ISO/IEC 29151:2017

Information technology - Security techniques - Code of practice for personally identifiable information protection

ISO/IEC 29151:2017 establishes control objectives, controls and guidelines for implementing controls, to meet the requirements identified by a risk and impact assessment related to the protection of personally identifiable information (PII). In particular, this Recommendation | International Standard specifies guidelines based on ISO/IEC 27002, taking into consideration the requirements for processing PII that may be applicable within the context of an organization's information security risk environment(s). ISO/IEC 29151:2017 is applicable to all types and sizes of organizations acting as PII controllers (as defined in ISO/IEC 29100), including public and private companies, government entities and not-for-profit organizations that process PII.

Technologies de l'information — Techniques de sécurité — Code de bonne pratique pour la protection des données à caractère personnel

La présente Recommandation | Norme internationale établit des objectifs de mesure de sécurité, des mesures de sécurité et des lignes directrices pour la mise en œuvre des mesures de sécurité, afin de satisfaire aux exigences identifiées par une appréciation du risque et de l'impact liée à la protection des données à caractère personnel. En particulier, la présente Recommandation | Norme internationale spécifie des lignes directrices basées sur l'ISO/IEC 27002, en tenant compte des exigences relatives au traitement des DCP qui peuvent être applicables dans le contexte du ou des environnements de risques de sécurité de l'information d'une organisation. La présente Recommandation | Norme internationale s'applique à tous les types et toutes les tailles d'organisations agissant en tant que responsable de traitement de DCP (tel que défini dans l'ISO/IEC 29100), y compris les entreprises publiques et privées, les entités gouvernementales et les organisations à but non lucratif qui traitent des DCP.

General Information

• Status: Published
• Publication Date: 17-Aug-2017
• ICS: 35.030 - IT Security
• ICS: 35.040 - Information coding
• Technical Committee: ISO/IEC JTC 1/SC 27 - Information security, cybersecurity and privacy protection
• Drafting Committee: ISO/IEC JTC 1/SC 27/WG 5 - Identity management and privacy technologies
• Current Stage: 9092 - International Standard to be revised
• Start Date: 27-Oct-2023
• Completion Date: 30-Oct-2025

Relations

• Revised: ISO/IEC FDIS 29151 - Information security, cybersecurity and privacy protection - Controls, requirements, and guidance for personally identifiable information protection
• Effective Date: 28-Oct-2023

Overview

ISO/IEC 29151:2017 - "Information technology - Security techniques - Code of practice for personally identifiable information protection" - provides a practical code of practice for protecting personally identifiable information (PII). It establishes control objectives, specific controls, and implementation guidelines to address risks and impacts identified through a risk and impact assessment. Built on the guidance of ISO/IEC 27002, ISO/IEC 29151 adapts information security controls to the special requirements of PII processing and is applicable to all types and sizes of organizations acting as PII controllers (public, private, government and not-for-profit).

Key topics and technical requirements

ISO/IEC 29151 organizes guidance in a structure that mirrors ISO/IEC 27002 and covers core information security domains (clauses 5–18), including:

• Information security policies and management direction
• Organization of information security, mobile devices and teleworking
• Human resource security (prior to, during, and after employment)
• Asset management, classification and media handling
• Access control (user management, system and application access)
• Cryptographic controls
• Physical and environmental security
• Operations security (backup, malware protection, logging, vulnerability management)
• Communications security and information transfer
• System acquisition, development and maintenance
• Supplier relationships and service delivery management
• Incident management, business continuity and compliance

The standard includes a normative Annex A: an extended control set specific to PII protection. These PII controls are aligned with ISO/IEC 29100 privacy principles and cover 12 categories such as:

• Consent and choice
• Purpose legitimacy and specification
• Collection limitation and data minimization
• Use, retention and disclosure limitation
• Accuracy, openness/transparency and notice
• Individual participation/access, accountability, and privacy compliance

Controls are selected and tailored based on an organization’s information security risk environment and privacy risk assessments.

Practical applications - who uses ISO/IEC 29151

ISO/IEC 29151 is used by organizations that collect, store or process personal data and need to:

• Strengthen privacy-by-design and PII protection practices
• Align information security controls with privacy requirements
• Develop or refine policies, procedures and technical safeguards for PII
• Demonstrate due diligence and privacy compliance to stakeholders and regulators

Typical users include corporate security and privacy teams, IT managers, compliance officers, auditors, and third-party suppliers supporting PII controllers.

Related standards

• ISO/IEC 27001 / 27002 - information security management and control guidance (foundation)
• ISO/IEC 27018 - PII protection for cloud service processors
• ISO/IEC 29100 - privacy framework and PII terminology
• ISO/IEC 29134 - privacy impact assessment guidance

ISO/IEC 29151 bridges information security and privacy practice by adapting ISO/IEC 27002 controls for PII protection, making it a practical, risk-based code of practice for protecting personal data.

Standards Content (Sample)

INTERNATIONAL ISO/IEC
STANDARD 29151
First edition
2017-08
Information technology — Security
techniques — Code of practice for
personally identifiable information
protection
Technologies de l'information — Techniques de sécurité — Code de
bonne pratique pour la protection des données à caractère personnel
Reference number
©
ISO/IEC 2017
© ISO/IEC 2017, Published in Switzerland
All rights reserved. Unless otherwise specified, no part of this publication may be reproduced or utilized otherwise in any form
or by any means, electronic or mechanical, including photocopying, or posting on the internet or an intranet, without prior
written permission. Permission can be requested from either ISO at the address below or ISO’s member body in the country of
the requester.
ISO copyright office
Ch. de Blandonnet 8 • CP 401
CH-1214 Vernier, Geneva, Switzerland
Tel. [phone]
Fax [phone]
[e-mail]
www.iso.org
ii © ISO/IEC 2017 – All rights reserved

CONTENTS
Page
1 Scope . 1
2 Normative references. 1
3 Definitions and abbreviated terms . 1
3.1 Definitions . 1
3.2 Abbreviated terms . 1
4 Overview . 2
4.1 Objective for the protection of PII . 2
4.2 Requirement for the protection of PII . 2
4.3 Controls . 2
4.4 Selecting controls . 2
4.5 Developing organization specific guidelines . 3
4.6 Life cycle considerations . 3
4.7 Structure of this Specification . 3
5 Information security policies . 4
5.1 Management directions for information security . 4
6 Organization of information security. 4
6.1 Internal organization . 4
6.2 Mobile devices and teleworking . 5
7 Human resource security . 6
7.1 Prior to employment . 6
7.2 During employment . 6
7.3 Termination and change of employment . 6
8 Asset management . 7
8.1 Responsibility for assets . 7
8.2 Information classification . 7
8.3 Media handling . 8
9 Access control . 9
9.1 Business requirement of access control . 9
9.2 User access management . 9
9.3 User responsibilities . 10
9.4 System and application access control . 10
10 Cryptography . 11
10.1 Cryptographic controls . 11
11 Physical and environmental security . 11
11.1 Secure areas . 11
11.2 Equipment . 12
12 Operations security . 12
12.1 Operational procedures and responsibilities . 12
12.2 Protection from malware . 13
12.3 Backup . 13
12.4 Logging and monitoring . 13
12.5 Control of operational software . 14
12.6 Technical vulnerability management . 14
12.7 Information systems audit considerations . 14
13 Communications security . 15
13.1 Network security management . 15
13.2 Information transfer. 15
14 System acquisition, development and maintenance . 15
14.1 Security requirements of information systems . 15
14.2 Security in development and support processes . 16
Rec. ITU-T X.1058 (03/2017) iii

Page
14.3 Test data . 16
15 Supplier relationships . 17
15.1 Information security in supplier relationships . 17
15.2 Supplier service delivery management . 18
16 Information security incident management . 18
16.1 Management of information security incidents and improvements. 18
17 Information security aspects of business continuity management . 19
17.1 Information security continuity . 19
17.2 Redundancies . 19
18 Compliance . 20
18.1 Compliance with legal and contractual requirements . 20
18.2 Information security reviews . 21
Annex A – Extended control set for PII protection (This annex forms an integral part of this
Recommendation | International Standard.) . 22
A.1 General . 22
A.2 General policies for the use and protection of PII . 22
A.3 Consent and choice . 22
A.4 Purpose legitimacy and specification . 24
A.5 Collection limitation . 26
A.6 Data minimization . 26
A.7 Use, retention and disclosure limitation . 27
A.8 Accuracy and quality . 30
A.9 Openness, transparency and notice . 31
A.10 PII principal participation and access . 32
A.11 Accountability . 34
A.12 Information security . 37
A.13 Privacy compliance . 37
Bibliography . 39
iv Rec. ITU-T X.1058 (03/2017)

