ISO/IEC 29151:2026
(Main)Information security, cybersecurity and privacy protection — Controls, requirements, and guidance for personally identifiable information protection
General Information
- Abstract
This document specifies controls, purpose, and guidance for implementing controls, to meet the requirements identified by a risk and impact assessment related to the protection of personally identifiable information (PII). In particular, this document specifies requirements and guidance based on ISO/IEC 27002, taking into consideration the controls for processing PII that can be applicable within the context of an organization's information security risk environment(s). This document is applicable to all types and sizes of organizations acting as PII controllers (as defined in ISO/IEC 29100), including public and private companies, government entities and not-for-profit organizations that process PII, in particular, organizations that do not establish or operate a privacy information management system.
- Status
- Published
- Publication Date
- 23-Jul-2026
- Drafting Committee
- ISO/IEC JTC 1/SC 27/WG 5 - Identity management and privacy technologies
- Current Stage
- 6060 - International Standard published
- Start Date
- 24-Jul-2026
- Due Date
- 27-Oct-2026
- Completion Date
- 24-Jul-2026
Buy Documents
ISO/IEC 29151:2026 - Information security, cybersecurity and privacy protection — Controls, requirements, and guidance for personally identifiable information protection
ISO/IEC FDIS 29151 - Sécurité de l'information, cybersécurité et protection de la vie privée — Mesures de sécurité, exigences et recommandations pour la protection des données a caractere personnel Released:8. 12. 2025
Overview
ISO/IEC 29151:2026 is a key international standard developed by ISO and IEC for information security, cybersecurity, and privacy protection. The standard specifically addresses controls, requirements, and guidance for the protection of personally identifiable information (PII) within organizations of all sizes and types, including public and private companies, government bodies, and non-profits. Built upon the framework of ISO/IEC 27002, it provides tailored controls and guidance derived from risk and impact assessments, ensuring PII is processed and protected appropriately throughout its lifecycle.
This standard is particularly relevant for organizations acting as PII controllers as defined in ISO/IEC 29100, especially those that do not operate a formal Privacy Information Management System (PIMS). As the volume of PII and the expectations for its protection continue to rise alongside increasing data breaches, ISO/IEC 29151:2026 delivers practical and comprehensive guidance to help organizations mitigate privacy risks and comply with diverse regulatory requirements.
Key Topics
ISO/IEC 29151:2026 covers a broad set of information security and privacy controls designed to protect PII. Major areas include:
- Organizational Controls: Policies, roles, responsibilities, access control, supplier management, and compliance.
- People Controls: Employee screening, security awareness, confidentiality agreements, and incident reporting.
- Physical Controls: Facility security, secure disposal of equipment, and environmental protection measures.
- Technological Controls: Data masking, access restrictions, cryptography, secure application development, and vulnerability management.
The standard also features an Extended Control Set for PII Protection in Annex A, covering principles such as:
- Consent and choice
- Purpose legitimacy and specification
- Data minimization
- Use, retention, and disclosure limitation
- Accuracy and quality
- Openness and transparency
- Accountability
- Information security and privacy compliance
These topics are directly linked to the privacy principles outlined in ISO/IEC 29100, ensuring a harmonized approach across various regulatory and operational environments.
Applications
Practical applications of ISO/IEC 29151:2026:
- Risk-Based Control Selection: Organizations perform risk and impact assessments to identify and implement the necessary controls for processing and protecting PII. Controls are adapted based on organizational context, types of PII processing, and applicable threats.
- Regulatory Compliance: Helps organizations demonstrate compliance with privacy and data protection regulations worldwide by providing a structured framework to manage and mitigate privacy risks.
- PII Lifecycle Management: Supports the management of PII across its full lifecycle, from collection and processing to retention and secure disposal.
- Cloud and Digital Services: Addresses privacy requirements in modern technology environments such as cloud computing, big data analytics, mobile devices, and IoT-ensuring PII is protected regardless of where or how it is processed.
- Vendor and Third-Party Management: Guides organizations in extending PII protection controls to supply chains and outsourced services, ensuring end-to-end security.
Related Standards
ISO/IEC 29151:2026 aligns with a broader ecosystem of international privacy and information security standards, enabling organizations to build robust compliance and risk mitigation programs. Related standards include:
- ISO/IEC 27001: Information Security Management System requirements.
- ISO/IEC 27002: Comprehensive guidelines for information security controls.
- ISO/IEC 27005: Information security risk management guidelines.
- ISO/IEC 27701: Privacy Information Management System (PIMS) requirements and guidance.
- ISO/IEC 29100: Privacy framework and terminology.
- ISO/IEC 29134: Guidelines for privacy impact assessment.
- ISO/IEC 27018: Protection of PII in cloud computing environments.
Adopting ISO/IEC 29151:2026 supports organizations in delivering proven, best-practice PII protection, improving stakeholder trust, and aligning privacy initiatives with globally recognized frameworks for information security and privacy.
Keywords: personally identifiable information protection, PII controls, privacy risk management, ISO/IEC 29151, cybersecurity, information security standards, privacy compliance.
Relations
- Effective Date
- 12-Feb-2026
- Effective Date
- 08-Jun-2024
- Effective Date
- 28-Oct-2023
Buy Documents
ISO/IEC 29151:2026 - Information security, cybersecurity and privacy protection — Controls, requirements, and guidance for personally identifiable information protection
ISO/IEC FDIS 29151 - Sécurité de l'information, cybersécurité et protection de la vie privée — Mesures de sécurité, exigences et recommandations pour la protection des données a caractere personnel Released:8. 12. 2025
Get Certified
Connect with accredited certification bodies for this standard
BSI Group
BSI (British Standards Institution) is the business standards company that helps organizations make excellence a habit.
Bureau Veritas
Bureau Veritas is a world leader in laboratory testing, inspection and certification services.
DNV
DNV is an independent assurance and risk management provider.
Sponsored listings
Frequently Asked Questions
ISO/IEC 29151:2026 is a standard published by the International Organization for Standardization (ISO). Its full title is "Information security, cybersecurity and privacy protection — Controls, requirements, and guidance for personally identifiable information protection". This standard covers: This document specifies controls, purpose, and guidance for implementing controls, to meet the requirements identified by a risk and impact assessment related to the protection of personally identifiable information (PII). In particular, this document specifies requirements and guidance based on ISO/IEC 27002, taking into consideration the controls for processing PII that can be applicable within the context of an organization's information security risk environment(s). This document is applicable to all types and sizes of organizations acting as PII controllers (as defined in ISO/IEC 29100), including public and private companies, government entities and not-for-profit organizations that process PII, in particular, organizations that do not establish or operate a privacy information management system.
This document specifies controls, purpose, and guidance for implementing controls, to meet the requirements identified by a risk and impact assessment related to the protection of personally identifiable information (PII). In particular, this document specifies requirements and guidance based on ISO/IEC 27002, taking into consideration the controls for processing PII that can be applicable within the context of an organization's information security risk environment(s). This document is applicable to all types and sizes of organizations acting as PII controllers (as defined in ISO/IEC 29100), including public and private companies, government entities and not-for-profit organizations that process PII, in particular, organizations that do not establish or operate a privacy information management system.
ISO/IEC 29151:2026 is classified under the following ICS (International Classification for Standards) categories: 35.030 - IT Security. The ICS classification helps identify the subject area and facilitates finding related standards.
ISO/IEC 29151:2026 has the following relationships with other standards: It is inter standard links to FprEN ISO/IEC 29151, ISO 15841:2014/Amd 1:2020, ISO/IEC 29151:2017. Understanding these relationships helps ensure you are using the most current and applicable version of the standard.
ISO/IEC 29151:2026 is available in PDF format for immediate download after purchase. The document can be added to your cart and obtained through the secure checkout process. Digital delivery ensures instant access to the complete standard document.
