ISO et l'IEC participent également aux travaux.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour
sont décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des
différents critères d'approbation requis pour les différents types de document. Le présent document
a été rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2
(voir www.iso.org/directives).
L'attention est attirée sur le fait que certains des éléments du présent document peuvent faire l'objet
de droits de propriété intellectuelle ou de droits analogues. L'ISO et l'IEC ne sauraient être tenues pour
responsables de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails
concernant les références aux droits de propriété intellectuelle ou autres droits analogues identifiés
lors de l'élaboration du document sont indiqués dans l'Introduction et/ou dans la liste des déclarations
de brevets reçues par l'ISO (voir www.iso.org/brevets) ou dans la liste des déclarations de brevets
reçues par l'IEC (voir http://patents.iec.ch).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l'intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion
de l'ISO aux principes de l'Organisation mondiale du commerce (OMC) concernant les obstacles
techniques au commerce (OTC), voir le lien suivant: www.iso.org/iso/fr/avant-propos.
Le présent document a été élaboré par le comité technique mixte ISO/IEC JTC 1, Technologies de
l'information, sous-comité SC 27, Sécurité de l'information, cybersécurité et protection de la vie privée.
Il convient que l'utilisateur adresse tout retour d'information ou toute question concernant le présent
document à l'organisme national de normalisation de son pays. Une liste exhaustive desdits organismes
se trouve à l'adresse www.iso.org/fr/members.html.
v
© ISO/IEC 2020 – Tous droits réservés
---------------------- Page: 5 ----------------------
ISO/IEC 29184:2020(F)
Introduction
La plus grande disponibilité des infrastructures de communication telles que les connexions
domestiques haut débit et l'internet mondial, l'utilisation croissante des smartphones et d'autres
appareils (par exemple, appareils portables) qui collectent des informations sur les activités des
individus, et les améliorations des capacités de traitement de l'information ont permis une collecte et une
analyse beaucoup plus larges des informations personnelles. Ces améliorations technologiques offrent
de meilleures perspectives en matière de confort de vie des consommateurs, de nouvelles opportunités
commerciales, de services plus attrayants et de valeur ajoutée. D'autre part, les consommateurs sont de
plus en plus soucieux de la protection de leur vie privée et remettent en question l'impact sur celle-ci
de la collecte et de l'utilisation des données à caractère personnel (DCP) par les services en ligne. Cette
critique est souvent due à l'absence d'explication claire sur la manière dont leurs DCP sont traitées,
stockées, conservées et gérées.
Le présent document spécifie les mesures et les informations complémentaires associées destinées aux
organismes pour:
— fournir une base pour présenter des informations claires et faciles à comprendre aux personnes
dont les DCP sont collectées, sur la manière dont l'organisme traite leurs DCP (par exemple, lors de
la fourniture de services à des consommateurs ou dans le cadre d'une relation de travail); et
— obtenir le consentement de la part des personnes concernées de manière loyale, démontrable,
transparente, univoque et révocable (rétractable).
Le présent document fournit les détails de la mise en œuvre de deux principes de protection de la
vie privée de l'ISO/IEC 29100 (c'est-à-dire, principe 1: consentement et choix; principe 7: ouverture,
transparence et information).
vi
© ISO/IEC 2020 – Tous droits réservés
---------------------- Page: 6 ----------------------
NORME INTERNATIONALE ISO/IEC 29184:2020(F)
Technologies de l'information — Mentions sur la
protection de la vie privée et consentement en ligne
1 Domaine d'application
Le présent document spécifie les mesures qui forment le contenu et la structure des mentions sur
la protection de la vie privée en ligne ainsi que le processus de demande du consentement en vue de
collecter et de traiter les données à caractère personnel (DCP) des personnes concernées.
Le présent document s'applique à tous les contextes en ligne dans lesquels un responsable de traitement
de DCP ou toute autre entité traitant des DCP informe les personnes concernées du traitement.
2 Références normatives
Les documents suivants sont cités dans le texte de sorte qu'ils constituent, pour tout ou partie de leur
contenu, des exigences du présent document. Pour les références datées, seule l'édition citée s'applique.
Pour les références non datées, la dernière édition du document de référence s'applique (y compris les
éventuels amendements).
ISO/IEC 29100, Technologies de l’information — Techniques de sécurité — Cadre privé
3 Termes et définitions
Pour les besoins du présent document, les termes et définitions de l'ISO/IEC 29100 ainsi que les
suivants, s'appliquent.
L'ISO et l'IEC tiennent à jour des bases de données terminologiques destinées à être utilisées en
normalisation, consultables aux adresses suivantes:
— ISO Online browsing platform: disponible à l'adresse https:// www .iso .org/ obp
— IEC Electropedia: disponible à l'adresse https:// www .electropedia .org/
3.1
consentement explicite
accord univoque spécifique et éclairé accordé librement par la personne concernée pour le traitement
de ses données à caractère personnel (DCP), exprimé à travers un acte positif indiquant un tel
consentement de la part de la personne concernée
Note 1 à l'article: Le consentement explicite est le résultat d'un accord préalable.
Note 2 à l'article: Le consentement explicite peut également être désigné par «consentement exprès».
EXEMPLE Le consentement est obtenu en demandant à la personne concernée de réaliser une action
spécifique dans le contexte d'une mention.
[SOURCE: ISO/IEC 29100:2011, 2.4, modifié – Les mots «exprimé à travers un acte positif indiquant un
tel consentement de la part de la personne concernée» ont été ajoutés.]
3.2
mention
informations concernant le traitement des DCP
Note 1 à l'article: Communiquées aux personnes concernées à travers différents canaux, sous une forme concise,
transparente, compréhensible et facile d'accès, à l'aide d'un langage clair et simple.
1
© ISO/IEC 2020 – Tous droits réservés
---------------------- Page: 7 ----------------------
ISO/IEC 29184:2020(F)
3.3
élément de DCP
catégorie de DCP
information de DCP
descripteur d'un type d'information ou d'un ensemble de types d'information
4 Symboles et abréviations
DCP données à caractère personnel
JSON notation d'objet JavaScript [JavaScript object notation]
PC ordinateur individuel [personal computer]
XML langage XML [extensible markup language]
5 Exigences générales et recommandations
5.1 Objectif général
L'objectif général du présent document est de permettre aux personnes concernées de comprendre et
d'agir en fonction des implications du traitement des DCP, telles que la probabilité et la gravité de tout
impact potentiel du traitement, ainsi que des conséquences directes et/ou indirectes du traitement.
Les organismes souhaitant démontrer leur conformité au présent document doivent documenter pour
chaque mesure de l'Article 5:
a) si la mesure s'applique;
b) lorsque des raisons peuvent justifier la non-application de la mesure, que la justification est
documentée et validée;
c) la manière dont la mise en œuvre de la mesure est vérifiée et validée.
5.2 Mention
5.2.1 Généralités
Objectif: fournir une mention lorsqu'elle est exigée, dans un langage adapté aux personnes concernées,
à un moment qui permet aux personnes concernées d'exercer leur consentement à bon escient, à
des endroits où il est facile pour les personnes concernées de reconnaître les informations, et avec
des références qui fournissent aux personnes concernées un accès à du contenu complémentaire,
notamment des mentions préalables et leurs réponses.