Foreword
ISO (the International Organization for Standardization) and IEC (the International Electrotechnical
Commission) form the specialized system for worldwide standardization. National bodies that are
members of ISO or IEC participate in the development of International Standards through technical
committees established by the respective organization to deal with particular fields of technical activity.
ISO and IEC technical committees collaborate in fields of mutual interest. Other international
organizations, governmental and non-governmental, in liaison with ISO and IEC, also take part in the
work. In the field of information technology, ISO and IEC have established a joint technical committee,
ISO/IEC JTC 1.
The procedures used to develop this document and those intended for its further maintenance are
described in the ISO/IEC Directives, Part 1. In particular the different approval criteria needed for the
different types of document should be noted. This document was drafted in accordance with the
editorial rules of the ISO/IEC Directives, Part 2 (see www.iso.org/directives).
Attention is drawn to the possibility that some of the elements of this document may be the subject of
patent rights. ISO and IEC shall not be held responsible for identifying any or all such patent
rights. Details of any patent rights identified during the development of the document will be in the
Introduction and/or on the ISO list of patent declarations received (see www.iso.org/patents).
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation on the voluntary nature of standards, the meaning of ISO specific terms and
expressions related to conformity assessment, as well as information about ISO's adherence to the
World Trade Organization (WTO) principles in the Technical Barriers to Trade (TBT) see the following
URL: www.iso.org/iso/foreword.html.
The committee responsible for this document is ISO/IEC JTC 1, Information technology, SC 27, IT Security
techniques, in collaboration with ITU-T. The identical text is published as ITU-T Recommendation
X.1058.
v
Introduction
The number of organizations processing personally identifiable information (PII) is increasing, as is the amount of PII
that these organizations deal with. At the same time, societal expectations for the protection of PII and the security of data
relating to individuals are also increasing. A number of countries are augmenting their laws to address the increased
number of high profile data breaches.
As the number of PII breaches increases, organizations collecting or processing PII will increasingly need guidance on
how they should protect PII in order to reduce the risk of privacy breaches occurring, and to reduce the impact of breaches
on the organization and on the individuals concerned. This Specification provides such guidance.
This Specification offers guidance for PII controllers on a broad range of information security and PII protection controls
that are commonly applied in many different organizations that deal with protection of PII. The remaining parts of the
family of ISO/IEC standards, listed here, provide guidance or requirements on other aspects of the overall process of
protecting PII:
 ISO/IEC 27001 specifies an information security management process and associated requirements, which could
be used as a basis for the protection of PII.
 ISO/IEC 27002 gives guidelines for organizational information security standards and information security
management practices including the selection, implementation and management of controls, taking into
consideration the organization's information security risk environment(s).
 ISO/IEC 27009 specifies the requirements for the use of ISO/IEC 27001 in any specific sector (field, application
area or market sector). It explains how to include requirements additional to those in ISO/IEC 27001, how to
refine any of the ISO/IEC 27001 requirements, and how to include controls or control sets in addition to Annex
A of ISO/IEC 27001.
 ISO/IEC 27018 offers guidance to organizations acting as PII processors when offering processing capabilities
as cloud services.
 ISO/IEC 29134 provides guidelines for identifying, analysing, and assessing privacy risks, while ISO/IEC 27001
together with ISO/IEC 27005 provides a methodology for identifying, analysing, and assessing security risks.
Controls should be chosen based on the risks identified as a result of a risk analysis to develop a comprehensive, consistent
system of controls. Controls should be adapted to the context of the particular processing of PII.
This Specification contains two parts: 1) the main body consisting of clauses 1 to 18, and 2) a normative annex. This
structure reflects normal practice for the development of sector-specific extensions to ISO/IEC 27002.
The structure of the main body of this Specification, including the clause titles, reflects the main body of ISO/IEC 27002.
The introduction and clauses 1 to 4 provide background on the use of this Specification. Headings for clauses 5 to 18
mirror those of ISO/IEC 27002, reflecting the fact that this Specification builds on the guidance in ISO/IEC 27002, adding
new controls specific to the protection of PII. Many of the controls in ISO/IEC 27002 need no amplification in the context
of PII controllers. However, in some cases, additional implementation guidance is needed, and this is given under the
appropriate heading (and clause number) from ISO/IEC 27002.
The normative annex contains an extended set of PII protection-specific controls that supplement those given in ISO/IEC
27002. These new PII protection controls, with their associated guidance, are divided into 12 categories, corresponding
to the privacy policy and the 11 privacy principles of ISO/IEC 29100:
 consent and choice;
 purpose, legitimacy and specification;
 collection limitation;
 data minimization;
 use, retention and disclosure limitation;
 accuracy and quality;
 openness, transparency and notice;
 individual participation and access;
 accountability;
 information security; and
 privacy compliance.
Figure 1 describes the relationship between this Specification and the family of ISO/IEC standards.
vi
Rec. ITU-T X.1058 (03/2017)
Figure 1  The relationship of this Specification and the family of ISO/IEC standards
This Specification includes guidelines based on ISO/IEC 27002, and adapts these as necessary to address the privacy
safeguarding requirements that arise from the processing of PII:
a) In different processing domains such as:
 public cloud services,
 social networking applications,
 internet-connected devices in the home,
 search, analysis,
 targeting of PII for advertising and similar purposes,
 big data analytics programmes,
 employment processing,
 business management in sales and service (enterprise resource planning, customer relationship
management);
b) In different locations such as:
 on a personal processing platform provided to an individual (e.g., smart cards, smart phones and
their apps, smart meters, wearable devices),
 within data transportation and collection networks (e.g., where mobile phone location data is
created operationally by network processing, which may be considered PII in some jurisdictions),
 within an organization's own processing infrastructure,
 on a third party's processing platform;
c) For the collection characteristic such as:
 one-time data collection (e.g., on registering for a service),
 ongoing data collection (e.g., frequent health parameter monitoring by sensors on or in an
individual's body, multiple data collections using contactless payment cards for payment, smart
meter data collection systems, and so on).
NOTE – Ongoing data collection can contain or yield behavioural, locational and other types of PII. In such cases, the use of
PII protection controls that allow access and collection to be managed based on consent and that allow the PII principal to exercise
appropriate control over such access and collection, need to be considered.
Rec. ITU-T X.1058 (03/2017)
vii
INTERNATIONAL STANDARD
ITU-T RECOMMENDATION
Information technology – Security techniques – Code of practice for personally
identifiable information protection
1 Scope
This Recommendation | International Standard establishes control objectives, controls and guidelines for implementing
controls, to meet the requirements identified by a risk and impact assessment related to the protection of personally
identifiable information (PII).
In particular, this Recommendation | International Standard specifies guidelines based on ISO/IEC 27002, taking into
consideration the requirements for processing PII that may be applicable within the context of an organization's
information security risk environment(s).
This Recommendation | International Standard is applicable to all types and sizes of organizations acting as PII controllers
(as defined in ISO/IEC 29100), including public and private companies, government entities and not-for-profit
organizations that process PII.
2 Normative references
The following Recommendations and International Standards contain provisions which, through reference in this text,
constitute provisions of this Recommendation | International Standard. At the time of publication, the editions indicated
were valid. All Recommendations and Standards are subject to revision, and parties to agreements based on this
Recommendation | International Standard are encouraged to investigate the possibility of applying the most recent edition
of the Recommendations and Standards listed below. Members of IEC and ISO maintain registers of currently valid
International Standards. The Telecommunication Standardization Bureau of the ITU maintains a list of currently valid
ITU-T Recommendations.
– ISO/IEC 27002:2013, Information technology – Security techniques – Code of practice for information
security controls.
– ISO/IEC 29100:2011, Information technology – Security techniques – Privacy framework.
3 Definitions and abbreviated terms
3.1 Definitions
For the purposes of this Recommendation | International Standard, the terms and definitions that are given in
ISO/IEC 27000:2016, ISO/IEC 29100 and the following apply.
The ISO Online browsing platform, IEC Electropedia and ITU Terms and definitions are terminological databases for
use in standardization.
3.1.1 chief privacy officer (CPO): Senior management individual who is accountable for the protection of personally
identifiable information (PII) in an organization.
3.1.2 de-identification process: Process of removing the association between a set of identifying data and the data
principal, using de-identification techniques.
3.2 Abbreviated terms
For the purposes of this Specification, the following abbreviations apply.
BCR Binding Corporate Rule
CCTV Closed-Circuit Television
CPO Chief Privacy Officer
PBD Privacy By Design
PDA Personal Digital Assistant
PET Privacy Enhancing Technology
Rec. ITU-T X.1058 (03/2017) 1
PIA Privacy Impact Assessment
PII Personally Identifiable Information
RFID Radio Frequency Identification
USB Universal Serial Bus
4 Overview
4.1 Objective for the protection of PII
This Specification provides a set of controls for PII protection. The objective of the protection of PII is to enable
organizations to put in place a set of controls as part of their overall PII protection programme. They can be used in a
framework for maintaining and improving compliance with privacy-related laws and regulations, managing privacy risks
and meeting the expectations of PII principals, regulators or clients, in accordance with the privacy principles described
in ISO/IEC 29100.
4.2 Requirement for the protection of PII
An organization should identify its PII protection requirements. The privacy principles in ISO/IEC 29100 apply to the
identification of requirements. There are three main sources of PII protection requirements:
– legal, statutory, regulatory and contractual requirements related to protection of PII including, for example,
PII requirements that an organization, its trading partners, contractors and service providers have to comply
with;
– assessment of risks (i.e., security risks and privacy risks) to the organization and the PII principal, taking
into account the organization’s overall business strategy and objectives, through a risk assessment;
– corporate policies: an organization may also choose voluntarily to go beyond the criteria that are derived
from previous requirements.
Organizations should also consider the principles (i.e., privacy principles defined in ISO/IEC 29100), objectives and
business requirements for processing PII that have been developed to support their operations.
PII protection controls (including security controls) should be selected on the basis of a risk assessment. The results of a
privacy impact assessment (PIA), e.g., as specified in ISO/IEC 29134, will help to guide and determine the appropriate
treatment action and priorities for managing risks to the protection of PII and for implementing controls selected to protect
against these risks.
A PIA specification such as that in ISO/IEC 29134 may provide PIA guidance, including advice on risk assessment, risk
treatment plan, risk acceptance and risk review.
4.3 Controls
A privacy risk assessment can assist organizations in identifying the specific risks of privacy breaches resulting from
unlawful processing or of cutting the rights of the PII principal involved in an envisaged operation. Organizations should
identify and implement controls to treat the risks identified by the risk impact process. The controls and treatments should
then be documented, ideally separately in a separate risk register. Certain types of PII processing can warrant specific
controls for which the need only becomes apparent once an envisaged operation has been carefully analysed.
4.4 Selecting controls
Controls can be selected from this Specification (which includes by reference the controls from ISO/IEC 27002, creating
a combined reference control set). If required, controls can also be selected from other control sets or new controls can
be designed to meet specific needs, as appropriate.
The selection of controls is dependent upon organizational decisions based on the criteria for risk treatment options and
the general risk management approach, applied to the organization and, through contractual agreements, to its customers
and suppliers, and should also be subject to all applicable national and international legislation and regulations.
The selection and implementation of controls is also dependent upon the organization's role in the provision of
infrastructure or services. Many different organizations may be involved in providing infrastructure or services. In some
circumstances, selected controls may be unique to a particular organization. In other instances, there may be shared roles
in implementing controls. Contractual agreements should clearly specify the PII protection responsibilities of all
organizations involved in providing or using the services.
2 Rec. ITU-T X.1058 (03/2017)
The controls in this Specification can be used as reference for organizations that process PII, and are intended to be