Standards Content (Sample)
International
Standard
ISO/IEC 29151
Second edition
Information security, cybersecurity
2026-07
and privacy protection — Controls,
requirements, and guidance for
personally identifiable information
protection
Sécurité de l'information, cybersécurité et protection de la vie
privée — Mesures de sécurité, exigences et recommandations
pour la protection des données à caractère personnel
Reference number
© ISO/IEC 2026
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may
be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting on
the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address below
or ISO’s member body in the country of the requester.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva
Phone: +41 22 749 01 11
Email: copyright@iso.org
Website: www.iso.org
Published in Switzerland
© ISO/IEC 2026 – All rights reserved
ii
Foreword
ISO (the International Organization for Standardization) and IEC (the International Electrotechnical
Commission) form the specialized system for worldwide standardization. National bodies that are
members of ISO or IEC participate in the development of International Standards through technical
committees established by the respective organization to deal with particular fields of technical activity.
ISO and IEC technical committees collaborate in fields of mutual interest. Other international
organizations, governmental and non-governmental, in liaison with ISO and IEC, also take part in the
work.
The procedures used to develop this document and those intended for its further maintenance are
described in the ISO/IEC Directives, Part 1. In particular, the different approval criteria needed for the
different types of document should be noted.
ISO and IEC draw attention to the possibility that the implementation of this document may involve the
use of (a) patent(s). ISO and IEC take no position concerning the evidence, validity or applicability of any
claimed patent rights in respect thereof. As of the date of publication of this document, ISO and IEC had
not received notice of (a) patent(s) which may be required to implement this document. However,
implementers are cautioned that this may not represent the latest information, which may be obtained
from the patent database available at www.iso.org/patents and https://patents.iec.ch. ISO and IEC shall
not be held responsible for identifying any or all such patent rights.
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation of the voluntary nature of standards, the meaning of ISO specific terms and
expressions related to conformity assessment, as well as information about ISO's adherence to the
World Trade Organization (WTO) principles in the Technical Barriers to Trade (TBT) see
www.iso.org/iso/foreword.html. In the IEC, see www.iec.ch/understanding-standards.
This document was prepared by ITU as X.1058 (2025) and drafted in accordance with its editorial rules,
in collaboration with Joint Technical Committee ISO/IEC JTC 1, Information technology, Subcommittee
SC 27, Information security, cybersecurity and privacy protection, and in collaboration with the European
Committee for Standardization (CEN) Technical Committee CEN/CLC/JTC 13, Cybersecurity and Data
Protection, in accordance with the Agreement on technical cooperation between ISO and CEN (Vienna
Agreement).
This second edition cancels and replaces the first edition (ISO/IEC 29151:2017), which has been
technically revised.
The main changes are as follows:
— the content of the guidance for security controls in the main text and the privacy controls in Annex A
have been aligned with ISO/IEC 27002:2022.
Any feedback or questions on this document should be directed to the user’s national standards body. A
complete listing of these bodies can be found at www.iso.org/members.html and www.iec.ch/national-
committees.
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
iii
INTERNATIONAL STANDARD ISO/IEC 29151
RECOMMENDATION ITU-T X.1058
Information security, cybersecurity and privacy protection – Controls, requirements and
guidance for personally identifiable information protection
Summary
The number of organizations processing personally identifiable information (PII) is increasing, as is the amount of PII that
these organizations deal with. At the same time, societal expectations for the protection of PII and the security of data
relating to individuals are also increasing. A number of countries are augmenting their laws to address the increased number
of high-profile data breaches.
As the number of PII breaches increases, organizations collecting or processing PII will increasingly need guidance on
how they should protect PII in order to reduce the risk of privacy breaches occurring, and to reduce the impact of breaches
on the organization and on the individuals concerned. This Specification provides such guidance.
Recommendation ITU-T X.1058 | International Standard ISO/IEC 29151 specifies controls, purpose and guidance for
implementing controls, to meet the requirements identified by a risk and impact assessment related to the protection of PII.
In particular, this Specification specifies requirements and guidance based on ISO/IEC 27002, taking into consideration
the controls for processing PII that can be applicable within the context of an organization's information security risk
environment(s).
*
History
Edition Recommendation Approval Study Group Unique ID
1.0 ITU-T X.1058 2017-03-30 17 11.1002/1000/13182
2.0 ITU-T X.1058 2026-02-06 17 11.1002/1000/16527
Keywords
Control, guidance, protection of PII, requirements.
*
To access the Recommendation, type the URL http://handle.itu.int/ in the address field of your web browser,
followed by the Recommendation's unique ID.
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
iv
FOREWORD
The International Telecommunication Union (ITU) is the United Nations specialized agency in the field of
telecommunications, and information and communication technologies (ICTs). The ITU Telecommunication
Standardization Sector (ITU-T) is a permanent organ of ITU. ITU-T is responsible for studying technical,
operating and tariff questions and issuing Recommendations on them with a view to standardizing
telecommunications on a worldwide basis.
The World Telecommunication Standardization Assembly (WTSA), which meets every four years, establishes
the topics for study by the ITU-T study groups which, in turn, produce Recommendations on these topics.
The approval of ITU-T Recommendations is covered by the procedure laid down in WTSA Resolution 1.
In some areas of information technology which fall within ITU-T's purview, the necessary standards are
prepared on a collaborative basis with ISO and IEC.
NOTE
In this Recommendation, the expression "Administration" is used for conciseness to indicate both a
telecommunication administration and a recognized operating agency.
Compliance with this Recommendation is voluntary. However, the Recommendation may contain certain
mandatory provisions (to ensure, e.g., interoperability or applicability) and compliance with the
Recommendation is achieved when all of these mandatory provisions are met. The words "shall" or some other
obligatory language such as "must" and the negative equivalents are used to express requirements. The use of
such words does not suggest that compliance with the Recommendation is required of any party.
INTELLECTUAL PROPERTY RIGHTS
ITU draws attention to the possibility that the practice or implementation of this Recommendation may involve
the use of a claimed Intellectual Property Right. ITU takes no position concerning the evidence, validity or
applicability of claimed Intellectual Property Rights, whether asserted by ITU members or others outside of
the Recommendation development process.
As of the date of approval of this Recommendation, ITU had not received notice of intellectual property,
protected by patents/software copyrights, which may be required to implement this Recommendation.
However, implementers are cautioned that this may not represent the latest information and are therefore
strongly urged to consult the appropriate ITU-T databases available via the ITU-T website at
https://www.itu.int/ITU-T/ipr/.
ITU 2026
All rights reserved. No part of this publication may be reproduced, by any means whatsoever, without the prior
written permission of ITU.
