ISO/IEC 29151:2026

• Abstract:

  This document specifies controls, purpose, and guidance for implementing controls, to meet the requirements identified by a risk and impact assessment related to the protection of personally identifiable information (PII). In particular, this document specifies requirements and guidance based on ISO/IEC 27002, taking into consideration the controls for processing PII that can be applicable within the context of an organization's information security risk environment(s). This document is applicable to all types and sizes of organizations acting as PII controllers (as defined in ISO/IEC 29100), including public and private companies, government entities and not-for-profit organizations that process PII, in particular, organizations that do not establish or operate a privacy information management system.

• Status: Published
• Publication Date: 23-Jul-2026
• ICS: 35.030 - IT Security
• Technical Committee: ISO/IEC JTC 1/SC 27 - Information security, cybersecurity and privacy protection
• Drafting Committee: ISO/IEC JTC 1/SC 27/WG 5 - Identity management and privacy technologies
• Current Stage: 6060 - International Standard published
• Start Date: 24-Jul-2026
• Due Date: 27-Oct-2026
• Completion Date: 24-Jul-2026

• Consolidates: EN ISO/IEC 29151:2026 - Information security, cybersecurity and privacy protection - Controls, requirements, and guidance for personally identifiable information protection (ISO/IEC 29151:2026)
• Effective Date: 12-Feb-2026
• Consolidates: ISO 15841:2014/Amd 1:2020 - Dentistry — Wires for use in orthodontics — Amendment 1
• Effective Date: 08-Jun-2024
• Revises: ISO/IEC 29151:2017 - Information technology — Security techniques — Code of practice for personally identifiable information protection
• Effective Date: 28-Oct-2023

ISO/IEC 29151:2026 is an ISO and IEC International Standard for controls, requirements, and guidance for protecting personally identifiable information (PII). It helps PII controllers choose and implement PII protection controls based on risk and impact assessment, using ISO/IEC 27002 as the base and adding PII-specific guidance and an extended control set. It is intended for organizations of all sizes, including public, private, government, and not-for-profit bodies, especially those that do not operate a privacy information management system.

What does ISO/IEC 29151:2026 specify?

ISO/IEC 29151:2026 specifies how to select and implement controls for PII protection. The document is organized as a practical control set: clauses 4 to 8 cover the approach and the control families, Annex A adds the extended PII protection control set, and Annex B gives the correspondence to ISO/IEC 29151:2017.

Annex	What it covers
Annex A	Extended control set for PII protection, organized by privacy principles
Annex B	Correspondence between this edition and ISO/IEC 29151:2017

Clause 4 explains how to tailor controls to the organization’s risks, legal duties, and processing context. Clauses 5 to 8 mirror the control structure of ISO/IEC 27002:2022 for organizational, people, physical, and technological controls, with PII-specific guidance where needed.

What are the key requirements of ISO/IEC 29151:2026?

ISO/IEC 29151:2026 is a risk-based standard. It expects organizations to identify their PII protection requirements, choose controls from the main body and Annex A, and adapt those controls to the way PII is actually collected, used, stored, transferred, and disposed of.

Risk-based selection and planning

Clause 4 says organizations should base control selection on legal and regulatory duties, contracts, risk assessment, and their own policies. A privacy impact assessment (PIA) can help determine which controls are needed and which risks they should treat. In practice, this means the standard is not a fixed checklist - it is a control framework that must be fitted to the specific processing activity.

Clause 4 also treats PII across its life cycle, from collection to disposal. That matters because the protection needed for PII can change when the data moves through design, development, operation, backup, transfer, and deletion.

Governance, accountability, and roles

Clause 5 requires a PII protection policy, defined roles and responsibilities, segregation of duties, contact with authorities, and documented operating procedures. It highlights a senior accountable person, often called the chief privacy officer (CPO), and asks organizations to coordinate PII protection with information security and legal functions. In practice, someone must own the topic, and that responsibility must be clear.

Clause 5 also expects organizations to review new projects and significant changes for PIA needs. That matters because PII risks often appear when systems are redesigned, not only during day-to-day operations.

Inventory, classification, transfer, and access

Clause 5 requires an inventory of PII-related assets and systems, including the type of PII, purpose of processing, outsourcing, retention, location, and cross-border transfer. It also requires classification of information containing PII, including the possibility of categories such as sensitive and non-sensitive PII. For a reader, this means you need to know where PII is, what kind it is, and who can reach it.

The same clause addresses transfer and access control. It recommends reducing leakage during transfer, typically through encryption, and also allows de-identification, masking, or obfuscation as supporting measures. It expects access to be limited to the minimum needed, with stronger authentication for sensitive PII and tighter control over powerful access rights.

Suppliers, incidents, and legal compliance

Clauses 5.19 and 5.20 put written contractual control around PII processors and other suppliers. The controller is expected to define roles, approve further subcontracting, restrict processing to the stated purpose, and address secure disposal or return of PII at contract end. This matters because many PII breaches happen through service providers rather than direct internal processing.

Clauses 5.24 to 5.26 require incident preparation and response for privacy incidents. The standard calls for an incident response plan, a cross-functional response team, impact assessment, and procedures for notifying affected PII principals and relevant authorities when required. In practice, organizations need a tested path for deciding what happened, who was affected, and when notice or remediation is needed.

Physical and technological safeguards

Clauses 7 and 8 cover practical safeguards such as storage media, secure disposal or re-use of equipment, endpoint devices, backup, logging, monitoring, cryptography, development controls, separation of development, test and production, and test information. The standard says real PII should not normally be used for development and testing; synthetic, masked, obfuscated, or de-identified data is preferred. That reduces exposure when developers, testers, or support teams need data to do their work.

Annex A adds PII-specific controls for privacy policy, consent and choice, purpose legitimacy, collection limitation, data minimization, use/retention/disclosure limitation, accuracy and quality, openness and transparency, PII principal participation and access, accountability, information security, and privacy compliance. These are the privacy principles that turn general security controls into PII-focused practice.

What terms does ISO/IEC 29151:2026 define?

• Chief privacy officer (CPO) - a senior management individual accountable for coordinating PII protection.
• De-identification - removing the association between identifying data and the data principal.
• Personally identifiable information (PII) - information that can be used to establish a link to a person.
• PII controller - the privacy stakeholder that determines the purposes and means of PII processing.
• PII principal - the natural person to whom the PII relates.
• PII processor - a privacy stakeholder that processes PII on behalf of a controller.
• Privacy risk assessment / privacy impact assessment (PIA) - the process of identifying, analyzing, evaluating, and treating privacy risks.

Who uses ISO/IEC 29151:2026?

ISO/IEC 29151:2026 is used by PII controllers and the teams that support them. Typical users include security managers, privacy managers, compliance teams, legal advisers, procurement teams, project managers, auditors, and suppliers that process PII under contract.

It is relevant in public and private companies, government entities, and not-for-profit organizations that process PII. It is especially useful where an organization wants PII protection guidance but has not established a privacy information management system.

What changed in ISO/IEC 29151:2026 from the previous edition?

ISO/IEC 29151:2026 cancels and replaces ISO/IEC 29151:2017. The stated technical change is that the guidance for security controls in the main text and the privacy controls in Annex A have been aligned with ISO/IEC 27002:2022.

Which standards are used with ISO/IEC 29151:2026?

Standard	What it contributes
ISO/IEC 27002:2022	Base information security controls that ISO/IEC 29151 extends for PII
ISO/IEC 29100:2024	Privacy framework and privacy principles used throughout the document
ISO/IEC 29134:2023	Guidance for privacy impact assessment
ISO/IEC 27001:2022	Information security management system requirements, referenced in the introduction and bibliography
ISO/IEC 27005:2022	Information security risk management guidance
ISO/IEC 27018:2025	Guidance for protection of PII in public clouds acting as PII processors
ISO/IEC 27701:2025	Privacy information management system requirements and guidance
ISO/IEC 27036-3:2023	Supplier relationship and supply chain security guidance
ISO 31000:2018	General risk management guidance
ITU-T X.1148 (2020)	De-identification process framework
ITU-T X.1771 (2024)	Guidance for combining de-identified data using a trusted third party

What does the ISO/IEC 29151:2026 document contain?