applicable for all organizations acting as PII controllers. Organizations acting as PII processors should do so, in
accordance with the instructions of the PII controller. PII controllers should ensure that their PII processors are able to
implement all the necessary controls included in their PII processing agreement, in accordance with the purpose of PII
processing. PII controllers using cloud services as PII processors may review ISO/IEC 27018 to identify relevant controls
to implement.
The controls in this Specification are explained in more detail in clauses 5 to 18, along with implementation guidance.
Implementation may be made simpler if requirements for the protection of PII have been considered in the design of the
organization's information system, services and operations. Such consideration is an element of the concept that is often
called privacy by design (PBD). More information about selecting controls and other risk treatment options can be found
in ISO/IEC 29134. Other relevant references are listed in the bibliography.
4.5 Developing organization specific guidelines
This Specification can be regarded as a starting point for developing organization specific guidelines. Not all of the
controls and guidance in this Specification are applicable to all organizations.
Furthermore, additional controls and guidelines not included in this Specification may be required. When documents are
developed containing additional guidelines or controls, it may be useful to include cross-references to clauses in this
Specification, where applicable, to facilitate compliance checking by auditors and business partners.
4.6 Life cycle considerations
PII has a natural life cycle, from creation or origination, collection, through storage, use and transfer to its eventual
disposal (e.g., secure destruction). The value of, and risks to, PII may vary during its life cycle, but protection of PII
remains important to some extent at all stages and in all contexts of its life cycle.
Information systems also have life cycles within which they are conceived, specified, designed, developed, tested,
implemented, used, maintained, and eventually retired from service and disposed of. PII protection should also be taken
into account at each of these stages. New system developments and changes to existing systems present opportunities for
organizations to update and improve security controls as well as controls for the protection of PII, taking actual incidents,
and current and projected information security and privacy risks into account.
4.7 Structure of this Specification
The remainder of this Specification contains two main normative parts.
The first part of this Specification, made up of clauses 5 to 18, contains additional implementation guidance and other
information for certain relevant existing controls described in ISO/IEC 27002. The format for this part uses the relevant
clause headings and numbering from ISO/IEC 27002 to allow cross-reference to that International Standard.
The second part contains a specific control set for PII protection specified in Annex A. It uses the same format as
ISO/IEC 27002, which specifies control objectives (text within a box) followed by one or more controls that can be
applied. Control descriptions are structured as follows.
Control
Text under this heading defines the specific control statement to fulfil the control objective.
Implementation guidance for the protection of PII
Text under this heading provides more detailed information to support the implementation of the control and meeting the
control objectives. The guidance provided in this Specification may not be entirely suitable or sufficient in all situations
and may not fulfil the organization's specific control requirements. Alternative or additional controls, or other forms of
risk treatment (avoiding or transferring risks), may therefore be appropriate.
Other information for the protection of PII
Text under this heading provides further information that may need to be considered, such as legal considerations and
references to other standards.
Rec. ITU-T X.1058 (03/2017) 3
5 Information security policies
5.1 Management directions for information security
5.1.1 Introduction
The objective specified in 5.1 of ISO/IEC 27002:2013 applies.
5.1.2 Policies for information security
Control 5.1.1 and the associated implementation guidance and other information specified in ISO/IEC 27002 apply.
The following additional guidance also applies.
Implementation guidance for the protection of PII
The information security policies should include appropriate statements of security measures for the protection of PII.
The details about the protection of PII are available in 18.1.4 of ISO/IEC 27002:2013.
When designing, implementing and reviewing information security policy, organizations should consider privacy
safeguarding requirements described in ISO/IEC 29100.
Organizations should specify the elements of PII protection not related to security as a separate privacy policy. See the
guidance in clause A.2.
5.1.3 Review of the policies for information security
Control 5.1.2 and the associated implementation guidance specified in ISO/IEC 27002 apply.
6 Organization of information security
6.1 Internal organization
6.1.1 Introduction
The objective specified in 6.1 of ISO/IEC 27002 applies.
6.1.2 Information security roles and responsibilities
Control 6.1.1 and the associated implementation guidance and other information specified in ISO/IEC 27002 apply.
The following additional guidance also applies.
Implementation guidance for the protection of PII
Roles and responsibilities for the protection of PII need to be clearly defined, properly documented and appropriately
communicated. Specifically:
a) a clearly identified senior individual [sometimes referred to as the chief privacy officer (CPO)] within the
organization should be allocated the accountability for PII protection;
b) a clearly identified individual or individuals (i.e., PII protection function) should be assigned responsibility
for coordinating with the information security functions within the organization; and
c) all individuals that are involved with the processing of PII (including users and support staff) should have
appropriate PII protection requirements included in their job specifications.
The established PII protection function should work closely with other functions processing PII, the information security
function, which implements security requirements that include ones arising from PII protection laws, as well as the legal
function, which assists in interpreting laws, regulations and contract terms, and in handling data breaches.
The organization should examine the need for and establish, as appropriate, a cross-functional council or committee
comprising senior members from functions that process PII. Protection of PII being a multi-disciplinary function, such a
group can help proactively identify opportunities for improvements, identifying new risks and areas for conducting PIAs,
planning preventive actions, detection and reaction measures for any breaches, etc. It is recommended that such a group
should meet periodically and be chaired by the person responsible for PII protection as identified in a).
The PII controller should require its PII processor(s) to designate a point of contact to address questions regarding the
processing of PII under the PII processing contract.
4 Rec. ITU-T X.1058 (03/2017)
Individuals responsible for PII protection functions should report to a CPO in order to ensure they have sufficient authority
to fulfil their responsibilities.
6.1.3 Segregation of duties
Control 6.1.2 and the associated implementation guidance specified in ISO/IEC 27002 apply. The following additional
guidance also applies.
Implementation guidance for the protection of PII
Duties and area of responsibilities for PII protection should be independent of those for information security.
While recognizing the importance of information security for the protection of PII, it is important that duties and area of
responsibilities of the security and PII protection be as independent of each other as possible. If necessary or helpful, in
the interest of PII protection, coordination and cooperation of those responsible for information security and for
PII protection should be facilitated.
Organizations should adopt the principle of segregation of duties when assigning access rights for PII processing,
especially any processing identified as high risk.
Access to PII being processed and access to log files concerning that processing should be separate duties.
Access to information concerning the collection of PII in order to respond to requests from PII principals should be
segregated from all other forms of access to PII. Access should be limited to those whose duties include responding to
PII principal requests.
6.1.4 Contact with authorities
Control 6.1.3 and the associated implementation guidance and other information specified in ISO/IEC 27002 apply.
The following additional guidance also applies.
Implementation guidance for the protection of PII
Where applicable, organizations should have procedures in place that specify when and by whom authorities
(including data protection authorities) should be contacted, e.g., to report privacy breaches or to report processing details.
6.1.5 Contact with special interest groups
Control 6.1.4 and the associated implementation guidance and other information specified in ISO/IEC 27002 apply.
6.1.6 Information security in project management
Control 6.1.5 and the associated implementation guidance and other information specified in ISO/IEC 27002 apply.
The following additional guidance also applies.
Implementation guidance for the protection of PII
Any new project initiation should trigger at least a threshold analysis to determine whether a PIA needs to be conducted.
Note that the term project covers all incidents where an organization implements or modifies new or existing technology,
product, service, programme, information system, process or project.
Further guidance can be found in the PIA specified in ISO/IEC 29134.
6.2 Mobile devices and teleworking
6.2.1 Introduction
The objective specified in 6.2 of ISO/IEC 27002:2013 applies.
6.2.2 Mobile device policy
Control 6.2.1 and the associated implementation guidance and other information specified in ISO/IEC 27002 apply.
The following additional guidance also applies.
Implementation guidance for the protection of PII
Organizations should strictly limit access to PII from portable and mobile devices, such as laptops, mobile phones,
universal serial bus (USB) devices, and personal digital assistants (PDAs) that may generally be exposed to higher risk
than non-portable devices (e.g., desktop computers at the organization's facilities), depending on the risk assessment.
Organizations should strictly limit remote access to PII and in cases where remote access is unavoidable, ensure that the
communications for remote access are encrypted, message authenticated and integrity protected.
Rec. ITU-T X.1058 (03/2017) 5
6.2.3 Teleworking
Control 6.2.2 and the associated implementation guidance and other information specified in ISO/IEC 27002 apply.
7 Human resource security
7.1 Prior to employment
7.1.1 Introduction
The objective specified in 7.1 of ISO/IEC 27002:2013 applies.
7.1.2 Screening
Control 7.1.1 and the associated implementation guidance and other information specified in ISO/IEC 27002 apply.
7.1.3 Terms and conditions of employment
Control 7.1.2 and the associated implementation guidance and other information specified in ISO/IEC 27002 apply.
7.2 During employment
7.2.1 Introduction
The objective specified in 7.2 of ISO/IEC 27002:2013 applies.
7.2.2 Management responsibilities
Control 7.2.1 and the associated implementation guidance and other information specified in ISO/IEC 27002 apply.
7.2.3 Information security awareness, education and training
Control 7.2.2 and the associated implementation guidance and other information specified in ISO/IEC 27002 apply.
The following additional guidance also applies.
Implementation guidance for the protection of PII
Measures should be put in place to make relevant staff aware of the possible consequences for the PII controller (e.g.,
legal consequences, loss of business, or brand or reputational damage), for the staff member (e.g., disciplinary
consequences) and for the PII principal (e.g., physical, material and emotional consequences) of breaching privacy or
security rules and procedures, especially those addressing the processing of PII.
Just as with information security awareness, education and training, organizations should provide for the appropriate
training, education and awareness regarding the protection and the processing of PII.
7.2.4 Disciplinary process
Control 7.2.3 and the associated implementation guidance and other information specified in ISO/IEC 27002 apply.
The following additional guidance also applies.
Implementation guidance for the protection of PII
Organizations should establish a formal disciplinary policy. This policy in case of privacy breaches should be clearly
communicated to affected individuals. Organizations should enforce this policy in all cases of privacy breaches.
7.3 Termination and change of employment
7.3.1 Introduction
The objective specified in 7.3 of ISO/IEC 27002:2013 applies.
7.3.2 Termination or change of employment responsibilities
Control 7.3.1 and the associated implementation guidance and other information specified in ISO/IEC 27002 apply.
6 Rec. ITU-T X.1058 (03/2017)
8 Asset management
8.1 Responsibility for assets
8.1.1 Introduction
The objective specified in 8.1 of ISO/IEC 27002:2013 applies.
8.1.2 Inventory of assets
Control 8.1.1 and the associated implementation guidance and other information specified in ISO/IEC 27002 apply.
The following additional guidance also applies.
Implementation guidance for the protection of PII
Organizations should establish, maintain, and update an inventory of assets using, for example, the information given
from the PIA report, if any, as specified in ISO/IEC 29134. This should include the PII assets and all systems that
process PII.
When developing and maintaining the inventory, organizations should extract the following information elements from
PIAs concerning information systems processing PII. The following list is given as an example – there might be additions
or subtractions to the final implemented lists:
a) name of and acronym for each identified system;
b) types of PII processed by those systems;
c) classification (see 8.2.2) of all types of PII, both as individual information elements and as combined in
those information systems;
d) level of potential impact, to the PII principal and the organization, of any breach of PII;
e) purpose(s) for collecting the PII;
f) whether PII processing will be outsourced to a PII processor;
g) whether PII is transmitted to other PII controllers, and if so, to whom (or to which group of recipients);
h) retention period of PII;
i) geographical area where the PII was collected or processed; and
j) whether trans-border data transfer is involved.
Organizations should provide regular updates of the PII inventory to the
...