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
v
CONTENTS
Page
1 Scope . 1
2 Normative references . 1
3 Terms, definitions and abbreviated terms . 1
3.1 Terms and definitions . 1
3.2 Abbreviated terms . 2
4 Overview . 2
4.1 Protection of PII . 2
4.2 Requirement for the protection of PII . 2
4.3 Controls derived from privacy risk assessment . 3
4.4 Selecting controls . 3
4.5 Developing organization specific guidelines . 3
4.6 Life cycle considerations . 3
4.7 Structure of this Specification . 4
5 Organizational controls . 8
5.1 Policies for information security . 8
5.2 Information security roles and responsibilities . 8
5.3 Segregation of duties . 8
5.4 Management responsibilities . 9
5.5 Contact with authorities . 9
5.6 Contact with special interest groups . 9
5.7 Threat intelligence . 9
5.8 Information security in project management . 9
5.9 Inventory of information and other associated assets . 9
5.10 Acceptable use of information and other associated assets . 10
5.11 Return of assets . 10
5.12 Classification of information . 10
5.13 Labelling of information . 10
5.14 Information transfer . 10
5.15 Access control . 11
5.16 Identity management . 11
5.17 Authentication information . 11
5.18 Access rights . 11
5.19 Information security in supplier relationships . 11
5.20 Addressing information security within supplier agreements . 11
5.21 Managing information security in the ICT supply chain . 12
5.22 Monitoring, review and change management of supplier services . 12
5.23 Information security for use of cloud services . 12
5.24 Information security incident management planning and preparation . 12
5.25 Assessment and decision on information security events . 13
5.26 Response to information security incidents . 13
5.27 Learning from information security incidents . 13
5.28 Collection of evidence . 13
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
vi
5.29 Information security during disruption . 13
5.30 ICT readiness for business continuity . 13
5.31 Legal, statutory, regulatory and contractual requirements . 13
5.32 Intellectual property rights . 14
5.33 Protection of records . 14
5.34 Privacy and protection of PII . 14
5.35 Independent review of information security . 14
5.36 Conformance with policies, rules and standards for information security . 14
5.37 Documented operating procedures . 14
6 People controls . 15
6.1 Screening . 15
6.2 Terms and conditions of employment . 15
6.3 Information security awareness, education and training . 15
6.4 Disciplinary process . 15
6.5 Responsibilities after termination or change of employment . 15
6.6 Confidentiality or non-disclosure agreements . 15
6.7 Remote working . 15
6.8 Information security event reporting . 15
7 Physical controls . 16
7.1 Physical security perimeters . 16
7.2 Physical entry . 16
7.3 Securing offices, rooms and facilities . 16
7.4 Physical security monitoring . 16
7.5 Protecting against physical and environmental threats . 16
7.6 Working in secure areas . 16
7.7 Clear desk and clear screen . 16
7.8 Equipment siting and protection . 16
7.9 Security of assets off-premises . 16
7.10 Storage media . 16
7.11 Supporting utilities . 16
7.12 Cabling security. 17
7.13 Equipment maintenance . 17
7.14 Secure disposal or re-use of equipment . 17
8 Technological controls . 17
8.1 User endpoint devices . 17
8.2 Privileged access rights . 17
8.3 Information access restriction . 17
8.4 Access to source code . 17
8.5 Secure authentication . 18
8.6 Capacity management . 18
8.7 Protection against malware . 18
8.8 Management of technical vulnerabilities . 18
8.9 Configuration management . 18
8.10 Information deletion . 18
8.11 Data masking . 18
8.12 Data leakage prevention . 18
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
vii
8.13 Information backup . 18
8.14 Redundancy of information processing facilities . 18
8.15 Logging . 18
8.16 Monitoring activities . 19
8.17 Clock synchronization . 19
8.18 Use of privileged utility programs . 19
8.19 Installation of software on operational systems . 19
8.20 Networks security . 19
8.21 Security of network services . 19
8.22 Segregation of networks . 19
8.23 Web filtering . 19
8.24 Use of cryptography . 19
8.25 Secure development life cycle . 19
8.26 Application security requirements . 19
8.27 Secure system architecture and engineering principles . 19
8.28 Secure coding . 19
8.29 Security testing in development and acceptance . 20
8.30 Outsourced development . 20
8.31 Separation of development, test and production environments . 20
8.32 Change management . 20
8.33 Test information . 20
Annex A (normative) – Extended control set for PII protection . 21
A.1 General . 21
A.2 General policies for the use and protection of PII . 21
A.3 Consent and choice . 21
A.4 Purpose legitimacy and specification . 23
A.5 Collection limitation . 25
A.6 Data minimization . 25
A.7 Use, retention and disclosure limitation . 26
A.8 Accuracy and quality . 29
A.9 Openness, transparency and notice . 30
A.10 PII principal participation and access . 31
A.11 Accountability . 33
A.12 Information security . 36
A.13 Privacy compliance . 36
Annex B (informative) – Correspondence between this Specification and ISO/IEC 29151:2017 . 38
Bibliography . 41
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
viii
Introduction
The number of organizations processing personally identifiable information (PII) is increasing, as is the amount of PII
that these organizations deal with. At the same time, societal expectations for the protection of PII and the security of data
relating to individuals are also increasing. A number of countries are augmenting their laws to address the increased
number of high-profile data breaches.
As the number of PII breaches increases, organizations collecting or processing PII will increasingly need guidance on
how they should protect PII in order to reduce the risk of privacy breaches occurring, and to reduce the impact of breaches
on the organization and on the individuals concerned. This Specification provides such guidance.
This Specification offers guidance for PII controllers on a broad range of information security and PII protection controls
that are commonly applied in many different organizations that deal with protection of PII. Other International Standards
that provide guidance or requirements on other aspects of the overall process of protecting PII are as follows:
– ISO/IEC 27001 specifies an information security management system, which is a suitable foundation for
protecting any information, including PII.
– ISO/IEC 27002 provides guidelines for organizational, people-related, physical and technological
information security controls that can be used for the protection of all kinds of information, including PII.
– ISO/IEC 27005 provides guidance to assist organizations to address information security risks and perform
information security risk management activities, specifically information security risk assessment and
treatment.
– ISO/IEC 27018 offers guidance to organizations acting as PII processors when offering processing
capabilities as cloud services.
– ISO/IEC 27701 specifies requirements and provides guidance for establishing, implementing, maintaining
and continually improving a Privacy Information Management System (PIMS).
– ISO/IEC 29100 provides a privacy framework which: specifies a common privacy terminology, defines
the actors and their roles in processing personally identifiable information (PII), describes privacy
safeguarding considerations, and provides references to known privacy principles for information
technology.
– ISO/IEC 29134 provides guidelines for assessing the potential impacts on privacy of a process, information
system, programme, software module, device or other initiative which processes personally identifiable
information (PII), while ISO/IEC 27001 together with ISO/IEC 27005 provide guidance to perform
information security risk management activities.
Controls are chosen based on the risks identified as a result of a risk analysis to develop a comprehensive, consistent
system of controls. Controls are adapted to the context of the particular processing of PII.
This Specification contains two parts:
– the main body consisting of clauses 1 to 8;
– Annexes A and B.
The structure of this Specification, including the clause titles, reflects the main body of ISO/IEC 27002:2022 for the
development of PII-specific extensions.
The title of the subclauses in clauses 5 to 8 mirror those of ISO/IEC 27002:2022, reflecting the fact that this document
builds on the guidance in ISO/IEC 27002:2022, adding new controls specific to the protection of PII. Many of the controls
in ISO/IEC 27002:2022 do not require amplification in the context of PII controllers. However, in some cases, additional
implementation guidance is needed, and this is given under the appropriate heading (and clause number) from
ISO/IEC 27002:2022.
Annex A contains an extended set of PII protection-specific controls. These new PII protection controls, with their
associated guidance, are divided into twelve categories, corresponding to the privacy policy and the eleven privacy
principles of ISO/IEC 29100:
– consent and choice;
– purpose, legitimacy and specification;
– collection limitation;
– data minimization;
– use, retention and disclosure limitation;
– accuracy and quality;
– openness, transparency and notice;
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
ix
– individual participation and access;
– accountability;
– information security; and
– privacy compliance.
Figure 1 describes the relationship between this Specification and other International Standards.
Figure 1 – Relationship between this Specification and other International Standards
This Specification includes guidance based on ISO/IEC 27002. The guidance is adapted as necessary to address the
privacy needs that arise from the processing of PII:
a) in different processing domains such as:
– public cloud services,
– social networking applications,
– internet-connected devices in the home,
– search, analysis,
– targeting of PII for advertising and similar purposes,
– big data analytics programmes,
– employment processing,
– business management in sales and service (enterprise resource planning, customer relationship
management);
b) in different locations such as:
– on a personal processing platform provided to an individual (e.g., smart cards, smart phones and their
apps, smart meters, wearable devices),
– within data transportation and collection networks (e.g., where mobile phone location data is created
operationally by network processing, which can be considered PII in some jurisdictions),
– within an organization's own processing infrastructure,
– on a third party's processing platform;
c) for the collection type such as:
– one-time data collection (e.g., on registering for a service),
– ongoing data collection (e.g., frequent health parameter monitoring by sensors on or in an individual's
body, multiple data collections using contactless payment cards for payment, smart meter data
collection systems).
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
x
Ongoing data collection can contain or yield behavioural, locational and other types of PII. In such cases, it is
recommended to use PII protection controls that allow:
– access and collection to be managed based on consent, and
– the PII principal to exercise appropriate control over such access and collection.
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
xi
INTERNATIONAL STANDARD
ITU-T RECOMMENDATION
Information security, cybersecurity and privacy protection – Controls, requirements and
guidance for personally identifiable information protection
1 Scope
This Recommendation | International Standard specifies controls, purpose, and guidance for implementing controls, to
meet the requirements identified by a risk and impact assessment related to the protection of personally identifiable
information (PII).
