Beaucoup d’entreprises ont fait un audit RGPD. Peu savent dire ce qu’il a changé. C’est le symptôme d’un malentendu sur la nature de l’exercice : il a été commandé comme une revue documentaire, et livré comme telle.
Le résultat est un rapport qui compare vos documents au texte du règlement. Il est juste. Il ne dit rien de ce que fait réellement votre organisation.
L’écart qui compte
La conformité ne se constate pas dans le registre des traitements. Elle se constate dans l’écart entre ce que le registre décrit et ce qui se passe :
- des données collectées par un formulaire que personne n’a déclaré
- un fichier d’export conservé sur un poste depuis quatre ans, hors de toute politique de purge
- un outil souscrit en direct par un service, sans passer ni par le contrat-cadre ni par personne
- une durée de conservation affichée à trois ans, appliquée indéfiniment faute de mécanisme de suppression
Aucun de ces quatre points n’apparaît dans une revue documentaire. Tous apparaissent dès qu’on interroge les équipes sur leurs pratiques réelles.
Ce qu’il faut exiger comme livrable
Un audit dont la conclusion tient dans un pourcentage de conformité ne se pilote pas. Ce qui se pilote, ce sont des écarts qualifiés :
- la liste des traitements non déclarés, avec la finalité constatée
- la qualification de chaque sous-traitant, et l’état de l’accord de traitement correspondant
- les durées de conservation, assorties du mécanisme qui les applique — ou du constat qu’il n’y en a pas
- pour chaque écart : l’action, le responsable désigné, l’échéance
Un audit qui produit un pourcentage rassure. Un audit qui produit une liste d’actions datées engage.
Le rôle du juriste, et sa limite
L’analyse juridique reste nécessaire : qualifier une base légale, apprécier un transfert hors Union européenne, arbitrer sur l’intérêt légitime. Mais elle s’exerce sur des faits, et les faits ne se collectent pas dans les textes.
C’est pourquoi un audit confié au seul cabinet d’avocats produit une excellente analyse d’un périmètre incomplet, et un audit confié au seul technicien produit un inventaire sans qualification. L’exercice demande les deux, et dans cet ordre : constater, puis qualifier.
Par où commencer
Par les traitements qui touchent le plus de personnes et les données les plus sensibles — non par ceux qui sont les mieux documentés. Le réflexe naturel consiste à commencer par ce que l’on maîtrise ; c’est l’inverse qu’il faut faire, puisque c’est précisément là qu’il n’y a rien à trouver.