The document contains a clause-by-clause control structure with control titles, attributes, purpose, guidance, and other information. Clauses 5 to 8 cover organizational, people, physical, and technological controls, with PII-specific guidance added where needed.

It also includes Table 1, which shows where PII-specific guidance is added to ISO/IEC 27002 controls, and Annex A, which expands the control set around privacy principles such as consent, minimization, transparency, access, accountability, and compliance. Annex B provides the mapping to the 2017 edition, and the bibliography points to related standards for risk management, cloud processing, PIA, supplier security, and de-identification.

International
Standard
ISO/IEC 29151
Second edition
Information security, cybersecurity
2026-07
and privacy protection — Controls,
requirements, and guidance for
personally identifiable information
protection
Sécurité de l'information, cybersécurité et protection de la vie
privée — Mesures de sécurité, exigences et recommandations
pour la protection des données à caractère personnel
Reference number
© ISO/IEC 2026
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may
be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting on
the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address below
or ISO’s member body in the country of the requester.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva
Phone: [phone]
Email: [e-mail]
Website: www.iso.org
Published in Switzerland
© ISO/IEC 2026 – All rights reserved
ii
Foreword
ISO (the International Organization for Standardization) and IEC (the International Electrotechnical
Commission) form the specialized system for worldwide standardization. National bodies that are
members of ISO or IEC participate in the development of International Standards through technical
committees established by the respective organization to deal with particular fields of technical activity.
ISO and IEC technical committees collaborate in fields of mutual interest. Other international
organizations, governmental and non-governmental, in liaison with ISO and IEC, also take part in the
work.
The procedures used to develop this document and those intended for its further maintenance are
described in the ISO/IEC Directives, Part 1. In particular, the different approval criteria needed for the
different types of document should be noted.
ISO and IEC draw attention to the possibility that the implementation of this document may involve the
use of (a) patent(s). ISO and IEC take no position concerning the evidence, validity or applicability of any
claimed patent rights in respect thereof. As of the date of publication of this document, ISO and IEC had
not received notice of (a) patent(s) which may be required to implement this document. However,
implementers are cautioned that this may not represent the latest information, which may be obtained
from the patent database available at www.iso.org/patents and https://patents.iec.ch. ISO and IEC shall
not be held responsible for identifying any or all such patent rights.
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation of the voluntary nature of standards, the meaning of ISO specific terms and
expressions related to conformity assessment, as well as information about ISO's adherence to the
World Trade Organization (WTO) principles in the Technical Barriers to Trade (TBT) see
www.iso.org/iso/foreword.html. In the IEC, see www.iec.ch/understanding-standards.
This document was prepared by ITU as X.1058 (2025) and drafted in accordance with its editorial rules,
in collaboration with Joint Technical Committee ISO/IEC JTC 1, Information technology, Subcommittee
SC 27, Information security, cybersecurity and privacy protection, and in collaboration with the European
Committee for Standardization (CEN) Technical Committee CEN/CLC/JTC 13, Cybersecurity and Data
Protection, in accordance with the Agreement on technical cooperation between ISO and CEN (Vienna
Agreement).
This second edition cancels and replaces the first edition (ISO/IEC 29151:2017), which has been
technically revised.
The main changes are as follows:
— the content of the guidance for security controls in the main text and the privacy controls in Annex A
have been aligned with ISO/IEC 27002:2022.
Any feedback or questions on this document should be directed to the user’s national standards body. A
complete listing of these bodies can be found at www.iso.org/members.html and www.iec.ch/national-
committees.
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
iii
INTERNATIONAL STANDARD ISO/IEC 29151
RECOMMENDATION ITU-T X.1058
Information security, cybersecurity and privacy protection – Controls, requirements and
guidance for personally identifiable information protection

Summary
The number of organizations processing personally identifiable information (PII) is increasing, as is the amount of PII that
these organizations deal with. At the same time, societal expectations for the protection of PII and the security of data
relating to individuals are also increasing. A number of countries are augmenting their laws to address the increased number
of high-profile data breaches.
As the number of PII breaches increases, organizations collecting or processing PII will increasingly need guidance on
how they should protect PII in order to reduce the risk of privacy breaches occurring, and to reduce the impact of breaches
on the organization and on the individuals concerned. This Specification provides such guidance.
Recommendation ITU-T X.1058 | International Standard ISO/IEC 29151 specifies controls, purpose and guidance for
implementing controls, to meet the requirements identified by a risk and impact assessment related to the protection of PII.
In particular, this Specification specifies requirements and guidance based on ISO/IEC 27002, taking into consideration
the controls for processing PII that can be applicable within the context of an organization's information security risk
environment(s).
*
History
Edition Recommendation Approval Study Group Unique ID
1.0 ITU-T X.1058 2017-03-30 17 11.1002/1000/13182
2.0 ITU-T X.1058 2026-02-06 17 11.1002/1000/16527

Keywords
Control, guidance, protection of PII, requirements.

*
To access the Recommendation, type the URL http://handle.itu.int/ in the address field of your web browser,
followed by the Recommendation's unique ID.
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
iv
FOREWORD
The International Telecommunication Union (ITU) is the United Nations specialized agency in the field of
telecommunications, and information and communication technologies (ICTs). The ITU Telecommunication
Standardization Sector (ITU-T) is a permanent organ of ITU. ITU-T is responsible for studying technical,
operating and tariff questions and issuing Recommendations on them with a view to standardizing
telecommunications on a worldwide basis.
The World Telecommunication Standardization Assembly (WTSA), which meets every four years, establishes
the topics for study by the ITU-T study groups which, in turn, produce Recommendations on these topics.
The approval of ITU-T Recommendations is covered by the procedure laid down in WTSA Resolution 1.
In some areas of information technology which fall within ITU-T's purview, the necessary standards are
prepared on a collaborative basis with ISO and IEC.

NOTE
In this Recommendation, the expression "Administration" is used for conciseness to indicate both a
telecommunication administration and a recognized operating agency.
Compliance with this Recommendation is voluntary. However, the Recommendation may contain certain
mandatory provisions (to ensure, e.g., interoperability or applicability) and compliance with the
Recommendation is achieved when all of these mandatory provisions are met. The words "shall" or some other
obligatory language such as "must" and the negative equivalents are used to express requirements. The use of
such words does not suggest that compliance with the Recommendation is required of any party.

INTELLECTUAL PROPERTY RIGHTS
ITU draws attention to the possibility that the practice or implementation of this Recommendation may involve
the use of a claimed Intellectual Property Right. ITU takes no position concerning the evidence, validity or
applicability of claimed Intellectual Property Rights, whether asserted by ITU members or others outside of
the Recommendation development process.
As of the date of approval of this Recommendation, ITU had not received notice of intellectual property,
protected by patents/software copyrights, which may be required to implement this Recommendation.
However, implementers are cautioned that this may not represent the latest information and are therefore
strongly urged to consult the appropriate ITU-T databases available via the ITU-T website at
https://www.itu.int/ITU-T/ipr/.