In particular, this Recommendation | International Standard specifies requirements and guidance based on ISO/IEC
27002, taking into consideration the controls for processing PII that can be applicable within the context of an
organization's information security risk environment(s).
This Recommendation | International Standard is applicable to all types and sizes of organizations acting as PII controllers
(as defined in ISO/IEC 29100), including public and private companies, government entities and not-for-profit
organizations that process PII, in particular, organizations that do not establish or operate a privacy information
management system.
2 Normative references
The following Recommendations and International Standards contain provisions which, through reference in this text,
constitute provisions of this Recommendation | International Standard. At the time of publication, the editions indicated
were valid. All Recommendations and Standards are subject to revision, and parties to agreements based on this
Recommendation | International Standard are encouraged to investigate the possibility of applying the most recent edition
of the Recommendations and Standards listed below. Members of IEC and ISO maintain registers of currently valid
International Standards. The Telecommunication Standardization Bureau of the ITU maintains a list of currently valid
ITU-T Recommendations.
– ISO/IEC 27002:2022, Information security, cybersecurity and privacy protection – Information security
controls.
– ISO/IEC 29100:2024, Information technology – Security techniques – Privacy framework.
3 Terms, definitions and abbreviated terms
3.1 Terms and definitions
For the purposes of this Recommendation | International Standard, the terms and definitions given in ISO/IEC 27000,
ISO/IEC 27002, ISO/IEC 29100 and the following apply.
ITU, ISO and IEC maintain terminology databases for use in standardization at the following addresses:
– ITU Terms and Definitions at https://www.itu.int/myworkspace/terminology
– ISO Online browsing platform: available at https://www.iso.org/obp
– IEC Electropedia: available at https://www.electropedia.org/
3.1.1 chief privacy officer (CPO): Senior management individual who is accountable for the protection of personally
identifiable information (PII) (3.1.4) in an organization (3.1.3).
3.1.2 de-identification: Process of removing the association between a set of identifying data and the data principal,
using de-identification techniques.
3.1.3 organization: Person or group of people that has its own functions with responsibilities, authorities and
relationships to achieve its objectives.
NOTE – The concept of organization includes, but is not limited to, sole-trader, company, corporation, firm, enterprise, authority,
partnership, charity or institution, or part or combination thereof, whether incorporated or not, public or private.
3.1.4 personally identifiable information (PII): Information that (a) can be used to establish a link between the
information and the natural person to whom such information relates, or (b) is or might be directly or indirectly linked to
a natural person.
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
NOTE – The "natural person" in the definition is the PII principal (3.1.6). To determine whether a PII principal is identifiable,
account should be taken of all the means which can reasonably be used by the privacy stakeholder holding the data, or by any other
party, to establish the link between the set of PII and the natural person.
[SOURCE: ISO/IEC 29100, 3.7]
3.1.5 personally identifiable information controller (PII controller): Privacy stakeholder (or privacy stakeholders)
that determines the purposes and means for processing personally identifiable information (PII) (3.1.4) other than natural
persons who use data for personal purposes.
NOTE – A PII controller sometimes instructs others [e.g., PII processors (3.1.7)] to process PII on its behalf while the
responsibility for the processing remains with the PII controller.
[SOURCE: ISO/IEC 29100, 3.8]
3.1.6 personally identifiable information principal data subject (PII principal): Natural person to whom
the personally identifiable information (PII) (3.1.4) relates.
[SOURCE: ISO/IEC 29100, 3.9]
3.1.7 personally identifiable information processor (PII processor): Privacy stakeholder that processes personally
identifiable information (PII) (3.1.4) on behalf of and in accordance with the instructions of a PII controller (3.1.5).
[SOURCE: ISO/IEC 29100, 3.10]
3.1.8 privacy risk assessment, privacy impact assessment: Overall process of identifying, analysing, evaluating,
consulting, communicating and planning the treatment of potential privacy impacts with regard to the processing
of personally identifiable information (3.1.4), framed within an organization's broader risk management framework.
[SOURCE: ISO/IEC 29100, 3.18]
3.2 Abbreviations
For the purposes of this Recommendation | International Standard, the following abbreviations apply:
CPO Chief Privacy Officer
PIA Privacy Impact Assessment
PII Personally Identifiable Information
4 Overview
4.1 Protection of PII
This Recommendation | International Standard provides a set of controls for PII protection. The objective of the controls
for protection of PII is to enable organizations to put in place a set of controls as part of their overall PII protection
programme. Controls can be used in a framework for demonstrating compliance with privacy-related laws and regulations,
managing privacy risks and meeting the expectations of PII principals, regulators or clients, in accordance with the privacy
principles described in clauses in ISO/IEC 29100.
4.2 Requirement for the protection of PII
An organization should identify its PII protection requirements. ISO/IEC 29100 can be applied to identify PII protection
requirements. There are four main factors that apply to PII protection requirements:
– legal and regulatory factors for the safeguarding of the PII principal's privacy and the protection of their
PII;
– contractual factors, such as agreements between and among several different actors, company policies and
binding corporate rules;
– risk assessment factors, including privacy risk assessment, which covers external and internal context
which can be determined through business strategy and objectives; and
– corporate policies: an organization can also choose voluntarily to go beyond the criteria that are derived
from previous requirements.
PII protection controls (including information security controls) should be selected on the basis of a risk assessment. The
results of a privacy impact assessment (PIA) as specified in ISO/IEC 29134 can help determine, prioritize and implement
the appropriate controls for managing risks to the protection of PII and for implementing controls selected to protect
against these risks.
A PIA document as defined in ISO/IEC 29134 provides PIA guidance, including advice on privacy risk assessment,
privacy risk treatment plan, privacy risk acceptance and privacy risk review.
Rec. ITU-T X.1058 (02/2026)
© ISO/IEC 2026 – All rights reserved
4.3 Controls derived from privacy risk assessment
Privacy risk assessment helps organizations protect the confidentiality, integrity and availability of PII. Data breach can
cause significant harm to both organizations and individuals. Organizations should identify and implement controls to
treat the risks identified by the risk impact process. Privacy risk assessment report should describe at least system
requirements, system design and operational plans and procedures. ISO/IEC 29134 provides information on what should
be documented in a privacy risk assessment.
NOTE – Some jurisdictions require privacy risk assessments depending on the level of the risk of PII processing, the nature of the
organization (e.g., government agencies), etc.
4.4 Selecting controls
Controls can be selected from this Specification, including by reference the controls from ISO/IEC 27002, creating a
combined reference control set. If required, controls can also be selected from other control sets or new controls can be
designed to meet specific needs, as appropriate.
The selection of controls is dependent upon organizational decisions based on the criteria for risk treatment options and
the general risk management approach, applied to the organization and, through contractual agreements, to its customers
and suppliers.
NOTE – Legal requirements can also apply for selection of controls.
Organizations shall consider the extended control set for PII protection in Annex A for selecting controls to implement
the privacy risk treatment option(s) chosen.
The selection and implementation of controls is also dependent upon the organization's role in the provision of
infrastructure or services. Many different organizations are involved in providing infrastructure or services. In some
circumstances, selected controls may be unique to a particular organization. In other instances, there may be shared roles
in implementing controls. Contractual agreements should clearly specify the PII protection responsibilities of all
organizations involved in providing or using the services.
The controls in this Specification can be used as reference for organizations that process PII and are intended to be
applicable for all organizations acting as PII controllers. Organizations acting as PII processors should apply the controls
in this Specification according to the instructions of the PII controller. PII controllers should ensure that their PII
processors are able to implement all the necessary controls included in their PII processing agreement according to the
purpose of PII processing. PII controllers using cloud services as PII processors may review ISO/IEC 27018 to identify
relevant controls to implement.
The controls in this Specification are explained in more detail in clauses 5 to 8, along with implementation guidance.
Implementation can be simpler if requirements for the protection of PII have been considered in the design of the
organization's information systems, services and operations. Such consideration is an element of the concept that is often
called privacy by design (PBD). More information about selecting controls and other risk treatment options can be found
in ISO/IEC 29134. Other relevant references are listed in the bibliography.