5.2.2 Obligation de fournir une mention
Mesure
L'organisme doit identifier les situations où il est nécessaire de fournir une mention et doit fournir une
mention conforme au paragraphe 5.3 aux personnes concernées lorsqu'elle est exigée.
Informations complémentaires
Il convient que la mention fournisse à toutes les parties intéressées, y compris extérieures à l'organisme,
les pratiques de l'organisme en matière de protection de la vie privée ainsi que d'autres informations
pertinentes telles que les coordonnées, notamment l'identité et la domiciliation, du responsable de
traitement de DCP, et les points de contact à partir desquels les personnes concernées peuvent obtenir
des informations supplémentaires (voir Annexe A).
2
© ISO/IEC 2020 – Tous droits réservés
---------------------- Page: 8 ----------------------
ISO/IEC 29184:2020(F)
L'affichage d'une mention visuelle est une manière de fournir une mention. En matière d'accessibilité,
des lecteurs d'écran pour les mentions visuelles ou des mentions directement audibles peuvent être
appropriés pour aider les personnes malvoyantes. D'autres formes de mention peuvent également être
appropriées (voir 5.2.9).
Il convient que l'organisme fournisse une mention aux personnes concernées. Une mention peut être
requise, entre autres, lorsque l'organisme prévoit de collecter de nouvelles DCP (auprès de la personne
concernée ou à partir d'une autre source) ou lorsqu'il prévoit d'utiliser des DCP déjà collectées pour de
nouvelles finalités.
5.2.3 Expression appropriée
Mesure
L'organisme doit fournir la mention de manière claire et facile à comprendre pour les personnes
concernées visées. La mention doit être facilement lisible et formulée dans un langage concis qu'une
personne sans aucune formation juridique ou technique puisse comprendre de manière raisonnable.
Informations complémentaires
Il convient que la mention soit rédigée en tenant compte des catégories ou types particuliers de
personnes concernées (par exemple, sous-groupes sociétaux défavorisés).
5.2.4 Mention multilingue
Mesure
L'organisme doit fournir la mention dans la ou les langue(s) convenant aux attentes linguistiques des
personnes concernées visées.
Informations complémentaires
Par exemple, l'organisme peut présenter à la personne concernée une liste des langues prises en charge
affichées dans leur langue respective et permettre à la personne concernée de choisir la langue. Il est
important d'afficher le nom de chaque langue dans sa propre langue, car la personne concernée peut ne
pas être capable de reconnaître une langue si elle est affichée dans une autre langue.
Un navigateur web possède un paramètre de préférence pour une langue préférée, ce qui peut être
utilisé à cette fin. Toutefois, dépendre uniquement de la préférence de langue du navigateur peut ne pas
être une bonne idée, car la personne concernée peut utiliser un ordinateur partagé.
5.2.5 Moment approprié
Mesure
L'organisme doit déterminer et documenter le moment approprié (par exemple, immédiatement avant
la collecte de DCP) pour fournir une mention aux personnes concernées lorsque l'activité considérée
concerne leurs intérêts en matière de protection de la vie privée.
Informations complémentaires
Lorsqu'un organisme fournit une mention à une personne concernée puis collecte les DCP
ultérieurement, y compris dans les cas où les données sont collectées à partir d'une autre source, le
moment de la mention peut différer de celui de la collecte des DCP de manière significative.
Il convient que l'organisme fournisse une mention lorsque l'utilisation des DCP peut avoir des effets
inattendus ou importants sur les personnes concernées. Si un organisme prévoit de collecter des DCP
supplémentaires, il convient qu'il fournisse une mention supplémentaire.
3
© ISO/IEC 2020 – Tous droits réservés
---------------------- Page: 9 ----------------------
ISO/IEC 29184:2020(F)
5.2.6 Emplacements appropriés
Mesure
L'organisme doit fournir des mentions d'une manière qui soit appropriée au produit ou service concerné
de sorte que les personnes concernées puissent trouver et accéder aux mentions par voie électronique
et facilement, notamment sur des emplacements en ligne.
Informations complémentaires
Les emplacements en ligne appropriés peuvent inclure, sans toutefois s'y limiter, des liens sur les pages
principales des sites web de l'organisme ou sur la page d'accueil, la page de démarrage des applications
mobiles, des formulaires en ligne ou dans des portails captifs.
Dans certains cas, les DCP peuvent être traitées sans interaction préalable avec la personne concernée.
Du point de vue des personnes concernées, il serait très difficile de savoir qui traite leurs données et,
par conséquent, il n'est pas utile de publier la mention sur la protection de la vie privée uniquement sur
le site web de l'organisme. Il est utile d'avoir un endroit où une personne concernée peut se rendre et
obtenir les mentions sur la protection de la vie privée de ces organismes. Ainsi, il convient, lorsque cela
s'applique et dans la mesure du possible, que l'organisme envisage d'utiliser un référentiel commun
accessible au public où les parties prenantes peuvent trouver et accéder facilement aux mentions
pertinentes.
5.2.7 Forme appropriée
Mesure
L'organisme doit déterminer la manière dont la mention est fournie et rendue accessible par rapport au
moment du traitement.
Informations complémentaires
L'organisme peut mettre en œuvre la mesure à l'aide de différentes techniques: mentions sur différents
niveaux, tableaux de bord, mentions et icônes «juste à temps», et peut fournir des mentions dans un
format lisible par machine de sorte que le logiciel qui le présente à la personne concernée peut l'analyser
afin d'optimiser l'interface utilisateur et d'aider les personnes concernées dans leur prise de décision.
Si l'organisme met en œuvre la mesure à l'aide d'une mention sur différents niveaux, il convient que le
premier niveau détaille tout élément inattendu ou pouvant avoir un impact significatif, tel que déterminé
par l'évaluation décrite en 5.3.3, sur une personne concernée. Il convient que les autres niveaux fassent
mention de toutes les activités de collecte et/ou de traitement afin de donner à la personne concernée
des informations détaillées concernant ces activités.
Il convient que les organismes affichent le premier niveau de chaque mention de sorte que les personnes
concernées soient capables de la lire le plus rapidement possible. Il convient qu'elle ne dépasse pas
quelques écrans. Compte tenu des contraintes de volume, il peut ne pas être possible d'afficher tout
le contenu sur un écran. Auquel cas, il convient que les organismes affichent le résumé en premier.
Dans le contexte des appareils mobiles et des smartphones, il est utile, pour une meilleure lisibilité,
d'introduire une «approche multi-niveaux» pour les mentions et le consentement, en montrant un texte
court contenant les informations essentielles et un lien vers le texte intégral de la mention/déclaration
de consentement.
Lorsque les organismes affichent les éléments de DCP à collecter, il convient de les afficher par groupes
en énumérant en premier ceux ayant l'impact potentiel le plus élevé en matière de vie privée de sorte
que les personnes concernées puissent reconnaître clairement les différences.