NORME ISO/IEC
INTERNATIONALE 29151
Première édition
2017-08
Technologies de l'information —
Techniques de sécurité — Code de
bonne pratique pour la protection des
données à caractère personnel
Information technology — Security techniques — Code of practice for
personally identifiable information protection
Numéro de référence
© ISO/IEC 2017
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO/IEC 2017
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: [phone]
Fax: [phone]
E-mail: [e-mail]
Web: www.iso.org
Publié en Suisse
ii
© ISO/IEC 2017 — Tous droits réservés

SOMMAIRE
Page
1 Domaine d'application . 1
2 Références normatives . 1
3 Définitions et abréviations . 1
3.1 Définitions . 1
3.2 Abréviations . 1
4 Vue d’ensemble . 2
4.1 Objectif de protection des DCP . 2
4.2 Exigences liées à la protection des DCP . 2
4.3 Mesures de sécurité . 3
4.4 Sélection des mesures de sécurité . 3
4.5 Élaboration de lignes directrices propres à une organisation . 3
4.6 Considérations relatives au cycle de vie . 4
4.7 Structure de la présente Spécification . 4
5 Politiques de sécurité de l'information . 4
5.1 Orientations de la direction en matière de sécurité de l'information . 4
6 Organisation de la sécurité de l'information . 5
6.1 Organisation interne . 5
6.2 Appareils mobiles et télétravail . 6
7 Sécurité des ressources humaines . 7
7.1 Avant l'embauche . 7
7.2 Pendant la durée du contrat . 7
7.3 Rupture, terme ou modification du contrat de travail . 8
8 Gestion des actifs . 8
8.1 Responsabilités relatives aux actifs . 8
8.2 Classification de l'information . 9
8.3 Manipulation des supports . 10
9 Contrôle d'accès . 11
9.1 Exigence métier en matière de contrôle d'accès . 11
9.2 Gestion de l'accès utilisateur . 11
9.3 Responsabilités des utilisateurs . 12
9.4 Contrôle de l'accès au système et aux applications . 12
10 Cryptographie . 13
10.1 Mesures cryptographiques . 13
11 Sécurité physique et environnementale . 14
11.1 Zones sécurisées . 14
11.2 Matériels . 14
12 Sécurité liée à l'exploitation . 15
12.1 Procédures et responsabilités liées à l'exploitation . 15
12.2 Protection contre les logiciels malveillants . 16
12.3 Sauvegarde . 16
12.4 Journalisation et surveillance . 16
12.5 Maîtrise des logiciels en exploitation . 17
12.6 Gestion des vulnérabilités techniques . 17
12.7 Considérations sur l'audit du système d'information . 18
13 Sécurité des communications . 18
13.1 Management de la sécurité des réseaux. 18
Rec. ITU-T X.1058 (03/2017)
iii
© ISO/IEC 2017 — Tous droits réservés

