À qui faire appel pour réaliser un audit RGPD ?

Relevant de la vie privée, les données personnelles doivent faire l’objet d’un encadrement juridique dans l’intérêt des citoyens. Le RGPD (Règlement Général sur la Protection des Données) définit les obligations pour les entreprises en ce qui concerne la gestion des données personnelles au sein de l’Union européenne. Pour être en conformité avec ces nouvelles règlementations, la réalisation d’un audit de protection de données s’impose. Elle permettra d’identifier les manquements par rapport aux législations et de mettre en place des solutions adaptées. Alors, qui contacter pour la réalisation d’un audit RGPD ?

L’audit de sécurité RGPD : qu’est-ce que c’est ?

Le RGPD est une directive européenne relative au traitement des données personnelles par les entreprises et autres organisations. Le but est de garantir aux citoyens de l’Union européenne la protection de leurs informations personnelles. Si auparavant les entreprises avaient l’obligation de remplir préalablement certaines formalités auprès de la CNIL, elles doivent de nos jours être aptes à présenter des documents prouvant leur conformité à la loi.

L’article 32 du RGPD énumère les différentes règles de sécurité informatique à mettre en application. Il revient alors au responsable de traitement d’implémenter ces dispositions techniques et organisationnelles. L’objectif est de garantir un niveau de sécurité optimal par rapport au risque.

L’audit permet de s’assurer que ces mesures sont appliquées conformément à la loi RGPD. Il permet d’identifier les points forts et les points faibles du système. Il permet également d’examiner les risques de données en rapport avec le SAP (System Application and Products in Data Processing) et les activités informatiques. Des solutions peuvent alors être élaborées pour faire face à ces risques et améliorer le système d’information.

Pourquoi faire un audit RGPD ?

S’il est aujourd’hui possible grâce à l’informatique d’obtenir et de traiter un nombre considérable de données personnelles, il existe également certains risques qu’il est impératif de ne pas négliger. Il revient alors aux entreprises d’assurer la protection des données personnelles de leurs clients, d’où la création de la directive européenne RGPD.

Le RGPD s’applique à toutes les entreprises qui proposent des produits ou des services à des citoyens de l’Europe, quels que soient leur taille, leur statut ou leur situation géographique. Il existe néanmoins quelques différences en fonction de la taille des structures. Les obligations légales sont plus allégées pour les entreprises comptant moins de 250 salariés.

Pourquoi un audit de situation RGPD s’impose-t-il aux entreprises ? Comme précédemment évoqué, pour qu’elles puissent évaluer leur conformité à la loi. D’autant qu’il existe des pénalités en cas de non-conformité, des pénalités qui peuvent se révéler très lourdes. En effet, en cas de non-respect des mesures liées à la protection des données, les entreprises et autres organisations peuvent faire face à une suspension ou une limitation du traitement des données dont elles disposent.

Ces sanctions peuvent être complétées d’une amende allant de 2 à 4 % du chiffre d’affaires. L’audit de conformité RGPD évite à ces sociétés ces diverses sanctions, tout en leur permettant de perfectionner leur système d’information, pour une sécurité et une fiabilité optimale.

À qui confier la réalisation d’un audit RGPD ?

La réalisation d’un audit RGPD est une mission qui revient au DPO (Data Protection Officer ou en français Délégué de la protection des données). Responsable de la sécurité des données des entreprises, il doit posséder les qualifications nécessaires pour exercer sa fonction et bénéficier d’une autonomie dans la hiérarchie. Cela permet d’éviter les conflits d’intérêts avec les autres structures de l’entreprise. D’ailleurs, la CNIL interdit à toute société de nommer un DRH, un DG ou un PDG à cette fonction. D’un autre côté, certaines entreprises préfèrent confier leur audit à un spécialiste.

Le DPO interne

Il est possible pour une entreprise de confier son audit RGPD à un DPO interne, c’est-à-dire un délégué à la protection des données faisant partie de la société. Ce dernier bénéficie selon la loi d’un statut spécifique qui permet d’assurer son indépendance. D’un point de vue légal, le DPO interne ne peut être relevé de ses fonctions ou sanctionné par la hiérarchie du fait d’un acte réalisé dans l’exercice de ses fonctions.

Toutefois, ce professionnel demeure un salarié et se doit de respecter les règles du Code du travail. S’il commet un acte répréhensible à l’instar du vol, d’une faute grave ou encore du harcèlement sexuel, il peut en toute légitimité faire l’objet d’un licenciement.

Le DPO externe

L’audit RGPD peut tout à fait être réalisé par un DPO externe à l’entreprise. Cette option présente des points positifs. Avant tout, le DPO externe bénéficie d’une plus grande autonomie comparée à un délégué interne. Cela permet de réduire considérablement les risques de conflit d’intérêts et de garantir un audit objectif.