4
© ISO/IEC 2020 – Tous droits réservés
---------------------- Page: 10 ----------------------
ISO/IEC 29184:2020(F)
Il convient que les organismes mettent le contenu, notamment les informations pertinentes omises dans
le premier écran ou les écrans suivants, à la disposition des personnes concernées si elles le souhaitent.
NOTE Dans le cas des notifications en ligne, des fenêtres contextuelles et des zooms avant peuvent être
utilisés pour afficher le contenu. Les personnes concernées peuvent avoir des difficultés à lire un grand nombre
de conditions générales dans un contrat, notamment lorsqu'elles sont sur le point de réaliser une action.
Les mentions lisibles par machine peuvent être fournies dans un format XML ou JSON standard. Ainsi,
il devient possible pour les appareils de sélectionner les éléments de manière appropriée et d'afficher
des graphismes et des icônes le cas échéant. Toutefois, les organismes doivent noter que l'interprétation
de la représentation graphique par la personne concernée peut varier considérablement en fonction
des milieux culturels. Des recommandations pour la région ou la culture concernée peuvent être créées
afin d'éviter la confusion des personnes concernées.
5.2.8 Consultation continue
Mesure
L'organisme doit conserver et mettre à disposition la version de la mention présentée lorsque la
personne concernée a donné son consentement, ainsi que la version pertinente la plus récente pour que
la personne concernée puisse la consulter facilement.
Informations complémentaires
Il convient de conserver les versions des mentions aussi longtemps qu'elles sont associées à des DCP
conservées.
5.2.9 Accessibilité
Mesure
L'organisme doit fournir une mention d'une manière accessible et adaptée aux technologies qui sous-
tendent le service en ligne.
Informations complémentaires
En particulier dans les cas où il est attendu que des personnes ayant des problèmes d'accessibilité
accèdent aux mentions, il convient que celles-ci leur permettent de comprendre le contenu des mentions.
Cela peut impliquer la nécessité de s'assurer que le texte de la mention peut être converti en son pour
les personnes ayant des problèmes de vue.
Les lignes directrices telles que l'ISO/IEC 40500 aident à la conception de l'accessibilité.
5.3 Contenu de la mention
5.3.1 Généralités
Objectif: S'assurer que la personne concernée a suffisamment d'informations dans la mention pour
comprendre la manière dont les DCP sont traitées et quels sont ses droits.
5.3.2 Description des finalités
Mesure
L'organisme doit s'assurer que la menti
...
2023-03-23 Style Definition
...
Formatted: zzCover large
ISO/IEC 29184:2020(F)
Date: Première édition
2020-06
ISO/IEC JTC 1/SC 27
Secrétariat: DIN
Cover Title_A1, Adjust space between
Formatted:
Technologies de l'information — Mentions sur la protection de la
Latin and Asian text, Adjust space between Asian text
and numbers
vie privée et consentement en ligne
Information technology — Online privacy notices and consent Formatted: English (United States)
Formatted: Cover Title_B, Space After: 0 pt, Adjust
ICS: 35.030
space between Latin and Asian text, Adjust space
between Asian text and numbers
Type du document: Norme internationale
Sous-type du document:
Stade du document: (60) Publication
Langue du document: F
---------------------- Page: 1 ----------------------
DOCUMENT PROTÉGÉ PAR COPYRIGHT
©
Type du document: Norme internationale
Sous-type du document:
Stade du document: (60) Publication
Langue du document: F
---------------------- Page: 2 ----------------------
ISO/IEC 29184:2020(F) Formatted: Font: 11 pt, Bold
Font: 11 pt, Bold
Formatted:
Formatted: Left, Space After: 0 pt
© ISO/IEC 2020
Formatted: Left: 53.85 pt, Right: 53.85 pt, Gutter: 0
pt, Header distance from edge: 36 pt, Footer distance
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvreoeuvre, aucune from edge: 14.15 pt
partie de cette publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé,
électronique ou mécanique, y compris la photocopie, l’affichageou la diffusion sur l’internet ou sur un Commented [eXtyles1]: Not found: "ISO/IEC 2020"
Intranetintranet, sans autorisation écrite préalable. Les demandes d’autorisation peuventUne autorisation peut être
Formatted: Default Paragraph Font, English (United
adresséesdemandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
Kingdom)
Adjust space between Latin and Asian text,
Formatted:
ISO copyright office
Adjust space between Asian text and numbers
CP 401 • • Ch. de Blandonnet 8
CH-1214 Vernier, GenèveGeneva
Formatted: Default Paragraph Font, English (United
Tél.: Phone: + 41 22 749 01 11 Kingdom)
Formatted: English (United Kingdom)
Fax: + 41 22 749 09 47
zzCopyright address, Indent: First line: 0
Formatted:
pt, Adjust space between Latin and Asian text, Adjust
E-mail: copyright@iso.org
space between Asian text and numbers
Web: www.iso.org
Formatted: zzCopyright address, Indent: First line: 0
pt, Adjust space between Latin and Asian text, Adjust
Website: www.iso.org
space between Asian text and numbers
Publié en Suisse Formatted: French (France)
Formatted: Indent: First line: 0 pt, Adjust space
between Latin and Asian text, Adjust space between
Asian text and numbers
Formatted: Font: 11 pt
Formatted: Font: 11 pt
Font: 11 pt
Formatted:
Font: 11 pt
Formatted:
Formatted: Left, Tab stops: Not at 487.6 pt
Formatted: English (United Kingdom)
© ISO/IEC 2020 – Tous droits réservés iii
iii
---------------------- Page: 3 ----------------------
ISO/IEC 29184:2020(F) Formatted: Font: 11 pt, Bold
Font: 11 pt, Bold
Formatted:
Formatted: Space After: 0 pt
Sommaire Page
Avant-propos . viii
Introduction . ix
1 Domaine d'application . 1
2 Références normatives . 1
3 Termes et définitions . 1
4 Symboles et abréviations . 2
5 Exigences générales et recommandations. 2
5.1 Objectif général . 2
5.2 Mention . 2
5.2.1 Généralités . 2
5.2.2 Obligation de fournir une mention . 3
5.2.3 Expression appropriée . 3
5.2.4 Mention multilingue . 3
5.2.5 Moment approprié . 3
5.2.6 Emplacements appropriés . 4
5.2.7 Forme appropriée . 4
5.2.8 Consultation continue . 5
5.2.9 Accessibilité . 5
5.3 Contenu de la mention . 5
5.3.1 Généralités . 5
5.3.2 Description des finalités . 6
5.3.3 Présentation de la description des finalités . 7
5.3.4 Identification du responsable de traitement de DCP . 7
5.3.5 Collecte des DCP . 7
5.3.6 Méthode de collecte. 8