4.5 Developing organization specific guidelines
This Recommendation | International Standard can be regarded as a starting point for developing organization specific
guidelines. Not all the controls and guidance in this Specification are applicable to all organizations.
Furthermore, additional controls and guidelines not
...
PROJET FINAL
Norme
internationale
ISO/IEC FDIS
ISO/IEC JTC 1/SC 27
Sécurité de l'information,
Secrétariat: DIN
cybersécurité et protection de la
Début de vote:
vie privée — Mesures de sécurité,
2025-11-07
exigences et recommandations
Vote clos le:
pour la protection des données à
2026-01-02
caractère personnel
Information security, cybersecurity and privacy protection —
Controls, requirements, and guidance for personally identifiable
information protection
LES DESTINATAIRES DU PRÉSENT PROJET SONT
INVITÉS À PRÉSENTER, AVEC LEURS OBSERVATIONS,
NOTIFICATION DES DROITS DE PROPRIÉTÉ DONT ILS
AURAIENT ÉVENTUELLEMENT CONNAISSANCE ET À
FOURNIR UNE DOCUMENTATION EXPLICATIVE.
OUTRE LE FAIT D’ÊTRE EXAMINÉS POUR
ÉTABLIR S’ILS SONT ACCEPTABLES À DES FINS
INDUSTRIELLES, TECHNOLOGIQUES ET COM-MERCIALES,
AINSI QUE DU POINT DE VUE DES UTILISATEURS, LES
PROJETS DE NORMES
TRAITEMENT PARALLÈLE ISO/CEN
INTERNATIONALES DOIVENT PARFOIS ÊTRE CONSIDÉRÉS
DU POINT DE VUE DE LEUR POSSI BILITÉ DE DEVENIR DES
NORMES POUVANT
SERVIR DE RÉFÉRENCE DANS LA RÉGLEMENTATION
NATIONALE.
Numéro de référence
ISO/IEC FDIS 29151:2025(fr) © ISO/IEC 2025
PROJET FINAL
ISO/IEC FDIS 29151:2025(fr)
Norme
internationale
ISO/IEC FDIS
ISO/IEC JTC 1/SC 27
Sécurité de l'information,
Secrétariat: DIN
cybersécurité et protection de la
Début de vote:
vie privée — Mesures de sécurité,
2025-11-07
exigences et recommandations
Vote clos le:
pour la protection des données à
2026-01-02
caractère personnel
Information security, cybersecurity and privacy protection —
Controls, requirements, and guidance for personally identifiable
information protection
LES DESTINATAIRES DU PRÉSENT PROJET SONT
INVITÉS À PRÉSENTER, AVEC LEURS OBSERVATIONS,
NOTIFICATION DES DROITS DE PROPRIÉTÉ DONT ILS
AURAIENT ÉVENTUELLEMENT CONNAISSANCE ET À
FOURNIR UNE DOCUMENTATION EXPLICATIVE.
DOCUMENT PROTÉGÉ PAR COPYRIGHT
OUTRE LE FAIT D’ÊTRE EXAMINÉS POUR
ÉTABLIR S’ILS SONT ACCEPTABLES À DES FINS
© ISO/IEC 2025
INDUSTRIELLES, TECHNOLOGIQUES ET COM-MERCIALES,
AINSI QUE DU POINT DE VUE DES UTILISATEURS, LES
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette
PROJETS DE NORMES
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique, TRAITEMENT PARALLÈLE ISO/CEN
INTERNATIONALES DOIVENT PARFOIS ÊTRE CONSIDÉRÉS
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut DU POINT DE VUE DE LEUR POSSI BILITÉ DE DEVENIR DES
NORMES POUVANT
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
SERVIR DE RÉFÉRENCE DANS LA RÉGLEMENTATION
NATIONALE.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: +41 22 749 01 11
E-mail: copyright@iso.org
Web: www.iso.org
Publié en Suisse
Numéro de référence
ISO/IEC FDIS 29151:2025(fr) © ISO/IEC 2025
© ISO/IEC 2025 – Tous droits réservés
ii
ISO/IEC FDIS 29151:2025(fr)
Sommaire Page
Avant-propos . vi
Introduction . vii
1 Domaine d'application . 1
2 Références normatives . 1
3 Termes, définitions et abréviations . 1
3.1 Termes et définitions . 1
3.2 Abréviations . 3
4 Vue d'ensemble . 3
4.1 Protection des DCP . 3
4.2 Exigences liées à la protection des DCP . 3
4.3 Mesures dérivées de l'appréciation des risques sur la vie privée . 4
4.4 Sélection des mesures de sécurité . 4
4.5 Élaboration de lignes directrices propres à une organisation . 5
4.6 Considérations relatives au cycle de vie . 5
4.7 Structure du présent document. 5
5 Mesures de sécurité organisationnelles . 11
5.1 Politiques de sécurité de l'information . 11
5.2 Fonctions et responsabilités liées à la sécurité de l'information . 12
5.3 Séparation des tâches . 13
5.4 Responsabilités de la direction. 13
5.5 Contacts avec les autorités . 13
5.6 Contacts avec des groupes d’intérêt spécifiques . 13
5.7 Renseignements sur les menaces . 14
5.8 Sécurité de l'information dans la gestion de projet . 14
5.9 Inventaire des informations et autres actifs associés . 14
5.10 Utilisation correcte des informations et autres actifs associés . 15
5.11 Restitution des actifs . 15
5.12 Classification des informations . 15
5.13 Marquage des informations . 16
5.14 Transfert des informations . 16
5.15 Contrôle d'accès. 16
5.16 Gestion des identités . 16
5.17 Informations d'authentification . 16
5.18 Droits d'accès . 17
5.19 Sécurité de l'information dans les relations avec les fournisseurs . 17
5.20 Prise en compte de la sécurité de l'information dans les accords conclus avec les
fournisseurs . 17
5.21 Gestion de la sécurité de l'information dans la chaîne d'approvisionnement TIC . 18
5.22 Surveillance, révision et gestion des changements des services fournisseurs . 18
5.23 Sécurité de l'information dans l'utilisation de services en nuage . 18
5.24 Planification et préparation de la gestion des incidents de sécurité de l'information . 19
5.25 Appréciation des événements de sécurité de l'information et prise de décision . 19
5.26 Réponse aux incidents de sécurité de l'information . 20
5.27 Tirer des enseignements des incidents de sécurité de l'information . 20
5.28 Recueil de preuves . 21
5.29 Sécurité de l'information pendant une perturbation . 21
5.30 Préparation des TIC pour la continuité d'activité . 21
5.31 Exigences légales, statutaires, réglementaires et contractuelles . 21
Rec. ITU-T X.1058 (2025)
© ISO/IEC 2025 – Tous droits réservés
iii
ISO/IEC FDIS 29151:2025(fr)
5.32 Droits de propriété intellectuelle . 21
5.33 Protection des enregistrements . 21
5.34 Protection de la vie privée et des DCP . 21
5.35 Révision indépendante de la sécurité de l'information . 22
5.36 Conformité aux politiques, règles et normes de sécurité de l'information . 22
5.37 Procédures d'exploitation documentées . 23
6 Mesures de sécurité applicables aux personnes . 23
6.1 Sélection des candidats . 23
6.2 Conditions générales d'embauche . 23
6.3 Sensibilisation, apprentissage et formation à la sécurité de l'information . 23
6.4 Processus disciplinaire . 23
6.5 Responsabilités après la fin ou le changement d'un emploi . 24
6.6 Engagements de confidentialité ou de non-divulgation . 24
6.7 Travail à distance . 24
6.8 Déclaration des événements de sécurité de l'information . 24
7 Mesures de sécurité physiques . 24
7.1 Périmètres de sécurité physique . 24
7.2 Accès physique . 25
7.3 Sécurisation des bureaux, des salles et des équipements. 25
7.4 Surveillance de la sécurité physique . 25
7.5 Protection contre les menaces physiques et environnementales. 25
7.6 Travail dans les zones sécurisées . 25
7.7 Bureau vide et écran vide . 25
7.8 Emplacement et protection du matériel. 25
7.9 Sécurité des actifs hors des locaux . 25
7.10 Supports de stockage . 25
7.11 Services généraux . 26
7.12 Sécurité du câblage . 26
7.13 Maintenance du matériel . 26
7.14 Mise au rebut ou recyclage sécurisé(e) du matériel . 26
8 Mesures de sécurité technologiques . 27
8.1 Terminaux finaux des utilisateurs . 27
8.2 Droits d'accès privilégiés . 27
8.3 Restriction d'accès à l'information . 27
8.4 Accès au code source . 28
8.5 Authentification sécurisée . 28
8.6 Dimensionnement . 28
8.7 Protection contre les programmes malveillants . 28
8.8 Gestion des vulnérabilités techniques . 28
8.9 Gestion des configurations . 28
8.10 Suppression d'information. 28
8.11 Masquage des données . 28
8.12 Prévention de la fuite de données . 28
8.13 Sauvegarde des informations . 29
