Presque toutes les structures que nous rencontrons ont déjà fait quelque chose : un registre entamé, des mentions d’information quelque part, une politique de confidentialité récupérée en ligne. Le problème n’est jamais l’absence totale de conformité — c’est de ne pas savoir ce qui tient et ce qui ne tient pas.
Un audit ne sert pas à constater que vous n’êtes pas conforme. Il sert à savoir par quoi commencer, et combien ça va coûter.
Huit domaines passés en revue, avec pour chacun un niveau de maturité et les écarts constatés.
Complétude, granularité, finalités, durées de conservation, mise à jour effective
Chaque traitement repose-t-il sur une base valable, et est-elle documentée ?
Mentions, recueil du consentement, circuit de traitement des demandes d’accès
Traitements qui en exigent une, DPIA existantes, qualité des analyses menées
Clauses article 28, garanties, transferts hors UE, inventaire des outils SaaS
Mesures techniques et organisationnelles au regard du risque réel des traitements
Procédure interne, registre des violations, capacité à notifier sous 72 heures
Pilote désigné, sensibilisation des équipes, preuves d’accountability disponibles
Confier vos données personnelles à un prestataire suppose de savoir à qui. Notre déléguée à la protection des données est certifiée par PECB, organisme de certification indépendant, et membre de l’AFCDP.
Ces qualifications attestent de notre expertise en protection des données. La certification RGPD de votre organisation, elle, ne peut être délivrée que par un organisme accrédité indépendant : notre rôle est de vous y préparer et de vous accompagner jusqu’à l’audit.
Deux à quatre semaines selon la taille de la structure. Le temps que nous demandons à vos équipes se compte en heures, pas en jours.
Selon vos arbitrages, la suite peut prendre trois formes : la mise en conformité, un DPO externe ou la certification Europrivacy.
Deux à quatre semaines entre le cadrage et la restitution, selon le nombre d’entités et d’outils concernés. Le temps mobilisé de votre côté est bien plus court : comptez une heure de cadrage, trois à cinq entretiens d’une heure, et la séance de restitution.
Non, et c’est volontaire. Nous partons de ce qui existe, dans l’état où c’est. Rassembler des documents en amont retarde le démarrage et donne une image reconstituée de vos pratiques — or c’est justement l’écart entre le déclaré et le réel que l’audit doit mesurer.
Les deux. L’analyse documentaire se mène à distance et la plupart des entretiens en visio. Nous nous déplaçons pour le cadrage et pour la restitution, qui gagnent beaucoup à se tenir en présence.
C’est précisément le cas où l’audit rapporte le plus. Une structure qui part de zéro sait qu’elle a tout à faire ; une structure qui a déjà travaillé le sujet ignore lesquels de ses acquis résisteraient à un contrôle. Les écarts les plus coûteux se trouvent presque toujours là.
Ce que décrit cette page est un état des lieux — le diagnostic initial, quand vous ne savez pas encore ce qui tient et ce qui ne tient pas. Un audit blanc se mène en amont d’un contrôle ou d’une certification, pour repérer les écarts et préparer les preuves avant que ça compte. Un audit de suivi intervient après le plan d’action, pour vérifier qu’il produit ses effets. Nous réalisons les trois ; nous détaillons ce qui les distingue dans L’audit : un outil de progrès, pas de sanction.
Vous repartez avec un plan d’action utilisable, y compris sans nous. Certains clients le mettent en œuvre en interne, d’autres nous confient la suite ou la fonction de DPO externe. L’audit n’engage à rien au-delà de lui-même.