5.3.7 Moment et emplacement de la collecte de DCP . 9
5.3.8 Méthode d'utilisation . 9
5.3.9 Géolocalisation des DCP stockées et juridiction légale applicable . 9
5.3.10 Transmission à un tiers . 10
5.3.11 Durée de conservation . 10
5.3.12 Participation de la personne concernée . 10
Formatted: Font: 11 pt, English (United Kingdom)
5.3.13 Requête et réclamation . 11
Formatted: Font: 11 pt, English (United Kingdom)
5.3.14 Information concernant l'accès aux choix de consentement effectués . 11
Formatted: Font: 11 pt, English (United Kingdom)
5.3.15 Base de traitement . 12
Formatted: Font: 11 pt, English (United Kingdom)
5.3.16 Risques . 12
Tab stops: Not at 487.6 pt
Formatted:
iv © iv ©
ISO/IEC 2020 – Tous droits réservés
---------------------- Page: 4 ----------------------
ISO/IEC 29184:2020(F) Formatted: Left, Space After: 0 pt
Font: 11 pt, Bold
Formatted:
Formatted: Font: 11 pt, Bold
5.4 Consentement . 13
5.4.1 Généralités . 13
5.4.2 Identification de la pertinence du consentement . 13
5.4.3 Consentement éclairé et libre . 13
5.4.4 Fourniture des informations concernant le compte utilisé par la personne concernée . 14
5.4.5 Indépendance par rapport aux autres consentements . 14
5.4.6 Consentement distinct pour les éléments de DCP nécessaires et facultatifs . 15
5.4.7 Fréquence . 15
5.4.8 Moment opportun . 15
5.5 Modification des conditions . 16
5.5.1 Généralités . 16
5.5.2 Renouvellement de la mention . 16
5.5.3 Renouvellement du consentement . 16
Annex A (informative) Exemple d'interface utilisateur pour l'obtention du consentement d'une personne
concernée sur PC et smartphones . 18
A.1 Généralités . 18
A.2 Exemples d'interfaces utilisateur pour l'obtention du consentement initial pour PC et
smartphones . 18
A.2.1 Identification du compte utilisé par la personne concernée . 18
A.2.2 Ordre des éléments à afficher . 19
A.2.3 Affichage des valeurs réelles . 22
Annex B (informative) Exemple de récépissé de consentement ou d'enregistrement de consentement
(NOTE en 5.4.3) . 24
B.1 Informations générales et objectif d'un récépissé de consentement . 24
B.2 Contenu et mise en page d'un récépissé de consentement . 24
B.2.1 Généralités . 24
B.2.2 Exemple d'un récépissé de consentement lisible par l'homme — Simple . 24
Bibliographie . 27
Avant-propos v
Introduction vi
1 Domaine d'application 1
2 Références normatives 1
Formatted: Font: 11 pt
3 Termes et définitions 1
Formatted: Font: 11 pt
4 Symboles et abréviations 2
Font: 11 pt
Formatted:
5 Exigences générales et recommandations 2
Font: 11 pt
Formatted:
5.1 Objectif général 2
Formatted: Left, Tab stops: Not at 487.6 pt
5.2 Mention 2
Formatted: English (United Kingdom)
© ISO/IEC 2020 – Tous droits réservés v
v
---------------------- Page: 5 ----------------------
ISO/IEC 29184:2020(F) Formatted: Font: 11 pt, Bold
Font: 11 pt, Bold
Formatted:
Formatted: Space After: 0 pt
5.2.1 Généralités 2
5.2.2 Obligation de fournir une mention 3
5.2.3 Expression appropriée 3
5.2.4 Mention multilingue 3
5.2.5 Moment approprié 4
5.2.6 Emplacements appropriés 4
5.2.7 Forme appropriée 4
5.2.8 Consultation continue 5
5.2.9 Accessibilité 6
5.3 Contenu de la mention 6
5.3.1 Généralités 6
5.3.2 Description des objectifs 6
5.3.3 Présentation de la description des objectifs 6
5.3.4 Identification du responsable de traitement de DCP 7
5.3.5 Collecte des DCP 7
5.3.6 Méthode de collecte 8
5.3.7 Moment et emplacement de la collecte de DCP 8
5.3.8 Méthode d'utilisation 9
5.3.9 Géolocalisation des DCP stockées et juridiction légale applicable 9
5.3.10 Transmission à un tiers 10
5.3.11 Durée de conservation 10
5.3.12 Participation de la personne concernée 11
5.3.13 Requête et réclamation 11
5.3.14 Information concernant l'accès aux choix de consentement effectués 11
5.3.15 Base de traitement 12
5.3.16 Risques 12
5.4 Consentement 13
5.4.1 Généralités 13
5.4.2 Identification de la pertinence du consentement 13
5.4.3 Consentement éclairé et libre 14
5.4.4 Fourniture des informations concernant le compte utilisé par la personne concernée 14
5.4.5 Indépendance par rapport aux autres consentements 15
5.4.6 Consentement distinct pour les éléments de DCP nécessaires et facultatifs 15
Formatted: Font: 11 pt, English (United Kingdom)
5.4.7 Fréquence 16
Formatted: Font: 11 pt, English (United Kingdom)
5.4.8 Moment opportun 16
Formatted: Font: 11 pt, English (United Kingdom)
5.5 Modification des conditions 16 Formatted: Font: 11 pt, English (United Kingdom)
Tab stops: Not at 487.6 pt
5.5.1 Généralités 16 Formatted:
vi © vi ©
ISO/IEC 2020 – Tous droits réservés
---------------------- Page: 6 ----------------------
ISO/IEC 29184:2020(F) Formatted: Left, Space After: 0 pt
Font: 11 pt, Bold
Formatted:
Formatted: Font: 11 pt, Bold
5.5.2 Renouvellement de la mention 16
5.5.3 Renouvellement du consentement 17
Annexe A (informative) Exemple d'interface utilisateur pour l'obtention du consentement d'une
personne concernée sur PC et smartphones 19
Annexe B (informative) Exemple de récépissé de consentement ou d'enregistrement de consentement
(NOTE en 5.4.3) 22
Bibliographie 24
Formatted: Font: 11 pt
Formatted: Font: 11 pt
Font: 11 pt
Formatted:
Font: 11 pt
Formatted:
Formatted: Left, Tab stops: Not at 487.6 pt
Formatted: English (United Kingdom)
© ISO/IEC 2020 – Tous droits réservés vii
vii
---------------------- Page: 7 ----------------------
ISO/IEC 29184:2020(F) Formatted: Font: 11 pt, Bold
Font: 11 pt, Bold
Formatted:
Formatted: Space After: 0 pt
Avant-propos
L'ISO (Organisation internationale de normalisation) et l'IEC (Commission électrotechnique
internationale) forment le système spécialisé de la normalisation mondiale. Les organismes nationaux
membres de l'ISO ou de l'IEC participent au développement de Normes Internationales par
l'intermédiaire des comités techniques créés par l'organisation concernée afin de s'occuper des domaines
particuliers de l'activité technique. Les comités techniques de l'ISO et de l'IEC collaborent dans des
domaines d'intérêt commun. D'autres organisations internationales, gouvernementales et non
gouvernementales, en liaison avec l'ISO et l'IEC participent également aux travaux.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents
critères d'approbation requis pour les différents types de document. Le présent document a été rédigé
conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2
(voir www.iso.org/directiveswww.iso.org/directives).