 ITU 2026
All rights reserved. No part of this publication may be reproduced, by any means whatsoever, without the prior
written permission of ITU.
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
v
CONTENTS
Page
1 Scope . 1
2 Normative references . 1
3 Terms, definitions and abbreviated terms . 1
3.1 Terms and definitions . 1
3.2 Abbreviated terms . 2
4 Overview . 2
4.1 Protection of PII . 2
4.2 Requirement for the protection of PII . 2
4.3 Controls derived from privacy risk assessment . 3
4.4 Selecting controls . 3
4.5 Developing organization specific guidelines . 3
4.6 Life cycle considerations . 3
4.7 Structure of this Specification . 4
5 Organizational controls . 8
5.1 Policies for information security . 8
5.2 Information security roles and responsibilities . 8
5.3 Segregation of duties . 8
5.4 Management responsibilities . 9
5.5 Contact with authorities . 9
5.6 Contact with special interest groups . 9
5.7 Threat intelligence . 9
5.8 Information security in project management . 9
5.9 Inventory of information and other associated assets . 9
5.10 Acceptable use of information and other associated assets . 10
5.11 Return of assets . 10
5.12 Classification of information . 10
5.13 Labelling of information . 10
5.14 Information transfer . 10
5.15 Access control . 11
5.16 Identity management . 11
5.17 Authentication information . 11
5.18 Access rights . 11
5.19 Information security in supplier relationships . 11
5.20 Addressing information security within supplier agreements . 11
5.21 Managing information security in the ICT supply chain . 12
5.22 Monitoring, review and change management of supplier services . 12
5.23 Information security for use of cloud services . 12
5.24 Information security incident management planning and preparation . 12
5.25 Assessment and decision on information security events . 13
5.26 Response to information security incidents . 13
5.27 Learning from information security incidents . 13
5.28 Collection of evidence . 13
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
vi
5.29 Information security during disruption . 13
5.30 ICT readiness for business continuity . 13
5.31 Legal, statutory, regulatory and contractual requirements . 13
5.32 Intellectual property rights . 14
5.33 Protection of records . 14
5.34 Privacy and protection of PII . 14
5.35 Independent review of information security . 14
5.36 Conformance with policies, rules and standards for information security . 14
5.37 Documented operating procedures . 14
6 People controls . 15
6.1 Screening . 15
6.2 Terms and conditions of employment . 15
6.3 Information security awareness, education and training . 15
6.4 Disciplinary process . 15
6.5 Responsibilities after termination or change of employment . 15
6.6 Confidentiality or non-disclosure agreements . 15
6.7 Remote working . 15
6.8 Information security event reporting . 15
7 Physical controls . 16
7.1 Physical security perimeters . 16
7.2 Physical entry . 16
7.3 Securing offices, rooms and facilities . 16
7.4 Physical security monitoring . 16
7.5 Protecting against physical and environmental threats . 16
7.6 Working in secure areas . 16
7.7 Clear desk and clear screen . 16
7.8 Equipment siting and protection . 16
7.9 Security of assets off-premises . 16
7.10 Storage media . 16
7.11 Supporting utilities . 16
7.12 Cabling security. 17
7.13 Equipment maintenance . 17
7.14 Secure disposal or re-use of equipment . 17
8 Technological controls . 17
8.1 User endpoint devices . 17
8.2 Privileged access rights . 17
8.3 Information access restriction . 17
8.4 Access to source code . 17
8.5 Secure authentication . 18
8.6 Capacity management . 18
8.7 Protection against malware . 18
8.8 Management of technical vulnerabilities . 18
8.9 Configuration management . 18
8.10 Information deletion . 18
8.11 Data masking . 18
8.12 Data leakage prevention . 18
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
vii
8.13 Information backup . 18
8.14 Redundancy of information processing facilities . 18
8.15 Logging . 18
8.16 Monitoring activities . 19
8.17 Clock synchronization . 19
8.18 Use of privileged utility programs . 19
8.19 Installation of software on operational systems . 19
8.20 Networks security . 19
8.21 Security of network services . 19
8.22 Segregation of networks . 19
8.23 Web filtering . 19
8.24 Use of cryptography . 19
8.25 Secure development life cycle . 19
8.26 Application security requirements . 19
8.27 Secure system architecture and engineering principles . 19
8.28 Secure coding . 19
8.29 Security testing in development and acceptance . 20
8.30 Outsourced development . 20
8.31 Separation of development, test and production environments . 20
8.32 Change management . 20
8.33 Test information . 20
Annex A (normative) – Extended control set for PII protection . 21
A.1 General . 21
A.2 General policies for the use and protection of PII . 21
A.3 Consent and choice . 21
A.4 Purpose legitimacy and specification . 23
A.5 Collection limitation . 25
A.6 Data minimization . 25
A.7 Use, retention and disclosure limitation . 26
A.8 Accuracy and quality . 29
A.9 Openness, transparency and notice . 30
A.10 PII principal participation and access . 31
A.11 Accountability . 33
A.12 Information security . 36
A.13 Privacy compliance . 36
Annex B (informative) – Correspondence between this Specification and ISO/IEC 29151:2017 . 38
Bibliography . 41

Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
viii
Introduction
The number of organizations processing personally identifiable information (PII) is increasing, as is the amount of PII
that these organizations deal with. At the same time, societal expectations for the protection of PII and the security of data
relating to individuals are also increasing. A number of countries are augmenting their laws to address the increased
number of high-profile data breaches.
As the number of PII breaches increases, organizations collecting or processing PII will increasingly need guidance on
how they should protect PII in order to reduce the risk of privacy breaches occurring, and to reduce the impact of breaches
on the organization and on the individuals concerned. This Specification provides such guidance.
This Specification offers guidance for PII controllers on a broad range of information security and PII protection controls
that are commonly applied in many different organizations that deal with protection of PII. Other International Standards
that provide guidance or requirements on other aspects of the overall process of protecting PII are as follows:
– ISO/IEC 27001 specifies an information security management system, which is a suitable foundation for
protecting any information, including PII.
– ISO/IEC 27002 provides guidelines for organizational, people-related, physical and technological
information security controls that can be used for the protection of all kinds of information, including PII.
– ISO/IEC 27005 provides guidance to assist organizations to address information security risks and perform
information security risk management activities, specifically information security risk assessment and
treatment.
– ISO/IEC 27018 offers guidance to organizations acting as PII processors when offering processing
capabilities as cloud services.
– ISO/IEC 27701 specifies requirements and provides guidance for establishing, implementing, maintaining
and continually improving a Privacy Information Management System (PIMS).
– ISO/IEC 29100 provides a privacy framework which: specifies a common privacy terminology, defines
the actors and their roles in processing personally identifiable information (PII), describes privacy
safeguarding considerations, and provides references to known privacy principles for information
technology.
– ISO/IEC 29134 provides guidelines for assessing the potential impacts on privacy of a process, information
system, programme, software module, device or other initiative which processes personally identifiable
information (PII), while ISO/IEC 27001 together with ISO/IEC 27005 provide guidance to perform
information security risk management activities.
Controls are chosen based on the risks identified as a result of a risk analysis to develop a comprehensive, consistent
system of controls. Controls are adapted to the context of the particular processing of PII.
This Specification contains two parts:
– the main body consisting of clauses 1 to 8;
– Annexes A and B.
The structure of this Specification, including the clause titles, reflects the main body of ISO/IEC 27002:2022 for the
development of PII-specific extensions.
The title of the subclauses in clauses 5 to 8 mirror those of ISO/IEC 27002:2022, reflecting the fact that this document
builds on the guidance in ISO/IEC 27002:2022, adding new controls specific to the protection of PII. Many of the controls
in ISO/IEC 27002:2022 do not require amplification in the context of PII controllers. However, in some cases, additional
implementation guidance is needed, and this is given under the appropriate heading (and clause number) from
ISO/IEC 27002:2022.
Annex A contains an extended set of PII protection-specific controls. These new PII protection controls, with their
associated guidance, are divided into twelve categories, corresponding to the privacy policy and the eleven privacy
principles of ISO/IEC 29100:
– consent and choice;
– purpose, legitimacy and specification;
– collection limitation;
– data minimization;
– use, retention and disclosure limitation;
– accuracy and quality;
– openness, transparency and notice;
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
ix
– individual participation and access;
– accountability;
– information security; and
– privacy compliance.
Figure 1 describes the relationship between this Specification and other International Standards.

Figure 1 – Relationship between this Specification and other International Standards
This Specification includes guidance based on ISO/IEC 27002. The guidance is adapted as necessary to address the
privacy needs that arise from the processing of PII:
a) in different processing domains such as:
– public cloud services,
– social networking applications,
– internet-connected devices in the home,
– search, analysis,
– targeting of PII for advertising and similar purposes,
– big data analytics programmes,
– employment processing,
– business management in sales and service (enterprise resource planning, customer relationship
management);
b) in different locations such as:
– on a personal processing platform provided to an individual (e.g., smart cards, smart phones and their
apps, smart meters, wearable devices),
– within data transportation and collection networks (e.g., where mobile phone location data is created
operationally by network processing, which can be considered PII in some jurisdictions),
– within an organization's own processing infrastructure,
– on a third party's processing platform;
c) for the collection type such as:
– one-time data collection (e.g., on registering for a service),
– ongoing data collection (e.g., frequent health parameter monitoring by sensors on or in an individual's
body, multiple data collections using contactless payment cards for payment, smart meter data
collection systems).
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
x
Ongoing data collection can contain or yield behavioural, locational and other types of PII. In such cases, it is
recommended to use PII protection controls that allow:
– access and collection to be managed based on consent, and
– the PII principal to exercise appropriate control over such access and collection.

Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
xi
INTERNATIONAL STANDARD
ITU-T RECOMMENDATION
Information security, cybersecurity and privacy protection – Controls, requirements and
guidance for personally identifiable information protection
1 Scope
This Recommendation | International Standard specifies controls, purpose, and guidance for implementing controls, to
meet the requirements identified by a risk and impact assessment related to the protection of personally identifiable
information (PII).
In particular, this Recommendation | International Standard specifies requirements and guidance based on ISO/IEC
27002, taking into consideration the controls for processing PII that can be applicable within the context of an
organization's information security risk environment(s).
This Recommendation | International Standard is applicable to all types and sizes of organizations acting as PII controllers
(as defined in ISO/IEC 29100), including public and private companies, government entities and not-for-profit
organizations that process PII, in particular, organizations that do not establish or operate a privacy information
management system.
2 Normative references
The following Recommendations and International Standards contain provisions which, through reference in this text,
constitute provisions of this Recommendation | International Standard. At the time of publication, the editions indicated
were valid. All Recommendations and Standards are subject to revision, and parties to agreements based on this
Recommendation | International Standard are encouraged to investigate the possibility of applying the most recent edition
of the Recommendations and Standards listed below. Members of IEC and ISO maintain registers of currently valid
International Standards. The Telecommunication Standardization Bureau of the ITU maintains a list of currently valid
ITU-T Recommendations.
– ISO/IEC 27002:2022, Information security, cybersecurity and privacy protection – Information security
controls.
– ISO/IEC 29100:2024, Information technology – Security techniques – Privacy framework.
3 Terms, definitions and abbreviated terms
3.1 Terms and definitions
For the purposes of this Recommendation | International Standard, the terms and definitions given in ISO/IEC 27000,
ISO/IEC 27002, ISO/IEC 29100 and the following apply.
ITU, ISO and IEC maintain terminology databases for use in standardization at the following addresses:
– ITU Terms and Definitions at https://www.itu.int/myworkspace/terminology
– ISO Online browsing platform: available at https://www.iso.org/obp
– IEC Electropedia: available at https://www.electropedia.org/
3.1.1 chief privacy officer (CPO): Senior management individual who is accountable for the protection of personally
identifiable information (PII) (3.1.4) in an organization (3.1.3).
3.1.2 de-identification: Process of removing the association between a set of identifying data and the data principal,
using de-identification techniques.
3.1.3 organization: Person or group of people that has its own functions with responsibilities, authorities and
relationships to achieve its objectives.
NOTE – The concept of organization includes, but is not limited to, sole-trader, company, corporation, firm, enterprise, authority,
partnership, charity or institution, or part or combination thereof, whether incorporated or not, public or private.
3.1.4 personally identifiable information (PII): Information that (a) can be used to establish a link between the
information and the natural person to whom such information relates, or (b) is or might be directly or indirectly linked to
a natural person.
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
NOTE – The "natural person" in the definition is the PII principal (3.1.6). To determine whether a PII principal is identifiable,
account should be taken of all the means which can reasonably be used by the privacy stakeholder holding the data, or by any other
party, to establish the link between the set of PII and the natural person.
[SOURCE: ISO/IEC 29100, 3.7]
3.1.5 personally identifiable information controller (PII controller): Privacy stakeholder (or privacy stakeholders)
that determines the purposes and means for processing personally identifiable information (PII) (3.1.4) other than natural
persons who use data for personal purposes.
NOTE – A PII controller sometimes instructs others [e.g., PII processors (3.1.7)] to process PII on its behalf while the
responsibility for the processing remains with the PII controller.
[SOURCE: ISO/IEC 29100, 3.8]
3.1.6 personally identifiable information principal data subject (PII principal): Natural person to whom
the personally identifiable information (PII) (3.1.4) relates.
[SOURCE: ISO/IEC 29100, 3.9]
3.1.7 personally identifiable information processor (PII processor): Privacy stakeholder that processes personally
identifiable information (PII) (3.1.4) on behalf of and in accordance with the instructions of a PII controller (3.1.5).
[SOURCE: ISO/IEC 29100, 3.10]
3.1.8 privacy risk assessment, privacy impact assessment: Overall process of identifying, analysing, evaluating,
consulting, communicating and planning the treatment of potential privacy impacts with regard to the processing
of personally identifiable information (3.1.4), framed within an organization's broader risk management framework.
[SOURCE: ISO/IEC 29100, 3.18]
3.2 Abbreviations
For the purposes of this Recommendation | International Standard, the following abbreviations apply:
CPO Chief Privacy Officer
PIA Privacy Impact Assessment
PII Personally Identifiable Information
4 Overview
4.1 Protection of PII
This Recommendation | International Standard provides a set of controls for PII protection. The objective of the controls
for protection of PII is to enable organizations to put in place a set of controls as part of their overall PII protection
programme. Controls can be used in a framework for demonstrating compliance with privacy-related laws and regulations,
managing privacy risks and meeting the expectations of PII principals, regulators or clients, in accordance with the privacy
principles described in clauses in ISO/IEC 29100.
4.2 Requirement for the protection of PII
An organization should identify its PII protection requirements. ISO/IEC 29100 can be applied to identify PII protection
requirements. There are four main factors that apply to PII protection requirements:
– legal and regulatory factors for the safeguarding of the PII principal's privacy and the protection of their
PII;
– contractual factors, such as agreements between and among several different actors, company policies and
binding corporate rules;
– risk assessment factors, including privacy risk assessment, which covers external and internal context
which can be determined through business strategy and objectives; and
– corporate policies: an organization can also choose voluntarily to go beyond the criteria that are derived
from previous requirements.
PII protection controls (including information security controls) should be selected on the basis of a risk assessment. The
results of a privacy impact assessment (PIA) as specified in ISO/IEC 29134 can help determine, prioritize and implement
the appropriate controls for managing risks to the protection of PII and for implementing controls selected to protect
against these risks.
A PIA document as defined in ISO/IEC 29134 provides PIA guidance, including advice on privacy risk assessment,
privacy risk treatment plan, privacy risk acceptance and privacy risk review.
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
4.3 Controls derived from privacy risk assessment
Privacy risk assessment helps organizations protect the confidentiality, integrity and availability of PII. Data breach can
cause significant harm to both organizations and individuals. Organizations should identify and implement controls to
treat the risks identified by the risk impact process. Privacy risk assessment report should describe at least system
requirements, system design and operational plans and procedures. ISO/IEC 29134 provides information on what should
be documented in a privacy risk assessment.
NOTE – Some jurisdictions require privacy risk assessments depending on the level of the risk of PII processing, the nature of the
organization (e.g., government agencies), etc.
4.4 Selecting controls
Controls can be selected from this Specification, including by reference the controls from ISO/IEC 27002, creating a
combined reference control set. If required, controls can also be selected from other control sets or new controls can be
designed to meet specific needs, as appropriate.
The selection of controls is dependent upon organizational decisions based on the criteria for risk treatment options and
the general risk management approach, applied to the organization and, through contractual agreements, to its customers
and suppliers.
NOTE – Legal requirements can also apply for selection of controls.
Organizations shall consider the extended control set for PII protection in Annex A for selecting controls to implement
the privacy risk treatment option(s) chosen.
The selection and implementation of controls is also dependent upon the organization's role in the provision of
infrastructure or services. Many different organizations are involved in providing infrastructure or services. In some
circumstances, selected controls may be unique to a particular organization. In other instances, there may be shared roles
in implementing controls. Contractual agreements should clearly specify the PII protection responsibilities of all
organizations involved in providing or using the services.
The controls in this Specification can be used as reference for organizations that process PII and are intended to be
applicable for all organizations acting as PII controllers. Organizations acting as PII processors should apply the controls
in this Specification according to the instructions of the PII controller. PII controllers should ensure that their PII
processors are able to implement all the necessary controls included in their PII processing agreement according to the
purpose of PII processing. PII controllers using cloud services as PII processors may review ISO/IEC 27018 to identify
relevant controls to implement.
The controls in this Specification are explained in more detail in clauses 5 to 8, along with implementation guidance.
Implementation can be simpler if requirements for the protection of PII have been considered in the design of the
organization's information systems, services and operations. Such consideration is an element of the concept that is often
called privacy by design (PBD). More information about selecting controls and other risk treatment options can be found
in ISO/IEC 29134. Other relevant references are listed in the bibliography.
4.5 Developing organization specific guidelines
This Recommendation | International Standard can be regarded as a starting point for developing organization specific
guidelines. Not all the controls and guidance in this Specification are applicable to all organizations.
Furthermore, additional controls and guidelines not
...

