Audit RGPD à Saint-Etienne

Audit RGPD à Saint-Étienne : comment évaluer la conformité de votre structure

Un audit RGPD fait le point sur la façon dont une organisation collecte, utilise, conserve et protège les données personnelles. Il sert à repérer les écarts avant qu'un contrôle, une plainte ou un incident ne les mette en lumière. Cette page vous aide à comprendre ce que recouvre la prestation et à choisir un intervenant sérieux.

Ce que couvre concrètement un audit

Un audit sérieux part toujours de l'inventaire. Avant de juger quoi que ce soit, l'auditeur doit savoir quelles données sont traitées, par quel service, dans quel but et pendant combien de temps.

• le registre des traitements (article 30 du RGPD), et son niveau de mise à jour réel ;
• la base légale de chaque traitement : consentement, contrat, obligation légale, intérêt légitime ;
• les durées de conservation, rarement appliquées au-delà des déclarations ;
• les sous-traitants, leurs contrats et les éventuels transferts hors Union européenne ;
• l'information des personnes et la gestion de leurs droits (accès, rectification, effacement, opposition) ;
• les mesures de sécurité, des habilitations jusqu'aux sauvegardes ;
• la nécessité ou non d'une analyse d'impact (AIPD) pour les traitements sensibles.

Questions à poser avant de signer

Un bon intervenant accepte de répondre précisément à vos questions, et sait dire ce qu'il ne fera pas. Demandez-lui comment il mène sa mission, à qui il la confie et ce qu'il vous remettra à la fin.

Interrogez-le aussi sur son expérience avec des structures de votre taille et de votre secteur. Un cabinet habitué aux PME n'aborde pas le sujet comme un groupe de santé ou un éditeur de logiciels. Vérifiez enfin si la restitution comprend un plan d'actions priorisé, car un simple constat sans feuille de route vous laisse seul face aux corrections.

Documents à demander et à préparer

Rassemblez en amont le plus de matière possible : le registre existant, les mentions d'information sur vos formulaires, vos contrats avec les prestataires qui traitent des données pour vous et votre politique de sécurité informatique. Un audit court gagne beaucoup de temps quand ces pièces sont prêtes.

En retour, exigez un rapport écrit qui distingue ce qui est conforme, ce qui doit être corrigé et ce qui reste à arbitrer. Un livrable qui mélange ces trois catégories ne vous permet pas de décider.