L'attention est attirée sur le fait que certains des éléments du présent document peuvent faire l'objet de
droits de propriété intellectuelle ou de droits analogues. L'ISO et l'IEC ne sauraient être tenues pour
responsables de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails
concernant les références aux droits de propriété intellectuelle ou autres droits analogues identifiés lors
de l'élaboration du document sont indiqués dans l'Introduction et/ou dans la liste des déclarations de
brevets reçues par l'ISO (voir www.iso.org/brevetswww.iso.org/brevets) ou dans la liste des
déclarations de brevets reçues par l'IEC (voir http://patents.iec.chhttp://patents.iec.ch).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l'intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion
de l'ISO aux principes de l'Organisation mondiale du commerce (OMC) concernant les obstacles
techniques au commerce (OTC), voir le lien suivant: www.iso.org/iso/fr/avant-
proposwww.iso.org/iso/fr/avant-propos.
Le présent document a été élaboré par le comité technique mixte ISO/IEC JTC 1, Technologies de
Commented [eXtyles2]: Invalid reference:
l'information, sous-comité SC 27, Sécurité de l'information, cybersécurité et protection de la vie privée. "ISO/IEC JTC 1"
Formatted: Default Paragraph Font, French (France)
Il convient que l'utilisateur adresse tout retour d'information ou toute question concernant le présent
Formatted: French (France)
document à l'organisme national de normalisation de son pays. Une liste exhaustive desdits organismes
Formatted: Default Paragraph Font, French (France)
se trouve à l'adresse www.iso.org/fr/members.htmlwww.iso.org/fr/members.html.
Formatted: French (France)
Formatted: Font: 11 pt, English (United Kingdom)
Formatted: Font: 11 pt, English (United Kingdom)
Formatted: Font: 11 pt, English (United Kingdom)
Formatted: Font: 11 pt, English (United Kingdom)
Tab stops: Not at 487.6 pt
Formatted:
viii © viii ©
ISO/IEC 2020 – Tous droits réservés
---------------------- Page: 8 ----------------------
ISO/IEC 29184:2020(F) Formatted: Font: 11 pt, Bold
Left, Space After: 0 pt
Formatted:
Formatted: Font: 11 pt, Bold
Introduction
La plus grande disponibilité des infrastructures de communication telles que les connexions domestiques
haut débit et l'internet mondial, l'utilisation croissante des smartphones et d'autres appareils (par
exemple, appareils portables) qui collectent des informations sur les activités des individus, et les
améliorations des capacités de traitement de l'information ont permis une collecte et une analyse
beaucoup plus larges des informations personnelles. Ces améliorations technologiques offrent de
meilleures perspectives en matière de confort de vie des consommateurs, de nouvelles opportunités
commerciales, de services plus attrayants et de valeur ajoutée. D'autre part, les consommateurs sont de
plus en plus soucieux de la protection de leur vie privée et remettent en question l'impact sur celle-ci de
la collecte et de l'utilisation des données à caractère personnel (DCP) par les services en ligne. Cette
critique est souvent due à l'absence d'explication claire sur la manière dont leurs DCP sont traitées,
stockées, conservées et gérées.
Le présent document spécifie les mesures et les informations complémentaires associées destinées aux
organismes pour:
— — fournir une base pour présenter des informations claires et faciles à comprendre aux personnes
dont les DCP sont collectées, sur la manière dont l'organisme traite leurs DCP (par exemple, lors de
la fourniture de services à des consommateurs ou dans le cadre d'une relation de travail); et
— — obtenir le consentement de la part des personnes concernées de manière loyale, démontrable,
transparente, univoque et révocable (rétractable).
Le présent document fournit les détails de la mise en œuvre de deux principes de protection de la vie
privée de l'ISO/IEC 29100 (c'est-à-dire, principe 1: consentement et choix; principe 7: ouverture,
Commented [eXtyles3]: ISO/IEC 29100: current stage is
50.00
transparence et information).
Formatted: Default Paragraph Font, French (France)
Formatted: French (France)
Default Paragraph Font, French (France)
Formatted:
French (France)
Formatted:
Formatted: Font: 11 pt
Formatted: Font: 11 pt
Font: 11 pt
Formatted:
Font: 11 pt
Formatted:
Formatted: Left, Tab stops: Not at 487.6 pt
Formatted: English (United Kingdom)
© ISO/IEC 2020 – Tous droits réservés ix
ix
---------------------- Page: 9 ----------------------
NORME INTERNATIONALE ISO/IEC 29184:2020(F)
Font: 11 pt
Formatted:
Formatted: Space After: 0 pt
Formatted: Main Title 1, Adjust space between Latin
Technologies de l'information — Mentions sur la protection de
and Asian text, Adjust space between Asian text and
numbers
la vie privée et consentement en ligne
Adjust space between Latin and Asian text,
1 Domaine d'application Formatted:
Adjust space between Asian text and numbers, Tab
stops: Not at 21.6 pt
Le présent document spécifie les mesures qui forment le contenu et la structure des mentions sur la
protection de la vie privée en ligne ainsi que le processus de demande du consentement en vue de
Formatted: French (France)
collecter et de traiter les données à caractère personnel (DCP) des personnes concernées.
Adjust space between Latin and Asian text,
Formatted:
Adjust space between Asian text and numbers
Le présent document s'applique à tous les contextes en ligne dans lesquels un responsable de traitement
de DCP ou toute autre entité traitant des DCP informe les personnes concernées du traitement.
2 Références normatives Formatted: Adjust space between Latin and Asian text,
Adjust space between Asian text and numbers, Tab
stops: Not at 21.6 pt
Les documents suivants sont cités dans le texte de sorte qu'ils constituent, pour tout ou partie de leur
contenu, des exigences du présent document. Pour les références datées, seule l'édition citée s'applique.
French (France)
Formatted:
Pour les références non datées, la dernière édition du document de référence s'applique (y compris les
Formatted: Adjust space between Latin and Asian text,
éventuels amendements).
Adjust space between Asian text and numbers
ISO/IEC 29100, Technologies de l’information — Techniques de sécurité — Cadre privé
Formatted
...
ISO/IEC 29100, Technologies de l’information — Techniques de sécurité — Cadre privé
Commented [eXtyles5]: ISO/IEC 29100: current stage is
...
Formatted: French (France)
3 Termes et définitions
Formatted
...
Pour les besoins du présent document, les termes et définitions de l'ISO/IEC 29100 ainsi que les suivants,
Formatted: Default Paragraph Font, French (France)
s'appliquent.
Formatted: French (France)
L'ISO et l'IEC tiennent à jour des bases de données terminologiques destinées à être utilisées en
Formatted: Default Paragraph Font, French (France)
normalisation, consultables aux adresses suivantes:
Formatted: French (France)
— — ISO Online browsing platform: disponible à l'adresse
https://www.iso.org/obphttps://www.iso.org/obp Formatted
...
Formatted: French (France)
— — IEC Electropedia: disponible à l'adresse
Formatted: French (France)
https://www.electropedia.org/https://www.electropedia.org/
Formatted: French (France)
3.1
Formatted: French (France)
consentement explicite
Formatted
accord univoque spécifique et éclairé accordé librement par la personne concernée pour le traitement de
...
ses données à caractère personnel (DCP), exprimé à travers un acte positif indiquant un tel consentement
Formatted
...
de la part de la personne concernée
Formatted
...