13.2 Transfert de l'information . 18
14 Acquisition, développement et maintenance des systèmes d'information . 19
14.1 Exigences de sécurité applicables aux systèmes d'information . 19
14.2 Sécurité des processus de développement et d'assistance technique . 19
14.3 Données de test . 20
15 Relations avec les fournisseurs . 21
15.1 Sécurité de l'information dans les relations avec les fournisseurs . 21
15.2 Gestion de la prestation du service . 22
16 Gestion des incidents liés à la sécurité de l'information . 22
16.1 Gestion des incidents liés à la sécurité de l'information et améliorations . 22
17 Aspects de la sécurité de l'information dans la gestion de la continuité de l'activité . 24
17.1 Continuité de la sécurité de l'information . 24
17.2 Redondances . 24
18 Conformité . 24
18.1 Conformité aux obligations légales et réglementaires . 24
18.2 Revue de la sécurité de l'information . 26
A.1 Généralités . 27
A.2 Politiques générales relatives à l'utilisation et à la protection des DCP. 27
A.3 Consentement et choix . 28
A.4 Licéité et spécification de la finalité . 30
A.5 Limitation de la collecte . 32
A.6 Minimisation des données . 32
A.7 Limitation de l'utilisation, de la conservation et de la divulgation . 34
A.8 Exactitude et qualité . 38
A.9 Ouverture, transparence et information . 39
A.10 Participation et accès des personnes concernées . 41
A.11 Responsabilité . 43
A.12 Sécurité de l'information. 46
A.13 Conformité aux règles de protection de la vie privée . 47
Bibliographie . 49
Rec. ITU-T X.1058 (03/2017)
iv
© ISO/IEC 2017 — Tous droits réservés

Avant-propos
L'ISO (Organisation internationale de normalisation) est une fédération mondiale d'organismes nationaux
de normalisation (comités membres de l'ISO). L'élaboration des Normes internationales est en général
confiée aux comités techniques de l'ISO. Chaque comité membre intéressé par une étude a le droit de faire
partie du comité technique créé à cet effet. Les organisations internationales, gouvernementales et non
gouvernementales, en liaison avec l'ISO participent également aux travaux. L'ISO collabore étroitement avec
la Commission électrotechnique internationale (IEC) en ce qui concerne la normalisation électrotechnique.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont décrites
dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents critères
d'approbation requis pour les différents types de documents ISO. Le présent document a été rédigé
conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2
(voir www.iso.org/directives).
L'attention est attirée sur le fait que certains des éléments du présent document peuvent faire l'objet de
droits de propriété intellectuelle ou de droits analogues. L'ISO ne saurait être tenue pour responsable de ne
pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails concernant les références
aux droits de propriété intellectuelle ou autres droits analogues identifiés lors de l'élaboration du document
sont indiqués dans l'Introduction et/ou dans la liste des déclarations de brevets reçues par l'ISO (voir
www.iso.org/brevets).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données pour
information, par souci de commodité, à l’intention des utilisateurs et ne sauraient constituer un engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion de
l'ISO aux principes de l’Organisation mondiale du commerce (OMC) concernant les obstacles techniques au
commerce (OTC), voir le lien suivant: www.iso.org/iso/fr/avant-propos.
Le présent document a été élaboré par le comité technique ISO/JTC 1, Technologies de l’information, sous-
comité SC 27, Sécurité de l’information, cybersécurité et protection de la vie privée en collaboration avec l’ITU-
T. Ce même texte est publié en tant que Recommandation ITU-T X.1058.
Rec. ITU-T X.1058 (03/2017)
v
© ISO/IEC 2017 — Tous droits réservés

Introduction
Le nombre d'organisations traitant des données à caractère personnel (DCP) est en augmentation, tout comme la quantité de
DCP que ces organisations traitent. Dans le même temps, les attentes de la société en matière de protection des DCP et de
sécurité des données relatives aux personnes augmentent également. Un certain nombre de pays renforcent leur législation afin
de faire face au nombre croissant de violations de données à grand retentissement.
Avec l'augmentation du nombre de violations des DCP, les organisations qui collectent ou traitent des DCP auront de plus en
plus besoin de recommandations sur la manière dont il convient qu'elles protègent les DCP afin de réduire le risque de
violations de données à caractère personnel ainsi que l'impact des violations sur l'organisation et les personnes concernées. La
présente Spécification fournit ces recommandations.
La présente Spécification fournit aux responsables de traitement de DCP des recommandations sur un large éventail de mesures
de sécurité de l'information et de protection des DCP qui sont couramment appliquées dans de nombreuses organisations
différentes qui traitent de la protection des DCP. Les autres parties de la famille de normes ISO/IEC, répertoriées ici,
fournissent des recommandations ou des exigences sur d'autres aspects du processus global de protection des DCP :
− L'ISO/IEC 27001 spécifie un processus de management de la sécurité de l'information et les exigences associées, qui
pourraient être utilisés comme base pour la protection des DCP.
− L'ISO/IEC 27002 fournit des lignes directrices en matière de normes organisationnelles relatives à la sécurité de
l'information et des bonnes pratiques de management de la sécurité de l'information, incluant la sélection, la mise en
œuvre et la gestion de mesures de sécurité, en tenant compte du ou des environnement(s) de risques de sécurité de
l'information de l'organisation.
− L'ISO/IEC 27009 définit les exigences relatives à l'utilisation de l'ISO/IEC 27001 dans n'importe quel secteur
spécifique (domaine, domaine d'application ou secteur de marché). Elle explique comment ajouter des exigences
supplémentaires à celles de l'ISO/IEC 27001, comment affiner les exigences de l'ISO/IEC 27001, et comment ajouter
des mesures de sécurité ou des ensembles de mesures de sécurité à l'Annexe A de l'ISO/IEC 27001.
− L'ISO/IEC 27018 fournit des recommandations aux organisations agissant comme sous-traitants de DCP lorsqu'elles
offrent des capacités de traitement en tant que services en nuage.
− L'ISO/IEC 29134 fournit des lignes directrices pour l'identification, l'analyse et l'évaluation des risques sur la vie
privée, tandis que l'ISO/IEC 27001 et l'ISO/IEC 27005 fournissent une méthodologie pour l'identification, l'analyse
et l'évaluation des risques de sécurité.
Il convient que les mesures de sécurité soient choisies sur la base des risques identifiés à la suite d'une analyse du risque afin
de développer un système de mesures de sécurité complet et cohérent. Il convient que les mesures de sécurité soient adaptées
au contexte du traitement de DCP spécifique.
La présente Spécification contient deux parties : 1) le corps principal, composé des Articles 1 à 18, et 2, une annexe normative.
Cette structure reflète la pratique normale pour l'élaboration d'extensions sectorielles de l'ISO/IEC 27002.
La structure du corps principal de la présente Spécification, y compris l'intitulé des articles et paragraphes, reflète le corps
principal de l'ISO/IEC 27002. L'introduction et les Articles 1 à 4 fournissent le contexte de l'utilisation de la présente
Spécification. Les intitulés des Articles 5 à 18 reflètent ceux de l'ISO/IEC 27002, ce qui illustre le fait que la présente
Spécification s'appuie sur les recommandations de l'ISO/IEC 27002, et ajoute de nouvelles mesures de sécurité spécifiques à
la protection des DCP. Un grand nombre de mesures de sécurité de l'ISO/IEC 27002 n'ont pas besoin d'être renforcées dans le
contexte des responsables de traitement des DCP. Toutefois, dans certains cas, des recommandations de mise en œuvre
supplémentaires sont nécessaires et sont fournies sous l'intitulé (et le numéro de paragraphe ou d'article) approprié de
l'ISO/IEC 27002.
L'annexe normative contient un ensemble étendu de mesures de sécurité spécifiques à la protection des DCP qui complètent
celles fournies dans l'ISO/IEC 27002. Ces nouvelles mesures de protection des DCP, et les recommandations qui leur sont
associées, sont réparties en 12 catégories, qui correspondent à la politique de protection de la vie privée et aux 11 principes de
protection de la vie privée de l'ISO/IEC 29100 :
− consentement et choix ;
− licéité et spécification de la finalité ;
− limitation de la collecte ;
− minimisation des données ;
Rec. ITU-T X.1058 (03/2017)
vi
© ISO/IEC 2017 — Tous droits réservés

