Audit RGPD

Un audit RGPD est un état des lieux de vos traitements de données personnelles, confronté aux obligations du règlement. Il produit deux choses : la liste de ce qui n’est pas conforme, et l’ordre dans lequel le corriger. Sans ce second point, un audit ne sert à rien.

Ce que l’audit couvre

L’audit passe en revue les points sur lesquels une organisation est réellement exposée.

Ce que vous recevez

Un rapport d’audit qui décrit chaque écart constaté, l’obligation concernée et le risque associé.

Un plan d’action priorisé. C’est la partie utile. Chaque action est classée par niveau de risque et par effort. Vous savez ce qu’il faut traiter cette semaine, ce qui peut attendre le trimestre prochain, et ce qui relève du confort.

Une restitution orale avec les personnes concernées, pour que le document ne finisse pas dans un dossier partagé que personne n’ouvre.

Comment se déroule un audit

  1. Entretiens avec les services. C’est là que se trouve l’information. Les traitements qui posent problème sont rarement ceux que la direction a en tête.
  2. Analyse documentaire. Contrats, politiques internes, paramétrage des outils.
  3. Vérifications techniques sur le site et les applications exposées.
  4. Rédaction du rapport et hiérarchisation des actions.
  5. Restitution et arbitrage des priorités avec vous.

Audit seul ou audit suivi d’un accompagnement

Deux situations différentes.

Si vous disposez d’une équipe capable de mettre en œuvre les actions en interne, l’audit seul suffit. Vous repartez avec la feuille de route, vous l’exécutez.

Si vous n’avez ni juriste ni référent disponible, un audit isolé produit un document que personne ne traitera. Dans ce cas, l’audit sert de point de départ à une mise en conformité accompagnée ou à un DPO externalisé.

Autrement dit, l’audit répond à la question « où en sommes-nous ». Il ne répond pas à « qui va s’en occuper ».

Combien ça coûte

Un audit se facture le plus souvent au forfait, pour un périmètre défini à l’avance. La page comment se construit le coût d’un accompagnement RGPD détaille les facteurs qui font varier ce montant. Notre article audit RGPD : guide pratique décrit la méthode plus en détail.

Questions fréquentes

Combien de temps prend un audit RGPD ?
Cela dépend du nombre de traitements et du nombre de services à rencontrer.
Faut-il un audit avant de désigner un DPO ?
Non, l’ordre est indifférent. Un DPO désigné commencera de toute façon par un état des lieux. Faire l’audit d’abord permet de connaître l’ampleur du chantier avant de s’engager sur un accompagnement.
Un audit RGPD couvre-t-il la cybersécurité ?
Partiellement. L’audit RGPD examine les mesures de sécurité sous l’angle de l’article 32, c’est-à-dire la protection des données personnelles. Il ne remplace pas un audit de sécurité du système d’information, qui a un périmètre plus large. Les deux sont complémentaires.
Que se passe-t-il si l’audit révèle une non-conformité grave ?
Elle est traitée en priorité et vous êtes informé immédiatement, pas à la remise du rapport. Certaines situations, comme une violation de données non notifiée, appellent une action dans les jours qui suivent.
Nos données restent-elles confidentielles ?
Oui. L’audit fait l’objet d’un engagement de confidentialité, et le rapport ne circule qu’entre les personnes que vous désignez.
Un audit RGPD nous protège-t-il en cas de contrôle CNIL ?
Un audit seul ne protège de rien. Ce qui compte devant la CNIL, c’est de démontrer que vous avez identifié vos risques et que vous les traitez. Un rapport d’audit accompagné d’un plan d’action daté et suivi est un élément de preuve utile. Un rapport d’audit resté lettre morte peut au contraire jouer contre vous, puisqu’il établit que vous saviez.

Prendre contact

Décrivez-nous votre activité en quelques lignes, nous vous dirons ce qu’un audit couvrirait dans votre cas.

Demander un cadrage