Toutefois, le DPO externe a accès dans le cadre de ses fonctions à des informations sensibles de l’entreprise. Il est par conséquent essentiel d’effectuer un choix minutieux, basé sur le sérieux de l’entreprise à qui vous confierez votre audit RGPD.

L’avocat spécialisé en conformité RGPD

Pour se conformer aux exigences RGPD, certaines entreprises se tournent vers des avocats spécialisés. En partenariat avec divers acteurs du domaine de l’analyse et du traitement de données, ces derniers assistent leurs clients durant le processus de sécurisation et proposent des actions à mener suivant les règles de l’Union européenne. Ils font office de DPO et sont aptes à réaliser un audit RGPD. Pour bénéficier d’un service de qualité, prenez soin d’examiner les compétences de l’avocat choisi en matière de protection des données, mais aussi ses connaissances en droit.

Le DPO : ce qu’il y a à savoir sur ce professionnel

Le délégué à la protection des données ou DPO est, comme son nom l’indique, la personne qui s’occupe de la protection des données personnelles dans les entreprises, qu’elles soient publiques ou privées. Apparu en mai 2018, le DPO est un concept du RGPD qui régit sa nomination, ses fonctions, ses tâches et sa certification.

Si la désignation d’un professionnel chargé de la gestion des données personnelles ne date pas d’aujourd’hui, elle n’était toutefois pas obligatoire. Cette fonction était connue sous l’appellation Correspondant Informatique et Liberté. De nos jours, le DPO est l’intermédiaire privilégié de la CNIL qui peut contrôler les entreprises en ce qui concerne la gestion des données personnelles et les sanctionner en cas de non-respect. Il se doit de l’informer s’il constate un manquement aux mesures prédéfinies.

Quelles sont les missions d’un DPO ?

Le DPO s’assure de la conformité de l’entreprise par rapport aux règles applicables en ce qui concerne la protection des données personnelles. À cet effet, il joue plusieurs rôles au sein d’un organisme :

• le délégué à la protection des données se doit d’informer et de conseiller l’entreprise pour laquelle il travaille, mais aussi les salariés,
• il veille au respect des règles en vigueur, ainsi qu’au respect du droit national lié à la protection des données personnelles,
• amener l’entreprise à élaborer une analyse d’impact liée à la protection des données et veiller à ce qu’elle soit réalisée,
• il fait office d’intermédiaire avec l’autorité de contrôle locale.

Le DPO assure par conséquent une fonction importante au sein d’une entreprise. Il veille au respect de la règlementation en vigueur et assiste les entreprises dans leur mise en conformité.

Quels sont les compétences et les moyens nécessaires pour assurer le rôle de DPO ?

Avant de désigner un délégué à la protection des données, il est important de veiller à ce qu’il possède les compétences nécessaires pour assurer sa fonction. Ainsi, il doit avoir :

• une réelle connaissance des lois en vigueur,
• une maîtrise des systèmes d’information et des données personnelles collectées,
• une connaissance de l’organisation interne et des besoins de l’entreprise.

Par ailleurs, le délégué à la protection des données doit avoir des moyens suffisants pour assurer sa mission dans les meilleures conditions. De ce fait, il doit pouvoir avoir accès à toutes les informations qui peuvent lui être utiles, disposer de suffisamment de temps pour réaliser ses tâches, mais aussi des moyens humains et matériels adaptés.

Soumis à une obligation de confidentialité, le DPO ne doit en aucun cas divulguer ou utiliser à des fins personnelles les informations recueillies dans l’exercice de ses fonctions. Enfin, il est obligatoire pour les entreprises de déclarer leur DPO auprès de l’autorité de contrôle habilitée, en l’occurrence la CNIL pour la France.

Audit RGPD : quels avantages pour les entreprises ?

Pour les entreprises, l’audit RGPD permet d’évaluer la sécurité des données personnelles internes. Avec la multiplication des cyberattaques, la protection des données sensibles est de nos jours une véritable urgence. Cette opération, bien qu’harassante, est indispensable puisqu’elle permet d’identifier les éventuelles failles pour y remédier.

La réalisation d’un audit RGPD permet également d’établir une relation de confiance avec des clients, en prouvant que leurs données personnelles sont entre de bonnes mains. C’est l’opportunité de fidéliser ses clients, mais aussi d’en gagner de nouveaux en générant un capital confiance.

Vous l’aurez compris, la réalisation d’un audit RGPD est impérative pour se conformer aux règlements relatifs à la protection des données personnelles. Habilité, le délégué à la protection des données veille à la conformité des entreprises avec les législations. Assurez-vous d’effectuer le bon choix pour bénéficier d’un audit fiable et objectif.

Thierry Janguin