8.14 Redondance des moyens de traitement de l'information . 29
8.15 Journalisation . 29
8.16 Activités de surveillance . 29
8.17 Synchronisation des horloges . 30
8.18 Utilisation de programmes utilitaires à privilèges. 30
8.19 Installation de logiciels sur des systèmes en exploitation. 30
8.20 Sécurité des réseaux . 30
8.21 Sécurité des services de réseau . 30
Rec. ITU-T X.1058 (2025)
© ISO/IEC 2025 – Tous droits réservés
iv
ISO/IEC FDIS 29151:2025(fr)
8.22 Cloisonnement des réseaux . 30
8.23 Filtrage web . 30
8.24 Utilisation de la cryptographie . 30
8.25 Cycle de vie de développement sécurisé . 31
8.26 Exigences de sécurité des applications . 31
8.27 Principes d'ingénierie et d'architecture des systèmes sécurisés . 31
8.28 Codage sécurisé . 31
8.29 Tests de sécurité dans le développement et l'acceptation . 31
8.30 Développement externalisé . 31
8.31 Séparation des environnements de développement, de test et de production . 31
8.32 Gestion des changements . 31
8.33 Informations de test . 31
8.34 Protection des systèmes d'information pendant les tests d'audit . 32
Annexe A (normative) Ensemble étendu de mesures pour la protection des DCP . 33
Annexe B (informative) Correspondance entre le présent document et l’ISO/IEC 29151:2017 . 59
Bibliographie . 63
Rec. ITU-T X.1058 (2025)
© ISO/IEC 2025 – Tous droits réservés
v
ISO/IEC FDIS 29151:2025(fr)
Avant-propos
L'ISO (Organisation internationale de normalisation) et l'IEC (Commission électrotechnique internationale)
forment le système spécialisé de la normalisation mondiale. Les organismes nationaux membres de l'ISO ou
de l'IEC participent au développement de Normes Internationales par l'intermédiaire des comités techniques
créés par l'organisation concernée afin de s'occuper des domaines particuliers de l'activité technique. Les
comités techniques de l'ISO et de l'IEC collaborent dans des domaines d'intérêt commun. D'autres
organisations internationales, gouvernementales et non gouvernementales, en liaison avec l'ISO et l'IEC
participent également aux travaux.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont décrites
dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents critères
d'approbation requis pour les différents types de documents.
L'ISO et l'IEC attirent l'attention sur le fait que la mise en application du présent document peut entraîner
l'utilisation d'un ou de plusieurs brevets. L'ISO et L'IEC ne prennent pas position quant à la preuve, à la validité
et à l'applicabilité de tout droit de propriété revendiqué à cet égard. À la date de publication du présent
document, l'ISO et l'IEC n'avaient pas reçu notification qu'un ou plusieurs brevets pouvaient être nécessaires
à sa mise en application. Toutefois, il y a lieu d'avertir les responsables de la mise en application du présent
document que des informations plus récentes sont susceptibles de figurer dans la base de données de brevets,
disponible à l'adresse www.iso.org/brevets et https://patents.iec.ch. L’ISO et l’IEC ne sauraient être tenues
pour responsables de ne pas avoir identifié tout ou partie de tels droits de propriété.
Les appellations commerciales éventuellement mentionnées dans le présent document sont données pour
information, par souci de commodité, à l'intention des utilisateurs et ne sauraient constituer un engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions spécifiques
de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion de l'ISO aux
principes de l’Organisation mondiale du commerce (OMC) concernant les obstacles techniques au commerce
(OTC), voir www.iso.org/avant-propos. Pour l'IEC, voir www.iec.ch/understanding-standards.
Le présent document a été élaboré par l'UIT en tant que X.1058 (2025) et rédigé conformément à ses règles
éditoriales, en collaboration avec le comité technique conjoint ISO/IEC JTC 1, Technologies de l'information,
sous-comité SC 27, Sécurité de l’information, cybersécurité et protection de la vie privée.
Cette deuxième édition annule et remplace la première édition (ISO/IEC 29151:2017), qui a fait l'objet d'une
révision technique.
Les principales modifications sont les suivantes:
le contenu des recommandations relatives aux mesures de sécurité dans le texte principal et les mesures
de protection de la vie privée dans l'Annexe A ont été alignés sur l’ISO/IEC 27002:2022.
Il convient que l'utilisateur adresse tout retour d'information ou toute question concernant le présent
document à l'organisme national de normalisation de son pays. Une liste exhaustive desdits organismes se
trouve aux adresses www.iso.org/fr/members.html et www.iec.ch/national-committees.
Rec. ITU-T X.1058 (2025)
© ISO/IEC 2025 – Tous droits réservés
vi
ISO/IEC FDIS 29151:2025(fr)
Introduction
Le nombre d'organisations traitant des données à caractère personnel (DCP) est en augmentation, tout comme
la quantité de DCP que ces organisations traitent. Dans le même temps, les attentes de la société en matière de
protection des DCP et de sécurité des données relatives aux personnes augmentent également. Un certain
nombre de pays renforcent leur législation afin de faire face au nombre croissant de violations de données à
grand retentissement.
Avec l'augmentation du nombre de violations des DCP, les organisations qui collectent ou traitent des DCP
auront de plus en plus besoin de recommandations sur la manière dont il convient qu'elles protègent les DCP
afin de réduire le risque de violations de données à caractère personnel ainsi que l'impact des violations sur
l'organisation et les personnes concernées. Le présent document fournit ces recommandations.
Le présent document fournit aux responsables de traitement de DCP des recommandations sur un large
éventail de mesures de sécurité de l'information et de protection des DCP qui sont couramment appliquées
dans de nombreuses organisations différentes qui traitent de la protection des DCP. Les autres
normes internationales qui fournissent des recommandations ou des exigences sur d'autres aspects du
processus global de protection des DCP sont les suivantes:
— l’ISO/IEC 27001 spécifie un système de management de la sécurité de l'information, qui constitue une
base appropriée pour la protection de toute information, y compris les DCP;
— l’ISO/IEC 27002 fournit des lignes directrices pour les mesures de sécurité organisationnelles, humaines,
physiques et technologiques qui peuvent être utilisées pour la protection de tous types d'informations, y
compris les DCP;
— l’ISO/IEC 27005 fournit des recommandations pour aider les organisations à faire face aux risques liés à
la sécurité de l'information et à mener des activités de gestion des risques liés à la sécurité de
l'information, en particulier l'appréciation et le traitement des risques liés à la sécurité de l'information;
— l’ISO/IEC 27018 fournit des recommandations aux organisations agissant comme sous-traitants de DCP
lorsqu'elles offrent des capacités de traitement en tant que services en nuage;
— l’ISO/IEC 27701 spécifie les exigences et émet des recommandations pour la création, la mise en œuvre,
le maintien et l'amélioration continue d'un système de management de la protection de la vie privée
(PIMS);
— L’ISO/IEC 29100 fournit un cadre de protection de la vie privée qui: spécifie une terminologie commune
en matière de protection de la vie privée, définit les acteurs et leurs rôles dans le traitement des données
à caractère personnel (DCP), décrit les considérations relatives à la protection de la vie privée et fournit
des références aux principes de protection de la vie privée connus pour les technologies de l'information.