Norme
internationale
ISO/IEC 29151
Deuxième édition
Sécurité de l'information,
2026-07
cybersécurité et protection de la
vie privée – Mesures de contrôle,
prescriptions et conseils pour
la protection des informations
d'identification personnelle
Information security, cybersecurity and privacy protection —
Controls, requirements, and guidance for personally identifiable
information protection
Numéro de référence
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO/IEC 2026
Tous droits réservés.
La présente publication de l’ISO est protégée par le droit d’auteur et demeure la propriété de l’ISO et/ou de ses concédants de
licence.
Le contenu de la présente publication de l’ISO est fourni sous licence, et n’est pas vendu. Son utilisation est soumise aux conditions
de licence applicables définies par l’ISO, un organisme membre de l’ISO, ou un distributeur tiers agréé.
Sous réserve des besoins liés à sa mise en œuvre ou d’une autorisation expresse prévue aux termes d’une licence distincte, aucune
partie de la présente publication de l’ISO ne peut être reproduite, distribuée, modifiée, utilisée ou mise à disposition sous quelque
forme ou par quelque moyen que ce soit – électronique ou mécanique, y compris la photocopie, la numérisation, l’enregistrement
ou la publication sur des plateformes numériques internes ou externes.
Toute utilisation hors du champ d’application des droits accordés est interdite et peut donner lieu à des poursuites judiciaires.
ISO copyright office
Case postale 401 • CH-1214 Vernier, Genève
Tél.: [phone]
E-mail: [e-mail]
Web: www.iso.org
Publié en Suisse
© ISO/IEC 2026 – Tous droits réservés
ii
Avant-propos
L'ISO (Organisation internationale de normalisation) et l’IEC (Commission électrotechnique
internationale) forment le système spécialisé de la normalisation mondiale. Les organismes nationaux
membres de l'ISO ou de l’IEC participent au développement de Normes internationales par
l'intermédiaire des comités techniques créés par l'organisation concernée afin de s'occuper des
domaines particuliers de l'activité technique. Les comités techniques de l'ISO et de l’IEC collaborent dans
des domaines d'intérêt commun. D'autres organisations internationales, gouvernementales et non
gouvernementales, en liaison avec l'ISO et l’IEC, participent également aux travaux.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents
critères d'approbation requis pour les différents types de documents.
L’ISO et l’IEC attirent l’attention sur le fait que la mise en application du présent document peut
entraîner l’utilisation d’un ou de plusieurs brevets. L’ISO et l’IEC ne prennent pas position quant à la
preuve, à la validité et à l’applicabilité de tout droit de brevet revendiqué à cet égard. À la date de
publication du présent document, L’ISO et l’IEC n'avaient pas reçu notification qu’un ou plusieurs
brevets pouvaient être nécessaires à sa mise en application. Toutefois, il y a lieu d’avertir les
responsables de la mise en application du présent document que des informations plus récentes sont
susceptibles de figurer dans la base de données de brevets, disponible à l'adresse www.iso.org/brevets
et https://patents.iec.ch. L’ISO et l’IEC ne sauraient être tenues pour responsables de ne pas avoir
identifié tout ou partie de tels droits de propriété.
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l’intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion
de l'ISO aux principes de l’Organisation mondiale du commerce (OMC) concernant les obstacles
techniques au commerce (OTC), voir www.iso.org/iso/avant-propos. Pour l'IEC, voir
www.iec.ch/understanding-standards.
Le présent document a été élaboré par L'UIT en tant que X.1058 (2025) rédigé conformément à ses
règles de rédaction, en collaboration avec le comité technique mixte ISO/IEC JTC 1, Technologies de
l'information, sous-comité SC 27, Sécurité de l’information, cybersécurité et protection de la vie privée, et
en collaboration avec le comité technique CEN/CLC/JTC 13, Cybersécurité et protection des données, du
Comité européen de normalisation (CEN) conformément à l’Accord de coopération technique entre l’ISO
et le CEN (Accord de Vienne).
Cette deuxième édition annule et remplace la première édition (ISO/IEC 29151:2017), qui a fait l’objet
d’une révision technique.
Les principales modifications sont les suivantes:
— le contenu des recommandations relatives aux mesures de sécurité figurant dans le corps du texte et aux mesures
de protection de la vie privée figurant à l'Annexe A a été harmonisé avec la norme ISO/IEC 27002:2022.
Il convient que l’utilisateur adresse tout retour d’information ou toute question concernant le présent
document à l’organisme national de normalisation de son pays. Une liste exhaustive desdits organismes
se trouve à l’adresse www.iso.org/members.html et www.iec.ch/national-committees.

ii Rec. UIT-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved

TABLE DES MATIÈRES
Page
1 Domaine d'application . 1
2 Références normatives . 1
3 Termes, définitions et abréviations . 1
3.1 Termes et définitions . 1
3.2 Abréviations . 2
4 Aperçu général . 2
4.1 Protection des IIP . 2
4.2 Besoins en matière de protection des IIP. 2
4.3 Mesures de contrôle découlant de l'évaluation des risques pour la vie privée . 3
4.4 Choix des mesures de contrôle . 3
4.5 Élaboration de lignes directrices propres à l'organisation . 4
4.6 Éléments concernant le cycle de vie . 4
4.7 Structure de la présente Recommandation | Norme internationale . 4
5 Mesures de sécurité organisationnelles . 9
5.1 Politiques de sécurité de l'information . 9
5.2 Fonctions et responsabilités liées à la sécurité de l'information . 9
5.3 Séparation des tâches. 10
5.4 Responsabilités en matière de gestion . 10
5.5 Contacts avec les autorités . 10
5.6 Contacts avec des groupes d'intérêt spécifiques . 10
5.7 Renseignements sur les menaces . 10
5.8 Sécurité de l'information dans la gestion de projet . 10
5.9 Inventaire des informations et autres actifs associés . 11
5.10 Utilisation correcte des informations et autres actifs associés . 11
5.11 Restitution des actifs . 12
5.12 Classification des informations . 12
5.13 Marquage des informations . 12
5.14 Transfert des informations . 12
5.15 Contrôle d'accès . 12
5.16 Gestion des identités . 12
5.17 Informations d'authentification . 13
5.18 Droits d'accès . 13
5.19 Sécurité de l'information dans les relations avec les fournisseurs . 13
5.20 La sécurité de l'information dans les accords conclus avec les fournisseurs . 13
5.21 Gestion de la sécurité de l'information dans la chaîne d'approvisionnement TIC . 14
5.22 Surveillance, révision et gestion des changements des services fournisseurs . 14
5.23 Sécurité de l'information dans l'utilisation de services en nuage . 14
5.24 Planification et préparation de la gestion des incidents de sécurité de l'information . 14
5.25 Évaluation des événements de sécurité de l'information et prise de décision . 15
5.26 Réponse aux incidents de sécurité de l'information . 15
5.27 Tirer des enseignements des incidents de sécurité de l'information . 15
5.28 Collecte des preuves . 15
5.29 Sécurité de l'information pendant une perturbation . 16
iii Rec. UIT-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved

Page
5.30 Préparation des TIC pour la continuité d'activité . 16
5.31 Exigences légales, statutaires, réglementaires et contractuelles . 16
5.32 Droits de propriété intellectuelle . 16
5.33 Protection des enregistrements . 16
5.34 Protection de la vie privée et des DCP . 16
5.35 Révision indépendante de la sécurité de l'information . 16
5.36 Conformité aux politiques, règles et normes de sécurité de l'information . 17
5.37 Procédures d'exploitation documentées . 17
6 Mesures de sécurité applicables aux personnes . 17
6.1 Sélection des candidats . 17
6.2 Termes et conditions du contrat de travail . 17
6.3 Sensibilisation, enseignement et formation en sécurité de l'information . 17
6.4 Processus disciplinaire . 18
6.5 Responsabilité après la fin ou le changement d'un emploi . 18
6.6 Accords de confidentialité ou de non-divulgation . 18
6.7 Travail à distance . 18
6.8 Déclaration des événements de sécurité de l'information . 18
7 Mesures de sécurité physique . 18
7.1 Périmètres de sécurité physique . 18
7.2 Les entrées physiques . 18
7.3 Sécurisation des bureaux, des salles et des installations . 19
7.4 Surveillance de la sécurité physique . 19
7.5 Protection contre les menaces physiques et environnementales . 19
7.6 Travail dans les zones sécurisées . 19
7.7 Bureau vide et écran vide . 19
7.8 Emplacement et protection du matériel . 19
7.9 Sécurité des actifs hors des locaux . 19
7.10 Supports de stockage . 19
7.11 Services supports . 19
7.12 Sécurité du câblage . 20
7.13 Maintenance du matériel . 20
7.14 Élimination ou recyclage sécurisé(e) du matériel . 20
8 Mesures de sécurité technologiques . 20
8.1 Terminaux finaux des utilisateurs . 20
8.2 Droits d'accès privilégiés . 20
8.3 Restrictions d'accès aux informations . 20
8.4 Accès aux codes source . 21
8.5 Authentification sécurisée . 21
8.6 Dimensionnement . 21
8.7 Protection contre les programmes malveillants (malware). 21
8.8 Gestion des vulnérabilités techniques . 21
8.9 Gestion des configurations . 21
8.10 Suppression des informations . 21
8.11 Masquage des données . 21
8.12 Prévention de la fuite de données . 21
iv Rec. UIT-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved

Page
8.13 Sauvegarde des informations . 21
8.14 Redondance des moyens de traitement de l'information . 22
8.15 Journalisation . 22
8.16 Activités de surveillance . 22
8.17 Synchronisation des horloges . 22
8.18 Utilisation de programmes utilitaires à privilèges . 22
8.19 Installation de logiciels sur des systèmes opérationnels . 22
8.20 Sécurité des réseaux . 23
8.21 Sécurité des services réseau . 23
8.22 Cloisonnement des réseaux . 23
8.23 Filtrage web . 23
8.24 Utilisation de la cryptographie . 23
8.25 Cycle de vie de développement sécurisé . 23
8.26 Exigences de sécurité des applications . 23
8.27 Principes d'ingénierie et d'architecture des systèmes sécurisés . 23
8.28 Codage sécurisé . 23
8.29 Tests de sécurité dans le développement et l'acceptation . 23
8.30 Développement externalisé . 23
8.31 Séparation des environnements de développement, de test et opérationnels . 23
8.32 Gestion des changements . 24
8.33 Informations de test . 24
8.34 Protection des systèmes d'information pendant les tests d'audit . 24
Annexe A – Extension des mesures de contrôle à la protection des IIP . 25
A.1 Considérations générales . 25
A.2 Politiques générales concernant l'utilisation et la protection des IIP . 25
A.3 Consentement et choix . 26
A.4 Légitimité et définition du but . 28
A.5 Limites du recueil d'informations . 29
A.6 Réduction des informations au minimum . 30
A.7 Limites d'utilisation, de conservation et de divulgation . 31
A.8 Exactitude et qualité . 34
A.9 Ouverture, transparence et note d'information . 35
A.10 Participation et accès de l'entité principale des IIP . 36
A.11 Responsabilité . 39
A.12 Sécurité des informations . 42
A.13 Respect de la vie privée . 42
Annexe B – Correspondance entre la présente spécification et la Recommandation UIT-T X.1058:2017 |
norme ISO/CEI 29151:2017 . 44
Bibliographie . 47

v Rec. UIT-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved

Introduction
Le nombre d'organisations chargées de traiter des informations d'identification personnelle (IIP) ne cesse de croître, tout
comme le volume de données que ces organisations doivent gérer. Parallèlement, la société exige toujours plus de
protection de ces informations et de sécurité des données personnelles. Face au nombre croissant d'atteintes sophistiquées
à des données personnelles, un certain nombre de pays ont entrepris de renforcer leur législation.
Alors que ces atteintes se multiplient, les organisations qui recueillent ou traitent les IIP vont avoir de plus en plus besoin
de conseils sur la manière de protéger ces informations pour réduire les risques d'atteinte et d'atténuer l'incidence de ces
atteintes sur l'organisation ou la personne qui en est victime. La présente spécification fournit précisément ce type de
conseils.
La présente spécification contient des conseils destinés aux contrôleurs des IIP et couvre un large éventail de mesures sur
la sécurité de l'information et la protection des IIP. Ces mesures sont fréquemment employées par des organisations très
diverses chargées de protéger des informations. D'autres normes internationales contiennent des conseils ou des
prescriptions sur d'autres aspects du processus global de protection des IIP:
– La norme ISO/CEI 27001 définit un système de gestion de la sécurité de l'information, qui constitue un
bon point de départ pour la protection de l'information, notamment les IIP.
– La norme ISO/CEI 27002 établit des lignes directrices concernant les mesures relatives à la sécurité de
l'information d'ordre organisationnel, personnel, physique et technologique qui peuvent servir à protéger
toutes sortes d'informations, par exemple les IIP.
– La norme ISO/CEI 27005 fournit des conseils pour aider les organisations à traiter les risques liés à la
sécurité de l'information et à mettre en œuvre des activités permettant de gérer ces risques, couvrant plus
précisément l'évaluation des risques et la manière d'y remédier.
– La norme ISO/CEI 27018 contient des conseils pour les prestataires de services chargés de traiter des IIP
qui proposent des services en nuage.
– La norme ISO/CEI 27701 définit les exigences relatives à la création, la mise en œuvre, le maintien et
l'amélioration continue d'un système de gestion de la protection de la vie privée (PIMS) et fournit des
recommandations pour mettre en pratique ces exigences.
– La norme ISO/CEI 29100 fournit un cadre pour la protection de la vie privée qui spécifie une terminologie
commune relative à la protection de la vie privée, définit les acteurs et leurs rôles dans le traitement des
données à caractère personnel (DCP) (ou informations d'identification personnelle (IIP)), décrit les
éléments à prendre en considération pour la protection de la vie privée, et fournit des références à des
principes connus de protection de la vie privée pour les technologies de l'information.
– La norme ISO/CEI 29134 établit des lignes directrices permettant d'étudier les éventuelles répercussions
sur la vie privée d'un processus, d'un système d'information, d'un programme, d'un module logiciel, d'un
appareil ou de toute autre initiative amenée à traiter des informations d'identification personnelle (IIP),
tandis que les normes ISO/CEI 27001 et ISO/CEI 27005 fournissent ensemble des conseils pour mener les
activités de gestion des risques liées à la sécurité de l'information.
Les mesures de contrôle sont choisies en fonction des risques recensés au terme d'une analyse de risque afin de mettre en
place un système de contrôle global et cohérent. Ces mesures sont adaptées au contexte du traitement particulier des IIP.
La présente spécification comporte deux parties:
– le corps principal du texte qui va des articles 1 à 8;
– les Annexes A et B.
La structure de la présente spécification, y compris le titre des articles, reprend celle du corps principal de la
norme ISO/CEI 27002:2022 pour l'extension de la norme au domaine particulier des IIP.
Les paragraphes des articles 5 à 8 ont le même titre que ceux de la norme ISO/CEI 27002:2022, compte tenu du fait que
la présente spécification s'inspire des conseils fournis dans cette norme en y ajoutant des mesures de contrôle propres à la
protection des IIP. Il n'est pas exigé d'étendre bon nombre des mesures de la norme ISO/CEI 27002:2022 pour pouvoir
les appliquer aux contrôleurs des IIP. Toutefois, dans certains cas, il a été nécessaire d'ajouter des conseils supplémentaires
sur la mise en œuvre de ces mesures; ces conseils apparaissent alors sous le titre (et le numéro d'article) correspondants
de la norme ISO/CEI 27002:2022.
On trouvera dans l'Annexe A de nombreuses mesures de contrôle qui visent spécifiquement à protéger les IIP. Ces
nouvelles mesures de protection des IIP, ainsi que les conseils qui les accompagnent, sont répartis en douze catégories
correspondant à la politique de protection de la vie privée et aux onze principes relatifs à la vie privée qui sont énoncés
dans la norme ISO/CEI 29100:
– consentement et choix;
vi Rec. UIT-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved

– légitimité et définition du but;
– limites du recueil d'informations;
– réduction des informations au minimum;
– limites d'utilisation, de conservation et de divulgation;
– exactitude et qualité;
– ouverture, transparence et note d'information;
– participation et accès de l'entité principale;
– responsabilité;
– sécurité des informations; et
– respect de la vie privée.
On trouvera dans la Figure 1 ci-après une description de la relation entre la présente spécification et d'autres normes
internationales.
Figure 1 – Relation entre la présente spécification et d'autres normes internationales
La présente spécification contient des conseils fondés sur la norme ISO/CEI 27002. Ces conseils sont adaptés si nécessaire
afin de répondre aux besoins de protection de la vie privée découlant du traitement des IIP:
a) dans différents domaines de traitement, notamment:
– les services publics en nuage;
– les applications de réseaux sociaux;
– les appareils domestiques connectés à l'Internet;
– la recherche et l'analyse;
– le ciblage d'IIP à des fins de publicité et d'autres fins analogues;
– les programmes d'analyse des grands volumes de données;
– le traitement des données relatives à l'emploi;
– la gestion des ventes et des services (planification des ressources de l'entreprise, gestion de la relation
client);
b) sur différentes plates-formes de traitement, notamment:
– sur une plate-forme de traitement personnelle fournie à une personne (comme une carte à puce, un
téléphone intelligent équipé d'applications, un compteur électrique intelligent, des dispositifs à porter
sur soi);
– dans des réseaux de transmission et de recueil de données (par exemple, lorsque l'administration d'un
réseau permet de localiser un téléphone mobile, cette information pouvant être considérée comme
une IIP sous certaines juridictions);
– dans l'infrastructure de traitement propre à une organisation;
vii Rec. UIT-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved

– sur la plate-forme de traitement d'un tiers;
c) pour certains types de recueil de données, notamment:
– un recueil de données n'intervenant qu'une seule fois (par exemple, lors de la création d'un compte
d'accès à un service);
– le recueil permanent de données (par exemple, dans le cadre de la surveillance de la santé, où des
capteurs situés sur ou dans le corps recueillent fréquemment des informations, ou encore les
nombreuses opérations de recueil de données intervenant lorsqu'on emploie une carte de paiement
sans contact, ou des systèmes de recueil de données par des compteurs électriques intelligents).
Les opérations permanentes de recueil de données peuvent contenir ou produire des IIP concernant le comportement ou
l'emplacement des personnes, ainsi que d'autres types de données à caractère personnel. Dans ces cas, il est recommandé
d'appliquer des mesures de protection des IIP qui permettent:
– de gérer l'accès et le recueil de ces informations sur la base du consentement; et
– à l'entité principale des IIP de surveiller comme il convient cet accès et ce recueil.

viii Rec. UIT-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved

NORME INTERNATIONALE
RECOMMANDATION UIT-T
Sécurité de l'information, cybersécurité et protection de la vie privée – Mesures de contrôle,
prescriptions et conseils pour la protection des informations d'identification personnelle
1 Domaine d'application
La présente Recommandation | Norme internationale définit un certain nombre de buts et de mesures de contrôle, et
contient des recommandations permettant de mettre ces mesures en œuvre. Elle vise à répondre aux besoins recensés dans
le cadre des évaluations de risque et d'impact effectuées dans le domaine de la protection des informations d'identification
personnelle (IIP).
En particulier, la présente Recommandation | Norme internationale définit des prescriptions et des recommandations qui
sont fondées sur la norme ISO/CEI 27002, compte tenu des mesures de contrôle prises dans le cadre du traitement des IIP
qui peuvent être pertinentes au regard des risques de sécurité pesant sur les informations d'une organisation particulière.
La présente Recommandation | Norme internationale s'applique aux organisations de tout type et de toute taille ayant pour
mission de contrôler les IIP (au sens de la norme ISO/CEI 29100), qu'il s'agisse d'entreprises publiques ou privées,
d'organismes publics ou d'ONG, dès lors qu'elles effectuent un traitement des IIP. Elle s'applique en particulier aux
organisations dépourvues de système de gestion des informations personnelles.
2 Références normatives
Les Recommandations et Normes internationales suivantes contiennent des dispositions qui, par suite de la référence qui
y est faite, constituent des dispositions valables pour la présente Recommandation | Norme internationale. Au moment de
la publication, les éditions indiquées étaient en vigueur. Toutes Recommandations et Normes sont sujettes à révision et les
parties prenantes aux accords fondés sur la présente Recommandation | Norme internationale sont invitées à rechercher la
possibilité d'appliquer les éditions les plus récentes des Recommandations et Normes indiquées ci-après. Les membres de
la CEI et de l'ISO possèdent le registre des Normes internationales en vigueur. Le Bureau de la normalisation des
télécommunications de l'UIT tient à jour une liste des Recommandations UIT-T en vigueur.
– ISO/CEI 27002:2022, Sécurité de l'information, cybersécurité et protection de la vie privée – Mesures de
sécurité de l'information.
– ISO/CEI 29100:2024, Technologies de l'information – Techniques de sécurité – Cadre privé.
3 Termes, définitions et abréviations
3.1 Termes et définitions
Pour les besoins de la présente Recommandation | Norme internationale, les termes et définitions donnés dans
l'ISO/CEI 27000, l'ISO/CEI 27002 et l'ISO/CEI 29100 ainsi que les suivants s'appliquent.
L'UIT, l'ISO et la CEI tiennent à jour des bases de données terminologiques destinées à être utilisées en normalisation,
consultables aux adresses suivantes:
– Base de données des termes et définitions de l'UIT: disponible à l'adresse
https://www.itu.int/myworkspace/terminology.
– Plate-forme de navigation en ligne de l'ISO: disponible à l'adresse https://www.iso.org/obp.
– CEI Electropedia: disponible à l'adresse https://www.electropedia.org/.
3.1.1 directeur des données personnelles (DDP): cadre supérieur responsable de la protection des données
d'identification personnelle (IIP) (voir le point 3.1.4) dans une organisation (voir le point 3.1.3).
3.1.2 désidentification: opération consistant à supprimer l'association entre un ensemble de données permettant
l'identification et l'entité à qui appartiennent ces données en utilisant des techniques de désidentification.
3.1.3 organisation: personne ou groupe de personnes ayant un rôle avec les responsabilités, l'autorité et les relations
lui permettant d'atteindre ses objectifs.
NOTE – Le concept d'organisation englobe, sans s'y limiter, les travailleurs indépendants, les compagnies, les sociétés, les firmes,
les entreprises, les administrations, les partenariats, les organisations caritatives ou les institutions, ou bien une partie ou une
combinaison des entités précédentes, à responsabilité limitée ou ayant un autre statut, de droit public ou privé.
9 Rec. UIT-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved

3.1.4 information d'identification personnelle (IIP): information a) qui peut être utilisée pour établir un lien entre
l'information et la personne physique à laquelle l'information appartient, ou b) qui est ou pourrait être directement ou
indirectement liée à une personne physique.
NOTE – Dans cette définition, la "personne physique" correspond à l'entité principale des IIP (voir le point 3.1.6). Pour déterminer
si l'entité principale des IIP peut être identifiée, il convient de tenir compte de tous les moyens qui peuvent être raisonnablement
utilisés par la partie intervenant dans la protection de la vie privée et détenant les données, ou par toute autre partie, pour identifier
le lien entre l'ensemble d'IIP et la personne physique.
[SOURCE: ISO/CEI 29100, 3.7]
3.1.5 contrôleur des informations d'identification personnelle (contrôleur des IIP): partie(s) intervenant dans la
protection de la vie privée qui détermine(nt) les finalités et les moyens du traitement des informations d'identification
personnelle (IIP) (voir le point 3.1.4), autre(s) que les personnes physiques qui utilisent les données à des fins personnelles.
NOTE – Un contrôleur des IIP charge parfois d'autres personnes [par exemple, des prestataires de services chargés de traiter des IIP
(voir le point 3.1.7)] de traiter les PII en son nom, tout en conservant la responsabilité du contrôle.
[SOURCE: ISO/CEI 29100, 3.8]
3.1.6 entité principale des informations d'identification personnelle – sujet des données (entité principale
des IIP): personne physique à laquelle les informations d'identification personnelle (IIP) (voir le point 3.1.4) se rapportent.
[SOURCE: ISO/CEI 29100, 3.9]
3.1.7 prestataire de services chargé de traiter des informations d'identification personnelle (prestataire de
services chargé de traiter des IIP): partie intervenant dans la protection de la vie privée qui traite les informations
d'identification personnelle (IIP) (voir le point 3.1.4) au nom et conformément aux instructions d'un contrôleur des IIP
(voir le point 3.1.5).
[SOURCE: ISO/CEI 29100, 3.10]
3.1.8 évaluation des risques pour la vie privée – évaluation des incidences sur la vie privée: processus global
d'identification, d'analyse, d'évaluation, de consultation, de communication et de planification du traitement d'éventuelles
incidences sur la vie privée en ce qui concerne le traitement des informations d'identification personnelle (voir le
point 3.1.4), s'inscrivant dans un cadre de gestion des risques plus vaste de l'organisation.
[SOURCE: ISO/CEI 29100, 3.18]
3.2 Abréviations
Pour les besoins de la présente Recommandation | Norme internationale, les abréviations suivantes s'appliquent:
DDP directeur des données personnelles
EIVP évaluation des incidences sur la vie privée
IIP informations d'identification personnelle
4 Aperçu général
4.1 Protection des IIP
La présente Recommandation | Norme internationale contient un ensemble de mesures de contrôle destinées à protéger les
informations d'identification personnelle (IIP). Ces mesures ont pour but d'aider les organisations à mettre en place un
ensemble de mesures de contrôle dans le cadre de leur programme général de protection des IIP. Ces mesures peuvent être
appliquées pour apporter la preuve de la conformité de l'organisation à la législation et aux réglementations en matière de
données personnelles, ainsi que pour gérer les risques concernant les données personnelles et pour répondre aux attentes
des entités principales des IIP, des législateurs ou des clients, conformément aux principes en matière de données
personnelles énoncés dans les articles de la norme ISO/CEI 29100.
4.2 Besoins en matière de protection des IIP
Il convient que les organisations recensent leurs besoins en matière de protection des IIP. Pour ce faire, il est possible
d'utiliser la norme ISO/CEI 29100. Les besoins dans ce domaine sont dictés par quatre types de facteurs:
– les facteurs juridiques et réglementaires pour la protection des données personnelles de l'entité principale
des IIP et la protection de ses IIP;
– les facteurs contractuels, tels que les accords conclus entre plusieurs acteurs différents, les politiques
d'entreprise et les règles d'entreprise contraignantes;
– les facteurs liés à l'évaluation des risques, notamment l'évaluation des risques pour la vie privée, qui couvre
le contexte externe et interne qu'il est possible de déterminer par le biais de la stratégie et des objectifs de
l'organisation; et
10 Rec. UIT-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved

– les politiques d'entreprise: une organisation peut volontairement choisir d'aller au-delà des critères découlant
des besoins déjà recensés.
Il convient de choisir les mesures de protection des IIP (et en particulier les mesures de sécurité de l'information) au regard
des résultats de l'évaluation des risques. Les résultats d'une évaluation des incidences sur la vie privée (EIVP) comme celle
qui est décrite dans la norme ISO/CEI 29134 peuvent aider à établir, prioriser et mettre en œuvre les mesures de contrôle
appropriées pour la gestion des risques liés à la protection des IIP, et la mise en place des mesures de contrôle choisies
pour se prémunir contre ces risques.
Le document d'une EIVP tel que défini dans la norme ISO/CEI 29134 facilite ces travaux; il contient notamment des
conseils en matière d'évaluation des risques pour la vie privée, un plan de traitement de ces risques et des indications sur
l'acceptation et la révision de ces risques.
4.3 Mesures de contrôle découlant de l'évaluation des risques pour la vie privée
L'évaluation des risques pour la vie privée aide les organisations à protéger la confidentialité, l'intégrité et la disponibilité
des IIP. Une atteinte à des données peut causer un préjudice important tant pour les organisations que pour les individus.
Il convient que les organisations identifient et mettent en œuvre des mesures de contrôle pour remédier aux risques recensés
lors du processus d'évaluation de l'incidence des risques. Il convient que le rapport de l'évaluation des risques pour la vie
privée décrive au moins les besoins du système, la conception du système ainsi que les plans opérationnels et les
procédures. La norme ISO/CEI 29134 fournit des informations sur ce qu'il convient de documenter dans une évaluation
des risques pour la vie privée.
NOTE – Certaines juridictions exigent des évaluations des risques pour la vie privée en fonction du niveau du risque associé au
traitement des IIP, de la nature de l'organisation (agences gouvernementales par exemple), etc.
4.4 Choix des mesures de contrôle
Les mesures de contrôle peuvent être choisies parmi celles qui sont proposées dans la présente spécification et, par
référence, parmi les mesures de la norme ISO/CEI 27002, pour créer un ensemble de mesures de référence mixtes. Au
besoin, on peut également choisir des mesures parmi d'autres ensembles, ou en concevoir de nouvelles pour répondre à des
besoins particuliers.
Le choix des mesures dépend des décisions que l'organisation va prendre en fonction des options dont elle dispose pour
lutter contre les risques, et de sa stratégie générale de gestion des risques. Ces mesures seront appliquées à l'organisation
et, par le biais d'accords contractuels, à ses clients et ses fournisseurs.
NOTE – Le choix des mesures de contrôle peut aussi être dicté par des prescriptions légales.
Les organisations doivent tenir compte de l'extension des mesures de contrôle à la protection des IIP figurant dans l'Annexe
A pour choisir les mesures de contrôle qui permettront de mettre en œuvre les options choisies pour lutter contre les risques
touchant à la vie privée.
Le choix et la mise en œuvre des mesures de contrôle dépendent aussi du rôle que l'organisation joue dans la mise
à disposition d'infrastructures ou la prestation de services. De nombreuses organisations peuvent intervenir dans ces deux
types d'activités. Dans certains cas, les mesures peuvent être propres à une organisation particulière, tandis que dans
d'autres, plusieurs organisations peuvent partager les mêmes rôles dans la mise en œuvre des mesures. Il convient que les
accords contractuels définissent clairement les responsabilités de protection des IIP de toutes les organisations concernées
dans la prestation ou l'utilisation de ces services.
Les mesures de contrôle figurant dans la présente spécification peuvent servir de point de référence aux organisations qui
sont amenées à traiter des IIP, et elles sont applicables par toute organisation ayant pour mission de contrôler des IIP. Il
convient que les prestataires de services chargés de traiter des IIP appliquent les mesures de la présente spécification
conformément aux instructions du contrôleur des IIP. Il convient que ce dernier s'assure que les prestataires sont en mesure
de
...