Page traduite et vérifiée automatiquement. La version anglaise fait foi. Certaines parties restent en anglais le temps que leur traduction soit vérifiée. Voir en anglais · Signaler une erreur de traduction
DAT-02 · Données et vie privée
Traitement licite et minimisé
Les données personnelles sont traitées sur une base déclarée, limitées à ce qui est nécessaire et conservées uniquement le temps nécessaire.
3référentiels le couvrent entièrement
5partiellement
0ne le couvrent pas
SOC 2 ISO 27001 NIST CSF PCI DSS HIPAA GDPR Règlement européen sur l’IA NIST AI RMF
1Ce que chaque référentiel exige à ce sujet
- SOC 2PartielleP4.0 Uniquement lorsque les critères de confidentialité sont dans le périmètre.
- ISO 27001PartielleA.5.34 La confidentialité des PII est exigée ; la base légale ne l’est pas.
- NIST CSFPartielleGV.OC-03 Au moyen des exigences légales.
- PCI DSSComplète3.2.1
- HIPAAComplète164.502(b)
- GDPRComplèteArt. 5, 6
- Règlement européen sur l’IAPartielleArt. 10(5) Traitement de catégories particulières de données pour la détection des biais.
- NIST AI RMFPartielleMAP 4.1 Cartographie des risques pour la vie privée.
Construisez le contrôle une seule fois au regard de cet objectif et citez la clause que chaque auditeur demande. Une correspondance partielle indique ce que le référentiel omet ; une absence est un constat sur le référentiel, pas une lacune de votre programme.
2Ce qui le prouve habituellement
Registres des traitements, calendrier de conservation, preuves de suppression.
?Sa raison d’être
La minimisation est le contrôle le moins coûteux qui soit.
Pour une petite organisationUne ligne de conservation par type de données, appliquée selon un calendrier.