— l’ISO/IEC 29134 fournit des lignes directrices pour l'évaluation des impacts potentiels sur la vie privée
d'un processus, d'un système d'information, d'un programme, d'un module logiciel, d'un dispositif ou
d'une autre initiative qui traite des données à caractère personnel (DCP), tandis que l’ISO/IEC 27001
conjointement avec l’ISO/IEC 27005 fournit des recommandations pour l'exécution d'activités de gestion
des risques liés à la sécurité de l'information.
Les mesures de sécurité sont choisies sur la base des risques identifiés à la suite d'une analyse du risque afin
de développer un système de mesures de sécurité complet et cohérent. Les mesures de sécurité sont adaptées
au contexte du traitement de DCP spécifique.
Rec. ITU-T X.1058 (2025)
© ISO/IEC 2025 – Tous droits réservés
vii
ISO/IEC FDIS 29151:2025(fr)
Le présent document contient deux parties:
— le corps principal constitué des Articles 1 à 8;
— Annexes A et B.
La structure du présent document, y compris l'intitulé des articles et paragraphes, reflète le corps principal de
l’ISO/IEC 27002:2022 pour le développement d'extensions spécifiques aux DCP.
Le titre des paragraphes des Articles 5 à 8 reflètent ceux de l’ISO/IEC 27002:2022, ce qui illustre le fait que le
présent document s'appuie sur les recommandations de l’ISO/IEC 27002:2022, et ajoute de nouvelles mesures
de sécurité spécifiques à la protection des DCP. Un grand nombre de mesures de sécurité de
l’ISO/IEC 27002:2022 n'ont pas besoin d'être renforcées dans le contexte des responsables de traitement des
DCP. Toutefois, dans certains cas, des recommandations de mise en œuvre supplémentaires sont nécessaires
et sont fournies sous l'intitulé (et le numéro de paragraphe ou d'article) approprié de l’ISO/IEC 27002:2022.
L'Annexe A contient un ensemble étendu de mesures de sécurité spécifiques à la protection des DCP. Ces
nouvelles mesures de protection des DCP, et les recommandations qui leur sont associées, sont réparties en
douze catégories, qui correspondent à la politique de protection de la vie privée et aux onze principes de
protection de la vie privée de l’ISO/IEC 29100:
— consentement et choix;
— licéité et spécification de la finalité;
— limitation de la collecte;
— minimisation des données;
— limitation de l'utilisation, de la conservation et de la divulgation;
— exactitude et qualité;
— ouverture, transparence et information;
— participation et accès individuels;
— responsabilité;
— sécurité de l'information; et
— conformité aux règles de protection de la vie privée.
La Figure 1 décrit la relation entre le présent document et les autres normes internationales.
Rec. ITU-T X.1058 (2025)
© ISO/IEC 2025 – Tous droits réservés
viii
ISO/IEC FDIS 29151:2025(fr)
Figure 1 — Relation entre le présent document et les autres normes internationales
Le présent document comprend des recommandations basées sur l’ISO/IEC 27002. Les recommandations
sont adaptées au besoin pour répondre aux besoins en matière de protection qui découlent du traitement des
DCP:
a) dans différents domaines de traitement tels que:
— services en nuage public;
— application de réseaux sociaux;
— dispositifs domestiques connectés à Internet;
— recherche, analyse;
— ciblage des DCP à des fins publicitaires ou similaires;
— programmes d'analyse des mégadonnées;
— traitement de l'emploi;
— gestion d'entreprise dans le domaine de la vente et du service (planification des ressources
d'entreprise, gestion de la relation client);
b) dans différents emplacements, tels que:
— sur une plateforme de traitement personnelle fournie à un individu (par exemple: les cartes à puce,
les smartphones et leurs applications, les compteurs intelligents, les dispositifs portables);
Rec. ITU-T X.1058 (2025)
© ISO/IEC 2025 – Tous droits réservés
ix
ISO/IEC FDIS 29151:2025(fr)
— au sein de réseaux de transport et de collecte de données (par exemple: lorsque des données de
localisation des téléphones mobiles sont créées de manière opérationnelle par le traitement du
réseau, et qui peuvent être considérées comme des DCP dans certaines juridictions);
— au sein de la propre infrastructure de traitement d'une organisation;
— sur une plateforme de traitement tierce;
c) pour le type de collecte, telle que:
— collecte de données unique (par exemple: lors de l'enregistrement à un service);
— collecte de données continue (par exemple: surveillance fréquente de paramètres de santé par des
capteurs sur ou dans le corps d'une personne, collecte de données multiples à l'aide de cartes de
paiement sans contact pour le paiement, systèmes de collecte de données de compteurs intelligents).
La collecte de données continue peut contenir ou produire des DCP relatives au comportement, à la
localisation et d'autres types de DCP. Dans de tels cas, il est recommandé d'utiliser des mesures de protection
des DCP qui permettent:
— de gérer l'accès et la collecte sur la base du consentement; et
— à la personne concernée d'exercer un contrôle approprié sur cet accès et cette collecte.
Rec. ITU-T X.1058 (2025)
© ISO/IEC 2025 – Tous droits réservés
x
PROJET FINAL de Norme internationale ISO/IEC FDIS 29151:2025(fr)
Sécurité de l'information, cybersécurité et protection de la vie
privée — Mesures de sécurité, exigences et recommandations pour
la protection des données à caractère personnel
1 Domaine d'application
Le présent document spécifie des mesures de sécurité, des objectifs et des recommandations pour la mise en
œuvre des mesures de sécurité, afin de satisfaire aux exigences identifiées par une appréciation du risque et
de l'impact liée à la protection des données à caractère personnel (DCP).
En particulier, le présent document spécifie des exigences et des recommandations basées sur
l’ISO/IEC 27002, en tenant compte des mesures de sécurité relatives au traitement des DCP qui peuvent être
applicables dans le contexte du ou des environnements de risques de sécurité de l'information d'une
organisation.
Le présent document s'applique à tous les types et toutes les tailles d'organisations qui agissent en tant que
responsable de traitement de DCP (tel que défini dans l’ISO/IEC 29100), y compris les entreprises publiques
et privées, les entités gouvernementales et les organisations à but non lucratif qui traitent des DCP, en
particulier les organisations qui n'établissent pas ou n'exploitent pas de système de management de la
protection de la vie privée.
2 Références normatives
Les documents suivants sont cités dans le texte de sorte qu'ils constituent, pour tout ou partie de leur contenu,
des exigences du présent document. Pour les références datées, seule l'édition citée s'applique. Pour les
références non datées, la dernière édition du document de référence s'applique (y compris les éventuels
amendements).
ISO/IEC 27002:2022, Sécurité de l'information, cybersécurité et protection de la vie privée — Mesures de
sécurité de l'information
ISO/IEC 29100:2024, Technologies de l'information — Techniques de sécurité — Cadre privé
3 Termes, définitions et abréviations
3.1 Termes et définitions
Pour les besoins du présent document, les termes et les définitions de l’ISO/IEC 27000, de l’ISO/IEC 27002-1,
de l’ISO/IEC 29100 ainsi que les suivants s'appliquent.
L'ISO et l'IEC tiennent à jour des bases de données terminologiques destinées à être utilisées en normalisation,
consultables aux adresses suivantes:
— ISO Online browsing platform: disponible à l’adresse https://www.iso.org/obp
— IEC Electropedia: disponible à l’adresse https://www.electropedia.org/
Rec. ITU-T X.1058 (2025)
© ISO/IEC 2025 – Tous droits réservés
ISO/IEC FDIS 29151:2025(fr)
3.1.1
responsable de la protection de la vie privée
CPO (Chief Privacy Officer)
membre de la direction qui est responsable de la protection des données à caractère personnel (DCP) (3.1.4)
dans une organisation (3.1.3)
3.1.2
désidentification
processus consistant à supprimer l'association entre un ensemble de données d'identification et la personne
concernée, à l'aide de techniques de désidentification
3.1.3
organisation
personne ou groupe de personnes qui exerce ses propres fonctions associées aux responsabilités, pouvoirs et
relations nécessaires pour atteindre ses objectifs
Note 1 à l'article: Le concept d’organisation englobe, sans s'y limiter, les travailleurs indépendants, les compagnies, les
sociétés, les firmes, les entreprises, les administrations, les partenariats, les organisations caritatives ou les institutions,
ou bien une partie ou une combinaison des entités précédemment mentionnées, qu'il s'agisse d'une personne morale ou
non, de droit public ou privé.