Note 1 à l'article: Le consentement explicite est le résultat d'un accord préalable. Formatted: French (France)
Formatted: French (France)
Note 2 à l'article: Le consentement explicite peut également être désigné par «consentement exprès».
French (France)
Formatted:
EXEMPLE Le consentement est obtenu en demandant à la personne concernée de réaliser une action
French (France)
Formatted:
spécifique dans le contexte d'une mention.
Formatted: Font: 11 pt
Formatted: Left
© ISO/IEC 2020 – Tous droits réservés
1
---------------------- Page: 10 ----------------------
ISO/IEC 29184:2020(F) Formatted: Font: Bold
[SOURCE: ISO/IEC 29100:2011, 2.4, modifié – Les mots «exprimé à travers un acte positif indiquant un
tel consentement de la part de la personne concernée» ont été ajoutés.]
3.2
mention
informations concernant le traitement des DCP
Note 1 à l'article: Communiquées aux personnes concernées à travers différents canaux, sous une forme concise,
transparente, compréhensible et facile d'accès, à l'aide d'un langage clair et simple.
3.3
élément de DCP
catégorie de DCP
information de DCP
descripteur d'un type d'information ou d'un ensemble de types d'information
4 Symboles et abréviations
DCP données à caractère personnel Formatted: Table body (+), Adjust space between
Latin and Asian text, Adjust space between Asian text
JSON notation d'objet JavaScript [JavaScript object notation]
and numbers, Tab stops: Not at 48.25 pt
PC ordinateur individuel [personal computer]
Formatted Table
XML langage XML [extensible markup language]
Formatted: Table body (+), Adjust space between
Latin and Asian text, Adjust space between Asian text
and numbers, Tab stops: Not at 48.25 pt
5 Exigences générales et recommandations
French (France)
Formatted:
5.1 Objectif général
Formatted: Table body (+), Adjust space between
Latin and Asian text, Adjust space between Asian text
L'objectif général du présent document est de permettre aux personnes concernées de comprendre et
and numbers, Tab stops: Not at 48.25 pt
d'agir en fonction des implications du traitement des DCP, telles que la probabilité et la gravité de tout
Table body (+), Adjust space between
Formatted:
impact potentiel du traitement, ainsi que des conséquences directes et/ou indirectes du traitement.
Latin and Asian text, Adjust space between Asian text
and numbers, Tab stops: Not at 48.25 pt
Les organismes souhaitant démontrer leur conformité au présent document doivent documenter pour
chaque mesure de l'Article 5:l'Article 5:
a) a) si la mesure s'applique;
b) b) lorsque des raisons peuvent justifier la non-application de la mesure, que la justification est
documentée et validée;
c) c) la manière dont la mise en œuvre de la mesure est vérifiée et validée.
5.2 Mention
5.2.1 Généralités
Objectif: fournir une mention lorsqu'elle est exigée, dans un langage adapté aux personnes concernées, à
un moment qui permet aux personnes concernées d'exercer leur consentement à bon escient, à des
endroits où il est facile pour les personnes concernées de reconnaître les informations, et avec des
références qui fournissent aux personnes concernées un accès à du contenu complémentaire, notamment
des mentions préalables et leurs réponses.
Formatted: Font: 11 pt
© ISO/IEC 2020 – Tous droits réservés
2
2 © ISO/IEC 2020 – Tous droits réservés
----------------
...
FINAL
INTERNATIONAL ISO/IEC
DRAFT
STANDARD FDIS
29184
ISO/IEC JTC 1/SC 27
Information technology — Online
Secretariat: DIN
privacy notices and consent
Voting begins on:
20200318
Technologies de l'information — Déclarations de confidentialité en
ligne et les consentements
Voting terminates on:
20200513
RECIPIENTS OF THIS DRAFT ARE INVITED TO
SUBMIT, WITH THEIR COMMENTS, NOTIFICATION
OF ANY RELEVANT PATENT RIGHTS OF WHICH
THEY ARE AWARE AND TO PROVIDE SUPPOR TING
DOCUMENTATION.
IN ADDITION TO THEIR EVALUATION AS
Reference number
BEING ACCEPTABLE FOR INDUSTRIAL, TECHNO
ISO/IEC FDIS 29184:2020(E)
LOGICAL, COMMERCIAL AND USER PURPOSES,
DRAFT INTERNATIONAL STANDARDS MAY ON
OCCASION HAVE TO BE CONSIDERED IN THE
LIGHT OF THEIR POTENTIAL TO BECOME STAN
DARDS TO WHICH REFERENCE MAY BE MADE IN
©
NATIONAL REGULATIONS. ISO/IEC 2020
---------------------- Page: 1 ----------------------
ISO/IEC FDIS 29184:2020(E)
COPYRIGHT PROTECTED DOCUMENT
© ISO/IEC 2020
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may
be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting
on the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address
below or ISO’s member body in the country of the requester.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH1214 Vernier, Geneva
Phone: +41 22 749 01 11
Fax: +41 22 749 09 47
Email: copyright@iso.org
Website: www.iso.org
Published in Switzerland
ii © ISO/IEC 2020 – All rights reserved
---------------------- Page: 2 ----------------------
ISO/IEC FDIS 29184:2020(E)
Contents Page
Foreword .v
Introduction .vi
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 1
4 Symbols and abbreviated terms . 2
5 General requirements and recommendations . 2
5.1 Overall objective . 2
5.2 Notice . 2
5.2.1 General. 2
5.2.2 Providing notice obligation . 2
5.2.3 Appropriate expression . 3
5.2.4 Multilingual notice . 3
5.2.5 Appropriate timing . 3
5.2.6 Appropriate locations . 4
5.2.7 Appropriate form . 4
5.2.8 Ongoing reference . . . 5
5.2.9 Accessibility . 5
5.3 Contents of notice . 5
5.3.1 General. 5
5.3.2 Purpose description . 5
5.3.3 Presentation of purpose description . 6
5.3.4 Identification of the PII controller . 6
5.3.5 PII collection . 6
5.3.6 Collection method . 7
5.3.7 Timing and location of the PII collection . 7
5.3.8 Method of use . 8
5.3.9 Geolocation of, and legal jurisdiction over, stored PII . 8
5.3.10 Third-party transfer . 8
5.3.11 Retention period . 9
5.3.12 Participation of PII principal . 9
5.3.13 Inquiry and complaint. 9
5.3.14 Information about accessing the choices made for consent .10
5.3.15 Basis for processing .10
5.3.16 Risks .10
5.4 Consent .11
5.4.1 General.11
5.4.2 Identification of whether consent is appropriate .11
5.4.3 Informed and freely given consent .11
5.4.4 Providing the information about which account the PII principal is using .12
5.4.5 Independence from other consent .12
5.4.6 Separate consent to necessary and optional elements of PII .13
5.4.7 Frequency .13
5.4.8 Timeliness.13
5.5 Change of conditions .13
5.5.1 General.13
5.5.2 Renewing notice .14
5.5.3 Renewing consent .14
Annex A (informative) User interface example for obtaining the consent of a PII principal
on PCs and smartphones .16
Annex B (informative) Example of a consent receipt or consent record (NOTE in 5.4.3) .22
© ISO/IEC 2020 – All rights reserved iii
---------------------- Page: 3 ----------------------
ISO/IEC FDIS 29184:2020(E)
Bibliography .25
iv © ISO/IEC 2020 – All rights reserved
---------------------- Page: 4 ----------------------
ISO/IEC FDIS 29184:2020(E)
Foreword
ISO (the International Organization for Standardization) is a worldwide federation of national standards
bodies (ISO member bodies). The work of preparing International Standards is normally carried out
through ISO technical committees. Each member body interested in a subject for which a technical
committee has been established has the right to be represented on that committee. International
organizations, governmental and nongovernmental, in liaison with ISO, also take part in the work.