− limitation de l'utilisation, de la conservation et de la divulgation ;
− exactitude et qualité ;
− ouverture, transparence et information ;
− participation et accès individuels ;
− responsabilité ;
− sécurité de l'information ; et
− conformité aux règles de protection de la vie privée.
La Figure 1 décrit la relation entre la présente Spécification et la famille de normes ISO/IEC.

Figure 1 − Relation entre la présente Spécification et la famille de normes ISO/IEC
La présente Spécification comprend des lignes directrices basées sur l'ISO/IEC 27002, et les adapte si nécessaire pour répondre
aux exigences de protection de la vie privée qui découlent du traitement des DCP :
a) dans différents domaines de traitement tels que :
− services en nuage public ;
− application de réseaux sociaux ;
− dispositifs domestiques connectés à Internet ;
− recherche, analyse ;
− ciblage des DCP à des fins publicitaires ou similaires ;
− programmes d'analyse des mégadonnées ;
− traitement de l'emploi ;
− gestion d'entreprise dans le domaine de la vente et du service (planification des ressources d'entreprise,
gestion de la relation client) ;
b) dans différents emplacements, tels que :
− sur une plateforme de traitement personnelle fournie à un individu (par exemple : cartes à puce, les
smartphones et leurs applications, les compteurs intelligents, les dispositifs portables) ;
− au sein de réseaux de transport et de collecte de données (par exemple : lorsque des données de
localisation des téléphones mobiles sont créées de manière opérationnelle par le traitement du réseau,
et qui peuvent être considérées comme des DCP dans certaines juridictions) ;
− au sein de la propre infrastructure de traitement d'une organisation ;
Rec. ITU-T X.1058 (03/2017)
vii
© ISO/IEC 2017 — Tous droits réservés

− sur une plateforme de traitement tierce ;
c) pour la caractéristique de collecte, telle que :
− collecte de données unique (par exemple : lors de l'enregistrement à un service) ;
− collecte de données continue (par exemple : surveillance fréquente de paramètres de santé par des
capteurs sur ou dans le corps d'une personne, collecte de données multiples à l'aide de cartes de
paiement sans contact pour le paiement, systèmes de collecte de données de compteurs intelligents,
etc.).
NOTE – La collecte de données continue peut contenir ou produire des DCP relatives au comportement, à la localisation et d'autres types
de DCP. Dans ces cas, il est nécessaire d'envisager l'utilisation de mesures de protection des DCP qui permettent de gérer l'accès et la
collecte sur la base du consentement et qui permettent à la personne concernée d'exercer un contrôle approprié sur cet accès et cette
collecte.
Rec. ITU-T X.1058 (03/2017)
viii
© ISO/IEC 2017 — Tous droits réservés

NORME INTERNATIONALE
RECOMMANDATION UIT-T
Technologies de l'information — Techniques de sécurité — Code de bonnes pratiques pour la
protection des données à caractère personnel
1 Domaine d'application
La présente Recommandation | Norme internationale établit des objectifs de mesure de sécurité, des mesures de sécurité et
des lignes directrices pour la mise en œuvre des mesures de sécurité, afin de satisfaire aux exigences identifiées par une
appréciation du risque et de l'impact liée à la protection des données à caractère personnel.
En particulier, la présente Recommandation | Norme internationale spécifie des lignes directrices basées sur
l'ISO/IEC 27002, en tenant compte des exigences relatives au traitement des DCP qui peuvent être applicables dans le
contexte du ou des environnements de risques de sécurité de l'information d'une organisation.
La présente Recommandation | Norme internationale s'applique à tous les types et toutes les tailles d'organisations agissant
en tant que responsable de traitement de DCP (tel que défini dans l'ISO/IEC 29100), y compris les entreprises publiques et
privées, les entités gouvernementales et les organisations à but non lucratif qui traitent des DCP.
2 Références normatives
Les Recommandations et Normes internationales suivantes contiennent des dispositions qui, par suite de la référence qui
en est faite, constituent des dispositions valables pour la présente Recommandation | Norme internationale. Au moment de
la publication, les éditions indiquées étaient en vigueur. Toutes les Recommandations et Normes internationales sont
sujettes à révision et les parties prenantes des accords fondés sur la présente Recommandation | Norme internationale sont
invitées à rechercher la possibilité d'appliquer les éditions les plus récentes des Recommandations et Normes indiquées ci-
après. Les membres de l'IEC et de l'ISO tiennent à jour les registres des Normes internationales en vigueur. Le Bureau de
la normalisation des télécommunications de l´UIT tient à jour une liste des Recommandations de l´UIT-T en vigueur.
– ISO/IEC 27002:2013, Technologies de l'information — Techniques de sécurité — Code de bonne pratique
pour le management de la sécurité de l'information.
– ISO/IEC 29100:2011, Technologies de l'information — Techniques de sécurité — Cadre privé.
3 Définitions et abréviations
3.1 Définitions
Pour les besoins de la présente Recommandation | Norme internationale, les termes et définitions donnés dans
l'ISO/IEC 27000:2016, l'ISO/IEC 29100 et les suivants s'appliquent.
L'ISO Online browsing platform, l'IEC Electropedia et les Termes et définitions de l'UIT sont des bases de données
terminologiques destinées à être utilisées en normalisation.
3.1.1 responsable de la confidentialité (CPO) membre de la direction qui est responsable de la protection des données
à caractère personnel (DCP) dans une organisation
3.1.2 processus de désidentification processus consistant à supprimer l'association entre un ensemble de données
d'identification et la personne concernée, à l'aide de techniques de désidentification
3.2 Abréviations
Pour les besoins de la présente Spécification, les abréviations suivantes s'appliquent.
BCR règle d'entreprise contraignante (Binding Corporate Rule)
CCTV télévision en circuit fermé (Closed-Circuit Television)
Rec. ITU-T X.1058 (03/2017)
© ISO/IEC 2017 — Tous droits réservés

