ISO/IEC 27018 — Protection des PII en cloud public

Définition

ISO/IEC 27018:2019 est une norme internationale qui décrit un code de bonnes pratiques pour la protection des données à caractère personnel (PII — Personally Identifiable Information) traitées dans le cloud public, en tant que sous-traitant (processor au sens du RGPD).

Elle prolonge ISO/IEC 27002 par un ensemble de contrôles spécifiques au traitement de PII dans le cloud — typiquement : consentement, finalité, transparence, droit d'accès, restrictions de transfert, suppression à l'extraction.

Au sens du RGPD européen, ISO 27018 est largement reconnue comme un standard d'industrie pour démontrer la conformité d'un sous-traitant cloud à l'article 28 (sous-traitance) et aux exigences de minimisation et de protection des données. Elle est citée par les régulateurs européens (CNIL, EDPB) comme un référentiel acceptable.

La certification ISO 27018 s'obtient en complément d'ISO 27001 et est délivrée par les mêmes organismes accrédités (AFNOR, Bureau Veritas, LSTI, BSI, etc.).

Pourquoi c'est important pour un hébergeur HDS

Le référentiel HDS v2.0 (mai 2024) intègre ISO 27018 comme socle de référence pour la protection des données personnelles en cloud — autrement dit, elle est de facto requise pour un hébergeur HDS qui opère un cloud mutualisé. À ce titre, la majorité des hébergeurs HDS proprement certifiés sont audités sur des contrôles dérivés d'ISO 27018.

Trois bénéfices distincts pour un acheteur santé :

1. Conformité RGPD facilitée. Quand le sous-traitant cloud (le CSP) est certifié ISO 27018, l'analyse de risque DPIA du responsable de traitement (typiquement un établissement de santé) est considérablement simplifiée.
2. Garanties contractuelles renforcées. ISO 27018 impose la transparence sur la localisation des données, l'absence d'usage marketing des PII traitées et la documentation des transferts hors UE.
3. Audit indépendant. Là où une simple déclaration RGPD du CSP repose sur sa parole, ISO 27018 implique un audit annuel par un tiers accrédité.

Comment ce critère est attribué dans le comparateur

• ✓ Vérifié — certificat ISO 27018 actif publié sur le site officiel de l'acteur (numéro + organisme + date) ; OU mention dans le rapport annuel ou un communiqué de presse vérifiable.
• ◆ Revendiqué — mention ISO 27018 sans publication du certificat.
• ◐ En cours — démarche de certification annoncée publiquement.
• — Non documenté — pas de mention publique. N'implique pas l'absence du contrôle.

Pour quel profil c'est critique

Comment un hébergeur peut se conformer

Pour un CSP déjà certifié ISO 27001 + 27017 :

1. Cartographie des PII traitées dans les services cloud offerts (typiquement : noms, prénoms, dates de naissance, identifiants santé chez l'éditeur SaaS).
2. Mise en place des contrôles supplémentaires d'ISO 27018 : pas de profilage des PII, traçabilité de chaque accès admin aux données, mécanismes documentés d'extraction et de suppression.
3. Mise à jour du DPA (Data Processing Agreement) avec les clients pour refléter les engagements ISO 27018.
4. Audit par l'organisme certificateur — typiquement 6 à 9 mois après la décision.

Plus-value vs coût

Coût indicatif (PME française, 2024-2026) :

• Premier audit + certification : 20-40 k€ HT (en plus d'ISO 27001).
• Audits annuels : 6-12 k€ HT.
• Souvent réalisé en combiné avec 27017 (audit conjoint).

Plus-value : élevée sur le marché santé multi-tenant et international, mesurée sur le marché santé single-tenant français (où HDS reste prioritaire).

Sources officielles

• ISO — iso.org/standard/76559.html.
• CNIL — Recommandation cloud.
• EDPB — Guidelines on Article 28 GDPR (sous-traitance).

Limites connues de cette évaluation

• Le référentiel HDS v2.0 intègre déjà des contrôles dérivés d'ISO 27018 — un hébergeur HDS certifié peut donc fonctionnellement satisfaire les exigences sans avoir le certificat ISO 27018 dédié. Notre statut distingue la certification formelle de l'équivalence fonctionnelle.
• Les certificats publiés peuvent ne pas couvrir l'ensemble des services de l'acteur. Le périmètre exact (services cloud concernés) doit être vérifié sur le certificat lui-même.