ISO collaborates closely with the International Electrotechnical Commission (IEC) on all matters of
electrotechnical standardization.
The procedures used to develop this document and those intended for its further maintenance are
described in the ISO/IEC Directives, Part 1. In particular, the different approval criteria needed for the
different types of ISO documents should be noted. This document was drafted in accordance with the
editorial rules of the ISO/IEC Directives, Part 2 (see www .iso .org/ directives).
Attention is drawn to the possibility that some of the elements of this document may be the subject of
patent rights. ISO shall not be held responsible for identifying any or all such patent rights. Details of
any patent rights identified during the development of the document will be in the Introduction and/or
on the ISO list of patent declarations received (see www .iso .org/ patents).
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation of the voluntary nature of standards, the meaning of ISO specific terms and
expressions related to conformity assessment, as well as information about ISO's adherence to the
World Trade Organization (WTO) principles in the Technical Barriers to Trade (TBT), see www .iso .org/
iso/ foreword .html.
This document was prepared by Technical Committee ISO/IEC JTC 1, Information technology,
Subcommittee SC 27, Information security, cybersecurity and privacy protection.
Any feedback or questions on this document should be directed to the user’s national standards body. A
complete listing of these bodies can be found at www .iso .org/ members .html.
© ISO/IEC 2020 – All rights reserved v
---------------------- Page: 5 ----------------------
ISO/IEC FDIS 29184:2020(E)
Introduction
The wider availability of communication infrastructures like home broadband connections and the
global internet, the growth in the use of smartphones and other devices (e.g., wearables) that collect
details of individuals' activities, and improvements in information processing capability have enabled
much wider-ranging collection and analysis of personal information. Such technological improvements
provide a better prospect for more convenient consumer life, new business opportunities, more
attractive services and more added value. On the other hand, consumers are becoming increasingly
"privacy aware” and are questioning the privacy impact of the collection and use of personally
identifiable information (PII) by online services. This criticism is often due to the lack of a clear
explanation of how their PII is processed, stored, maintained and managed.
This document specifies controls and associated additional information for organizations to provide
the basis for presenting clear, easily understood information to individuals whose PII is collected,
about how the organization processes their PII (e.g., when providing services to consumers or under
an employment relationship) and to obtain consent from the PII principals in a fair, demonstrable,
transparent, unambiguous and revocable (withdrawable) manner. This document provides details on
the implementation of two privacy principles from ISO/IEC 29100 (i.e., Principle 1: Consent and choice,
Principle 7: Openness, transparency and notice).
vi © ISO/IEC 2020 – All rights reserved
---------------------- Page: 6 ----------------------
FINAL DRAFT INTERNATIONAL STANDARD ISO/IEC FDIS 29184:2020(E)
Information technology — Online privacy notices and
consent
1 Scope
This document specifies controls which shape the content and the structure of online privacy notices as
well as the process of asking for consent to collect and process personally identifiable information (PII)
from PII principals.
This document is applicable in any online context where a PII controller or any other entity processing
PII informs PII principals of processing.
2 Normative references
The following documents are referred to in the text in such a way that some or all of their content
constitutes requirements of this document. For dated references, only the edition cited applies. For
undated references, the latest edition of the referenced document (including any amendments) applies.
ISO/IEC 29100, Information technology — Security techniques — Privacy framework
3 Terms and definitions
For the purposes of this document, the terms and definitions given in ISO/IEC 29100 and the
following apply.
ISO and IEC maintain terminological databases for use in standardization at the following addresses:
— ISO Online browsing platform: available at https:// www .iso .org/ obp
— IEC Electropedia: available at http:// www .electropedia .org/
3.1
explicit consent
personally identifiable information (PII) principal’s freely given, specific and informed unambiguous
agreement to the processing of their PII exercised through an affirmative act indicating such consent by
the PII principal
Note 1 to entry: Explicit consent is the result of an opt-in.
Note 2 to entry: Explicit consent can also be referred to as express consent.
EXAMPLE Consent is obtained by asking the PII principal to take a specific action in the context of a notice.
[SOURCE: ISO/IEC 29100:2011, 2.4, modified – The words "exercised through an affirmative act
indicating such consent by the PII principal" have been added.]
3.2
notice
information regarding processing of PII
Note 1 to entry: Given to the PII principals through different channels, in a concise, transparent, intelligible and
easily accessible form and using clear and plain language.
© ISO/IEC 2020 – All rights reserved 1
---------------------- Page: 7 ----------------------
ISO/IEC FDIS 29184:2020(E)
3.3
element of PII
category of PII
piece of PII
descriptor for a type of information, or a set of types of information
4 Symbols and abbreviated terms
JSON JavaScript object notation
PC personal computer
PII personally identifiable information
XML extensible markup language
5 General requirements and recommendations
5.1 Overall objective
The overall objective of the standard is to allow PII Principals to understand and act in accordance
with the implications of PII processing, such as the likelihood and severity of any potential impact the
processing can have, as well as the direct and/or intended consequences of the processing.
Organizations that wish to demonstrate compliance with this document shall document for each control
of Clause 5:
a) whether the control applies;
b) when there are reasons that can justify that the control does not apply, that the justification is
documented and validated;
c) how the implementation of the control is verified and validated.
5.2 Notice
5.2.1 General
Objective: To provide notice where it is required, in a language appropriate to PII principals, at a time
that permits PII principals to meaningfully exercise consent, at places where it is easy for PII principals
to recognize, and with references that provide PII principals with access to supplementary material,
including prior notices and their responses.
5.2.2 Providing notice obligation
Control
The organization shall identify situations where providing notice is necessary and shall provide notice
that complies with 5.3 to PII principals whenever it is required.
Additional information
The notice should provide all interested parties, including outsiders to the organization, with the
organization’s privacy practices, as well as other relevant information such as contact details including
the identity and registered address of the PII controller, and contact points from which PII principals
can obtain additional information (see Annex A).
2 © ISO/IEC 2020 – All rights reserved
---------------------- Page: 8 ----------------------
ISO/IEC FDIS 29184:2020(E)
Displaying a visual notice is one way to provide notice. For accessibility, either screen readers for visual
notices or directly audible notices can be appropriate to assist those who are visually impaired. Other
forms of notice can also be appropriate (see 5.2.9).
The organization should provide a notice to PII principals. Notice may be required, among other
situations, when the organization plans to collect new PII (from the PII principal or from another
source) or when it plans to use PII already collected for new purposes.