3.1.4
données à caractère personnel
DCP
donnée qui (a) peut être utilisée pour établir un lien entre des données et la personne physique à laquelle ces
données se rapportent, ou qui (b) est ou peut être directement ou indirectement associée à une personne
physique
Note 1 à l'article: La « personne physique » référencée dans la définition est la personne concernée (3.1.6). Pour
déterminer si une personne concernée est identifiable, il convient de tenir compte de tous les moyens pouvant être
raisonnablement utilisés par la partie prenante en matière de protection de la vie privée qui détient les données, ou par
toute autre partie, afin d'établir le lien entre l'ensemble de DCP et la personne physique.
[SOURCE: ISO/IEC 29100:2024, 3.7]
3.1.5
responsable de traitement de DCP
responsable de traitement de données à caractère personnel
partie(s) prenante(s) en matière de protection de la vie privée qui détermine(-nt) les finalités et les moyens
pour le traitement de données à caractère personnel (DCP) (3.1.4) autre(s) que les personnes physiques qui
utilisent des données à des fins personnelles
Note 1 à l'article: Un responsable de traitement de DCP demande parfois à des tiers [par exemple: des sous-traitants de
DCP (3.1.7)] de traiter des DCP en son nom, bien qu'un tel traitement relève toujours de la responsabilité du responsable
de traitement de DCP.
[SOURCE: ISO/IEC 29100:2024, 3.8]
3.1.6
personne concernée
personne physique à qui se rapportent les données à caractère personnel (DCP) (3.1.4)
[SOURCE: ISO/IEC 29100:2024, 3.9]
Rec. ITU-T X.1058 (2025)
© ISO/IEC 2025 – Tous droits réservés
ISO/IEC FDIS 29151:2025(fr)
3.1.7
sous-traitant de DCP
sous-traitant de données à caractère personnel
partie prenante en matière de protection de la vie privée qui traite des données à caractère personnel (DCP)
(3.1.4) pour le compte d'un responsable de traitement de DCP (3.1.5) et conformément à ses instructions
[SOURCE: ISO/IEC 29100:2024, 3.10]
3.1.8
appréciation des risques sur la vie privée
étude d'impact sur la vie privée
processus global visant à identifier, analyser, évaluer, consulter, communiquer et planifier le traitement des
impacts potentiels sur la vie privée au regard du traitement des données à caractère personnel (3.1.4), dans
le cadre plus large du système de management des risques d’une organisation
[SOURCE: ISO/IEC 29100:2024, 3.18 - modifié]
3.2 Abréviations
Pour les besoins du présent document, les abréviations suivantes s'appliquent.
PIA étude d'impact sur la vie privée (Privacy Impact Assessment)
4 Vue d'ensemble
4.1 Protection des DCP
Le présent document fournit un ensemble de mesures de protection des DCP. L'objectif des mesures de
protection des DCP est de permettre aux organisations de mettre en place un ensemble de mesures de sécurité
dans le cadre de leur programme global de protection des DCP. Les mesures peuvent être utilisées dans un
cadre permettant de démontrer la conformité aux lois et réglementations relatives à la vie privée, de gérer les
risques sur la vie privée et de répondre aux attentes des personnes concernées, des régulateurs ou des clients,
conformément aux principes de protection de la vie privée décrits dans les Articles de l’ISO/IEC 29100.
4.2 Exigences liées à la protection des DCP
Il convient qu'une organisation identifie ses exigences en matière de protection des DCP. L’ISO/IEC 29100
peut être appliquée pour identifier les exigences liées à la protection des DCP. Quatre aspects principaux
s'appliquent aux exigences liées à la protection des DCP:
— les aspects légaux et réglementaires pour la protection de la vie privée de la personne concernée et la
protection de ses DCP;
— les aspects contractuels, tels que les accords entre et avec plusieurs acteurs différents, les politiques
d'entreprise et les règles d'entreprise contraignantes;
— les aspects d'appréciation du risque, y compris l'appréciation des risques sur la vie privée, qui couvrent
le contexte externe et interne pouvant être déterminé par la stratégie et les objectifs commerciaux; et
— politiques d'entreprise: une organisation peut également choisir volontairement d'aller au-delà des
critères qui découlent des exigences précédentes.
Rec. ITU-T X.1058 (2025)
© ISO/IEC 2025 – Tous droits réservés
ISO/IEC FDIS 29151:2025(fr)
Il convient que les mesures de protection des DCP (y compris les mesures de sécurité de l'information) soient
choisies sur la base d'une appréciation du risque. Les résultats d'une étude d'impact sur la vie privée (PIA), tel
que spécifié dans l’ISO/IEC 29134, peuvent aider à déterminer, prioriser et mettre en œuvre les mesures
appropriées pour la gestion des risques sur la protection des DCP et la mise en œuvre des mesures identifiées
pour contrer ces risques.
Un document de PIA, tel que défini dans l’ISO/IEC 29134, fournit des recommandations en matière de PIA, y
compris des conseils relatifs à l'appréciation, au plan de traitement, à l'acceptation et à la revue des risques
sur la vie privée.
4.3 Mesures dérivées de l'appréciation des risques sur la vie privée
L'appréciation des risques sur la vie privée aide les organisations à protéger la confidentialité, l'intégrité et la
disponibilité des DCP. La violation des données peut causer un préjudice significatif tant aux organisations
qu'aux individus. Il convient que les organisations identifient et mettent en œuvre des mesures de sécurité
afin de traiter les risques identifiés par le processus d'impact des risques. Il convient que le rapport
d'appréciation des risques sur la vie privée décrive au moins les exigences du système, la conception du
système et les plans et procédures opérationnels. L’ISO/IEC 29134 fournit des informations sur ce qu'il
convient de documenter dans une appréciation des risques sur la vie privée
NOTE Certaines juridictions exigent une appréciation des risques sur la vie privée selon le niveau de risque lié au
traitement des DCP, la nature de l'organisation (par exemple: les agences gouvernementales), etc.
4.4 Sélection des mesures de sécurité
Les mesures de sécurité peuvent être sélectionnées à partir du présent document, en incluant par voie de
référence les mesures de sécurité de l’ISO/IEC 27002, créant ainsi un ensemble de mesures de sécurité de
référence combinées. Si besoin, des mesures de sécurité peuvent être sélectionnées à partir d'autres
ensembles de mesures de sécurité, ou de nouvelles mesures de sécurité peuvent être spécifiées en vue de
satisfaire à des besoins spécifiques.
La sélection des mesures de sécurité dépend des décisions prises par l'organisation en fonction de ses critères
pour les options de traitement du risque et de son approche de la gestion générale des risques, appliqués à
l'organisation et, par le biais d'accords contractuels, à ses clients et fournisseurs.
NOTE Des exigences légales peuvent également s'appliquer pour le choix des mesures.
Les organisations doivent prendre en compte l'ensemble étendu des mesures de protection des DCP figurant à l'Annexe A
pour sélectionner les mesures permettant de mettre en œuvre la ou les option(s) choisie(s) de traitement des risques sur
la vie privée.
La sélection et la mise en œuvre des mesures de sécurité dépendent également du rôle de l'organisation dans
la fourniture d'infrastructures ou de services. De nombreuses organisations différentes sont impliquées dans
la fourniture d'infrastructures ou de services. Dans certains cas, les mesures de sécurité sélectionnées peuvent
être propres à une organisation particulière. Dans d'autres cas, il peut y avoir des rôles partagés dans la mise
en œuvre des mesures de sécurité. Il convient que les accords contractuels spécifient clairement les
r
...