CPO responsable de la confidentialité (Chief Privacy Officer)
PBD protection de la vie privée dès la conception (Privacy By Design)
PDA assistant numérique personnel (Personal Digital Assistant)
PET technologie contribuant à la protection de la vie privée (Privacy Enhancing Technology)
PIA évaluation de l'impact sur la vie privée (Privacy Impact Assessment)
DCP données à caractère personnel
RFID identification par radiofréquence (Radio Frequency Identification)
USB bus série universel (Universal Serial Bus)
4 Vue d’ensemble
4.1 Objectif de protection des DCP
La présente Spécification fournit un ensemble de mesures de protection des DCP. L'objectif de la protection des DCP est
de permettre aux organisations de mettre en place un ensemble de mesures de sécurité dans le cadre de leur programme
global de protection des DCP. Elles peuvent être utilisées dans un cadre permettant de maintenir et d'améliorer la conformité
aux lois et réglementations relatives à la vie privée, de gérer les risques sur la vie privée et de répondre aux attentes des
personnes concernées, des régulateurs ou des clients, conformément aux principes de protection de la vie privée décrits
dans l'ISO/IEC 29100.
4.2 Exigences liées à la protection des DCP
Il convient qu'une organisation identifie ses exigences en matière de protection des DCP. Les principes de protection de la
vie privée de l'ISO/IEC 29100 s'appliquent à l'identification des exigences. Il existe trois sources principales d'exigences
liées à la protection des DCP :
– exigences légales, statutaires, réglementaires et contractuelles liées à la protection des DCP, y compris, par
exemple, les exigences en matière de DCP auxquelles une organisation, ses partenaires commerciaux, ses
entrepreneurs et ses prestataires de services sont tenus de se conformer ;
– appréciation du risque (c'est-à-dire les risques de sécurité et les risques sur la vie privée) pour l'organisation
et la personne concernée, en tenant compte de la stratégie et des objectifs métier globaux de l'organisation,
par le biais d'une appréciation du risque ;
– politiques d'entreprise : une organisation peut également choisir volontairement d'aller au-delà des critères
qui découlent des exigences précédentes.
Il convient que les organisations tiennent également compte des principes (c'est-à-dire les principes de protection de la vie
privée définis dans l'ISO/IEC 29100), des objectifs et des exigences métier pour le traitement des DCP qui ont été élaborés
pour soutenir leurs opérations.
Il convient que les mesures de protection des DCP (y compris les mesures de sécurité) soient choisies sur la base d'une
appréciation du risque. Les résultats d'une évaluation de l'impact sur la vie privée (PIA), par exemple tel que spécifié dans
l'ISO/IEC 29134, aideront à définir les actions de traitement appropriées et les priorités en matière de gestion des risques
liés à la protection des DCP, et de mise en œuvre des mesures de sécurité identifiées destinées à contrer ces risques.
Une spécification de PIA telle que celle de l'ISO/IEC 29134 peut fournir des recommandations en matière de PIA, y
compris des conseils relatifs à l'appréciation du risque, au plan de traitement du risque, à l'acceptation du risque et la revue
des risques.
Rec. ITU-T X.1058 (03/2017)
© ISO/IEC 2017 — Tous droits réservés

4.3 Mesures de sécurité
Une étude des risques sur la vie privée peut aider les organisations à identifier les risques spécifiques de violation des
données à caractère personnel découlant d'un traitement illégal ou d'une atteinte aux droits de la personne concernée
impliquée dans une opération envisagée. Il convient que les organisations identifient et mettent en œuvre des mesures de
sécurité afin de traiter les risques identifiés par le processus d'impact des risques. Il convient que les mesures de sécurité et
les traitements soient ensuite documentés, idéalement séparément dans un registre des risques séparé. Certains types de
traitement de DCP peuvent requérir des mesures de sécurité spécifiques dont la nécessité n'apparaît qu'après une analyse
attentive des opérations envisagées.
4.4 Sélection des mesures de sécurité
Les mesures de sécurité peuvent être sélectionnées à partir de la présente Spécification (ce qui inclut, par voie de référence,
les mesures de sécurité de l'ISO/IEC 27002, créant ainsi un ensemble de mesures de sécurité de référence combinées). Si
besoin, des mesures de sécurité peuvent être sélectionnées à partir d'autres ensembles de mesures de sécurité, ou de
nouvelles mesures de sécurité peuvent être spécifiées en vue de satisfaire à des besoins spécifiques.
La sélection des mesures de sécurité dépend des décisions prises par l’organisation en fonction de ses critères pour les
options de traitement du risque et de son approche de la gestion générale des risques, appliqués à l'organisation et, par le
biais d'accords contractuels, à ses clients et fournisseurs. Il convient également de prendre en considération les lois et
règlements nationaux et internationaux applicables.
La sélection et la mise en œuvre des mesures de sécurité dépendent également du rôle de l'organisation dans la fourniture
d'infrastructures ou de services. De nombreuses organisations différentes peuvent être impliquées dans la fourniture
d'infrastructures ou de services. Dans certains cas, les mesures de sécurité sélectionnées peuvent être propres à une
organisation particulière. Dans d'autres cas, il peut y avoir des rôles partagés dans la mise en œuvre des mesures de sécurité.
Il convient que les accords contractuels spécifient clairement les responsabilités en matière de protection des DCP de toutes
les organisations impliquées dans la fourniture ou l'utilisation des services.
Les mesures de sécurité de la présente Spécification peuvent être utilisées comme référence par les organisations qui traitent
des DCP et sont destinées à être applicables à toutes les organisations qui agissent comme responsable de traitement de
DCP. Il convient que les organisations qui agissent comme sous-traitant de DCP le fassent conformément aux instructions
du responsable de traitement de DCP. Il convient que les responsables de traitement de DCP s'assurent que leurs sous-
traitants de DCP sont capables de mettre en œuvre toutes les mesures de sécurité nécessaires incluses dans leur accord de
traitement des DCP, conformément à la finalité du traitement des DCP. Les responsables de traitement de DCP qui utilisent
les services en nuage en tant que sous-traitants de DCP peuvent passer en revue l'ISO/IEC 27018 afin d'identifier les
mesures de sécurité pertinentes à mettre en œuvre.
Les mesures de sécurité de la présente Spécification sont expliquées plus en détail aux Articles 5 à 18, et accompagnées de
recommandations de mise en œuvre. La mise en œuvre peut être simplifiée si les exigences applicables à la protection des
DCP ont été prises en compte dans la conception du système d'information, des services et des opérations de l'organisation.
Cette prise en compte est un élément du concept souvent appelé « protection de la vie privée dès la conception » (PBD).
De plus amples informations sur la sélection des mesures de sécurité et d'autres options de traitement du risque sont
disponibles dans l'ISO/IEC 29134. Les autres références pertinentes sont indiquées dans la bibliographie.
4.5 Élaboration de lignes directrices propres à une organisation
La présente Spécification peut servir de base pour l'élaboration de lignes directrices propres à une organisation. Les mesures
de sécurité et recommandations de la présente Spécification ne sont pas toutes applicables à toutes les organisations.
Par ailleurs, des mesures de sécurité et des lignes directrices supplémentaires ne figurant pas dans la présente Spécification
peuvent être nécessaires. Lors de la rédaction de documents contenant des lignes directrices ou des mesures de sécurité
supplémentaires, il peut être utile d’intégrer des références croisées aux articles de la présente Spécification, le cas échéant,
afin de faciliter la vérification de la conformité par les auditeurs et les partenaires commerciaux.
Rec. ITU-T X.1058 (03/2017)
© ISO/IEC 2017 — Tous droits réservés