5.2.3 Appropriate expression
Control
The organization shall provide the notice in a way that is clear and easy to understand for the targeted
PII principals. The notice shall be easily legible and in a concise language that a person without any
legal or technical training can reasonably comprehend.
Additional information
The notice should be drafted taking into account particular categories or types of PII principals (e.g.
disadvantaged societal subgroups).
5.2.4 Multi-lingual notice
Control
The organization shall provide the notice in the language(s) according to the target principal's language
expectations.
Additional information
For example, the organization may present the PII principal with a list of supported languages displayed
in the respective languages and allow the PII principal to choose the language. Displaying the name of
each language in that language is important, as the PII principal may not be able to recognize it if it is
shown in another language.
A web browser has a preference setting for a preferred language, and it may be used for this purpose.
However, it may not be a good idea to solely depend on the browser's language preference since the PII
principal can be using a shared computer.
5.2.5 Appropriate timing
Control
The organization shall determine and document the appropriate timing (e.g. immediately prior to
collecting the PII) for providing notice to the PII principals when the activity in question is relevant to
the privacy interests of the PII principals.
Additional information
When an organization provides a PII principal with a notice and then collects the PII at a later point in
time, including cases in which data are collected from another source, the timing of the notice and the
collection of PII can differ significantly.
The organization should provide notice where the use of PII can have unexpected or significant effects
on PII principals. If an organization intends to collect additional PII, it should provide a further notice.
© ISO/IEC 2020 – All rights reserved 3
---------------------- Page: 9 ----------------------
ISO/IEC FDIS 29184:2020(E)
5.2.6 Appropriate locations
Control
The organization shall provide notices in a manner appropriate to the product or service in question so
that PII principals can find and access the notices electronically and easily, including at online locations.
Additional information
Appropriate online locations can include, but are not limited to, links on the organization's home pages
on its websites or on the landing page, the startup page of mobile apps, online forms or in captive
portals.
In some cases, PII may be processed without prior interaction with the PII principal. From the point of
view of the PII principals, it would actually be quite hard to even find out who is processing their data
and, thus, it does not help to post the privacy notice only on the organization’s website. It is useful to
have a place where a PII principal can go and obtain the privacy notices of such organizations. Thus,
where applicable and feasible, the organization should consider using a publicly accessible common
repository where stakeholders can easily find and access the relevant notices.
5.2.7 Appropriate form
Control
The organization shall determine how the notice is provided and made accessible with respect to the
timing of processing.
Additional information
The organization may implement the control using different techniques: layered notices, dashboards,
just-in-time notices and icons, and may provide notices in a machine-readable format so that the
software which is presenting it to the PII principal can parse it to optimize the user interface and help
PII principals make decisions.
If the organization implements the control using a layered notice, the first layer should detail anything
unexpected or things that can significantly impact a PII principal, with that impact determined in the
assessment described in 5.3.3. The other layers should provide notice of all collection and/or processing
activities in order to give the PII principal detailed information of these activities.
Organizations should display the first layer of each notice such that PII principals are able to read it
as quickly as possible. It should not span more than a few screens. Given the volume constraints, it
may not be possible to display all the contents on one screen. In that case, organizations should display
the summary first. In the context of mobile devices and smartphones, for better readability, it would
be useful to introduce a “multilayer approach” to notice and consent, showing a short text, with key
information and with a link to the “full text” notice/consent.
When organizations display elements of PII to be collected, they should display them by groups with
those having the highest potential privacy impact being listed first so that PII principals can clearly
recognize the differences.
Organizations should make content, including relevant information omitted from the first or subsequent
screens, available for reference by PII principals if they wish.
NOTE In the case of online notification, pop-ups and drill-downs can be used to display content. PII
principals can have difficulty in reading a large amount of terms and conditions in a contract, especially when
they are about to take a certain action.
Machine-readable notices may be provided in a standardized XML or JSON format. By doing so, it
becomes possible for devices to select items appropriately and display graphics and icons where
applicable. However, organizations need to note that the PII principal’s interpretation of graphical
4 © ISO/IEC 2020 – All rights reserved
---------------------- Page: 10 ----------------------
ISO/IEC FDIS 29184:2020(E)
representation can differ significantly depending on cultural backgrounds. Guidance for the region or
culture in question may be created in order to prevent PII principals from getting confused.
5.2.8 Ongoing reference
Control
The organization shall keep and make available the version of the notice presented when the PII
principal gave consent, as well as the most recent relevant version for easy reference by that PII
principal.
Additional information
Versions of notices should be retained for as long as they are associated with retained PII.
5.2.9 Accessibility
Control
The organization shall provide a notice in an accessible manner that is appropriate to the technologies
underlying the online service.
Additional information
Particularly in cases where individuals with accessibility issues are expected to access notices, the
notices should enable them to understand the content of the notices. This can involve the need to ensure
that the text of the notice can be converted to sound for those individuals with visual issues.
Guidelines such as ISO/IEC 40500 help in designing accessibility.
5.3 Contents of notice
5.3.1 General
Objective: To ensure that the PII principal has sufficient information within the notice to understand
how the PII is being processed and what rights the PII principal has.
5.3.2 Purpose description
Control
The organization shall ensure that the notice includes information about the purpose(s) for which the
PII will be processed.
Additional information
It is important for PII principals to understand the purposes for the processing of the PII collected so
that they can provide meaningful consent. For brevity of the notice, a name or short phrase for each
purpose may be used, but it should be possible (e.g. via a hyperlink) to associate that name or phrase
with an overview of the purpose sufficient for PII principals to provide meaningful consent.
Care needs to be taken when drafting notices, as the inclusion of too much detail can result in the need
to reissue them at frequent intervals.
© ISO/IEC 2020 – All rights reserved 5
---------------------- Page: 11 ----------------------
ISO/IEC FDIS 29184:2020(E)
5.3.3 Presentation of purpose description
Control
The organization shall specify the purposes related to the collection of each element of PII and
appropriate information about the plausible risk of the processing, in an order according to the general
assessment of the risk.
NOTE The impact and risk are necessarily obvious.
Additional information
The organization explains how PII will be used in a manner that allows the PII principal to clearly
and readily understand the purpose. If the purpose of the use varies among the elements of PII being
collected, the organization should clearly mark which purpose applies to which element of PII.
5.3.4 Identification of the PII controller
Control
The organization shall provide the PII principal with the relevant information (e.g. the identity and
contact details) about the PII controller.
Additional information
Identification of the PII controller is typically by company name, but can also involve the displaying of
company number, head office/operational address and (if appropriate) departmental information.
5.3.5 PII collection
Control
The organization shall provide information that allows PII principals to understand what elements of
PII are being collected, even where the collection of the particular elements of PII is obvious.
Additional information
In addition to using generic language such as “We collect your personal information,” where appropriate
based on the impact determined in the assessment described in 5.3.3, the organization should provide
the list of specific elements of PII that are collected (e.g., “We collect your name, address, and telephone
number.”) even if it is obvious what the collected information is.
...
Questions, Comments and Discussion
Ask us and Technical Secretary will try to provide an answer. You can facilitate discussion about the standard in here.