Beaucoup d’entreprises ont fait un audit RGPD. Peu savent dire ce qu’il a changé. C’est le symptôme d’un malentendu sur la nature de l’exercice : il a été commandé comme une revue documentaire, et livré comme telle.
Le résultat est un rapport qui compare vos documents au texte du règlement. Il est juste. Il ne dit rien de ce que fait réellement votre organisation.
L’écart qui compte
La conformité ne se constate pas dans le registre des traitements. Elle se constate dans l’écart entre ce que le registre décrit et ce qui se passe :
- des données collectées par un formulaire que personne n’a déclaré
- un fichier d’export conservé sur un poste depuis quatre ans, hors de toute politique de purge
- un outil souscrit en direct par un service, sans passer ni par le contrat-cadre ni par personne
- une durée de conservation affichée à trois ans, appliquée indéfiniment faute de mécanisme de suppression
Aucun de ces quatre points n’apparaît dans une revue documentaire. Tous apparaissent dès qu’on interroge les équipes sur leurs pratiques réelles.
Ce qu’il faut exiger comme livrable
Un audit dont la conclusion tient dans un pourcentage de conformité ne se pilote pas. Ce qui se pilote, ce sont des écarts qualifiés :
- la liste des traitements non déclarés, avec la finalité constatée
- la qualification de chaque sous-traitant, et l’état de l’accord de traitement correspondant
- les durées de conservation, assorties du mécanisme qui les applique — ou du constat qu’il n’y en a pas
- pour chaque écart : l’action, le responsable désigné, l’échéance
Un audit qui produit un pourcentage rassure. Un audit qui produit une liste d’actions datées engage.
Le rôle du juriste, et sa limite
L’analyse juridique reste nécessaire : qualifier une base légale, apprécier un transfert hors Union européenne, arbitrer sur l’intérêt légitime. Mais elle s’exerce sur des faits, et les faits ne se collectent pas dans les textes.
C’est pourquoi un audit confié au seul cabinet d’avocats produit une excellente analyse d’un périmètre incomplet, et un audit confié au seul technicien produit un inventaire sans qualification. L’exercice demande les deux, et dans cet ordre : constater, puis qualifier.
Par où commencer
Dans une entreprise sans délégué désigné, ce travail paraît sans commencement. Il en a un : quatre chantiers, dans un ordre précis, dont le premier n’est pas juridique mais documentaire.
La qualification des sous-traitants n’est que la moitié du sujet. L’autre est contractuelle : ce que l’accord de traitement doit contenir.
Par les traitements qui touchent le plus de personnes et les données les plus sensibles — non par ceux qui sont les mieux documentés. Le réflexe naturel consiste à commencer par ce que l’on maîtrise ; c’est l’inverse qu’il faut faire, puisque c’est précisément là qu’il n’y a rien à trouver.
Questions fréquentes
Comment faire un audit RGPD utile ?
En comparant ce que décrit le registre des traitements à ce que font réellement les équipes. Les écarts — formulaire non déclaré, export conservé des années, outil souscrit en direct, durée de conservation jamais appliquée — n’apparaissent que dans les entretiens, pas dans une revue documentaire.
Qui peut faire un audit RGPD ?
Il faut deux compétences, dans cet ordre : constater, puis qualifier. Un audit confié au seul juriste analyse un périmètre incomplet ; confié au seul technicien, il produit un inventaire sans qualification. L’analyse juridique s’exerce sur des faits qu’il faut d’abord collecter.
Que doit contenir le livrable d’un audit RGPD ?
Des écarts qualifiés plutôt qu’un pourcentage de conformité : traitements non déclarés et leur finalité, qualification de chaque sous-traitant et état de son accord de traitement, durées de conservation et mécanisme qui les applique, et pour chaque écart une action, un responsable, une échéance.