4.6 Considérations relatives au cycle de vie
Les DCP ont un cycle de vie naturel, depuis leur création ou leur origine jusqu'à leur mise au rebut éventuelle (par exemple :
destruction sécurisée), en passant par leur collecte, leur stockage, leur utilisation et leur transfert. La valeur des DCP et les
risques auxquels elles sont exposées peuvent varier au cours de leur cycle de vie, mais la protection des DCP reste
importante, dans une certaine mesure, à toutes les étapes et dans tous les contextes de leur cycle de vie.
Les systèmes d'information ont également des cycles de vie durant lesquels ils sont pensés, caractérisés, conçus, élaborés,
testés, mis en œuvre, utilisés, entretenus et finalement retirés du service et mis au rebut. Il convient que la protection des
DCP soit aussi prise en compte à chacune de ces étapes. La mise au point de nouveaux systèmes et les changements apportés
aux systèmes existants donnent l'occasion aux organisations de mettre à jour et d'améliorer les mesures de sécurité et les
mesures de protection des DCP en tenant compte des incidents réels survenus et des risques sur la vie privée et des risques
pour la sécurité de l'information actuels et anticipés.
4.7 Structure de la présente Spécification
Le reste de la présente Spécification contient deux parties normatives principales.
La première partie de la présente Spécification, constituée des Articles 5 à 18, contient des recommandations de mise en
œuvre supplémentaires et autres informations pour certaines mesures de sécurité existantes pertinentes décrites dans
l'ISO/IEC 27002. Le format de cette partie utilise les intitulés et la numérotation des articles et paragraphes pertinents de
l'ISO/IEC 27002 afin de permettre les références croisées avec cette Norme internationale.
La seconde partie contient un ensemble de mesures de sécurité spécifiques pour la protection des DCP spécifiées à
l'Annexe A. Elle utilise le même format que l'ISO/IEC 27002, qui définit les objectifs des mesures de sécurité (texte dans
un encadré) suivis d'une ou plusieurs mesures de sécurité qui peuvent être appliquées. La description des mesures de
sécurité est structurée comme suit.
Mesure de sécurité
Le texte figurant sous cet intitulé définit la déclaration de mesure de sécurité spécifique pour atteindre l'objectif de la
mesure de sécurité.
Recommandations de mise en œuvre pour la protection des DCP
Le texte figurant sous cet intitulé fournit des informations plus détaillées destinées à soutenir la mise en œuvre de la mesure
de sécurité et atteindre les objectifs de la mesure de sécurité. Les recommandations fournies dans la présente Spécification
peuvent ne pas être tout à fait adaptées ou suffisantes dans toutes les situations et peuvent ne pas répondre aux exigences
spécifiques de l'organisation en matière de mesures de sécurité. Des mesures alternatives ou supplémentaires, ou d'autres
formes de traitement du risque (évitement ou transfert des risques) peuvent donc être appropriées.
Autres informations pour la protection des DCP
Le texte figurant sous cet intitulé fournit des informations complémentaires qu'il peut être nécessaire de prendre en compte,
tels que des éléments juridiques et des références à d'autres normes.
5 Politiques de sécurité de l'information
5.1 Orientations de la direction en matière de sécurité de l'information
5.1.1 Introduction
L'objectif spécifié en 5.1 de l'ISO/IEC 27002:2013 s'applique.
5.1.2 Politiques de sécurité de l'information
La mesure de sécurité 5.1.1 et les recommandations de mise en œuvre et autres informations associées spécifiées dans
l'ISO/IEC 27002 s'appliquent. Les recommandations supplémentaires suivantes s'appliquent également.
Rec. ITU-T X.1058 (03/2017)
© ISO/IEC 2017 — Tous droits réservés

Recommandations de mise en œuvre pour la protection des DCP
Il convient que les politiques en matière de sécurité de l'information incluent des déclarations de mesures de sécurité
appropriées pour la protection des DCP. Les détails relatifs à la protection des DCP sont disponibles au paragraphe 18.1.4
de l'ISO/IEC 27002:2013.
Lors de la conception, de la mise en œuvre et de la revue de la politique de sécurité de l'information, il convient que les
organisations tiennent compte des exigences de protection de la vie privée décrites dans l'ISO/IEC 29100.
Il convient que les organisations spécifient les éléments de protection des DCP qui ne sont pas liés à la sécurité en tant que
politique de protection de la vie privée séparée. Voir les recommandations au paragraphe A.2.
5.1.3 Revue des politiques de sécurité de l’information
La mesure de sécurité 5.1.2 et les recommandations de mise en œuvre associées spécifiées dans l'ISO/IEC 27002
s'appliquent.
6 Organisation de la sécurité de l'information
6.1 Organisation interne
6.1.1 Introduction
L'objectif spécifié en 6.1 de l'ISO/IEC 27002 s'applique.
6.1.2 Rôles et responsabilités liés à la sécurité de l'information
La mesure de sécurité 6.1.1 et les recommandations de mise en œuvre et autres informations associées spécifiées dans
l'ISO/IEC 27002 s'appliquent. Les recommandations supplémentaires suivantes s'appliquent également.
Recommandations de mise en œuvre pour la protection des DCP
Il est nécessaire que les rôles et les responsabilités en matière de protection des DCP soient clairement définis, correctement
documentés et communiqués de façon appropriée. Notamment :
a) il convient qu'une personne de haut niveau clairement identifiée [parfois appelée responsable de la
confidentialité (CPO)] au sein de l'organisation se voie attribuer la responsabilité de la protection des DCP ;
b) il convient qu'une ou plusieurs personnes clairement identifiées (c'est-à-dire la fonction de protection des
DCP) se voient attribuer la responsabilité de coordination avec les fonctions de sécurité de l'information au
sein de l'organisation ; et
c) il convient que des exigences de protection des DCP appropriées soient incluses dans la description de poste
de toutes les personnes impliquées dans le traitement des DCP (y compris les utilisateurs et le personnel
d'assistance).
Il convient que la fonction de protection des DCP établie travaille en étroite collaboration avec les autres fonctions traitant
des DCP, la fonction de sécurité de l'information, qui met en œuvre les exigences de sécurité, ce qui inclut celles découlant
des lois relatives à la protection des DCP, ainsi que la fonction juridique, qui aide à interpréter les lois, les règlements et
les conditions contractuelles et à gérer les violations de données.
Il convient que l'organisation étudie la nécessité de créer (et si nécessaire qu'elle mette en place) un conseil ou un comité
interfonctionnel composé de membres de haut niveau issus des fonctions qui traitent des DCP. La protection des DCP étant
une fonction pluridisciplinaire, un tel groupe peut aider à identifier de manière proactive les opportunités d'amélioration, à
identifier les nouveaux risques et les domaines dans lesquels mener des PIA, à planifier des mesures préventives, des
mesures de détection et de réaction face à toute violation, etc. Il est recommandé qu'un tel groupe se réunisse
périodiquement et soit présidé par la personne responsable de la protection des DCP telle qu'identifiée au point a).
Il convient que le responsable de traitement de DCP exige de son ou ses sous-traitants de DCP qu'ils désignent un
interlocuteur chargé de répondre aux questions concernant le traitement des DCP dans le cadre du contrat de traitement des
DCP.
Rec. ITU-T X.1058 (03/2017)
© ISO/IEC 2017 — Tous droits réservés

Il convient que les personnes chargées des fonctions de protection des DCP rendent compte à un CPO afin de garantir
qu'elles disposent de l'autorité suffisante pour assumer leurs responsabilités.
6.1.3 Séparation des tâches
La mesure de sécurité 6.1.2 et les recommandations de mise en œuvre associées spécifiées dans l'ISO/IEC 27002
s'appliquent. Les recommandations supplémentaires suivantes s'appliquent également.
Recommandations de mise en œuvre pour la protection des DCP
Il convient que les tâches et domaines de responsabilité en matière de protection des DCP soient indépendants de ceux
relatifs à la sécurité de l'information. Tout en reconnaissant l'importance de la sécurité de l'information pour la protection
des DCP, il est important que les tâches et les domaines de responsabilité en matière de sécurité et de protection des DCP
soient aussi indépendants les uns des autres que possible. Si cela est nécessaire ou utile, dans l'intérêt de la protection des
DCP, il convient de faciliter la coordination et la coopération entre les personnes responsables de la sécurité de l'information
et de la protection des DCP.
Il convient que les organisations adoptent le principe de séparation des tâches lors de l'attribution des droits d'accès pour le
traitement des DCP, particulièrement pour tout traitement identifié comme présentant un risque élevé.
Il convient que l'accès aux DCP en cours de traitement et l'accès aux fichiers journaux concernant ce traitement soient des
tâches séparées.
Il convient que l'accès aux informations relatives à la collecte des DCP destiné à répondre aux demandes des personnes
concernées soit séparé de toutes les autres formes d'accès aux DCP. Il convient que l'accès soit limité aux personnes dont
les tâches incluent le fait de répondre aux demandes des personnes concernées.
6.1.4 Relations avec les au
...