Règlement (UE) 2016/679, article 24

Audit RGPD : ce que contient un diagnostic de conformité

Un audit de conformité n'est pas une note sur cent. C'est l'établissement d'une liste d'écarts entre ce que le règlement (UE) 2016/679 impose à une organisation déterminée et ce qui existe réellement chez elle, chaque écart étant rattaché à la disposition qu'il méconnaît et classé selon l'exposition qu'il crée. Ce document est ce à partir de quoi une décision de mise en conformité se prend, et il vaut d'abord par ce qu'il refuse d'affirmer.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

La première question n'est pas la conformité mais l'assujettissement

Un audit qui commence par l'examen des mesures en place saute l'étape qui conditionne tout le reste. L'article 3 du règlement délimite son champ d'application territorial : le paragraphe 1 vise le traitement effectué dans le cadre des activités d'un établissement situé dans l'Union, que le traitement ait lieu ou non dans l'Union ; le paragraphe 2 vise le responsable établi hors de l'Union lorsqu'il offre des biens ou services à des personnes se trouvant dans l'Union ou suit leur comportement.

La qualification du rôle vient ensuite, et elle change tout : les obligations d'un responsable du traitement au sens de l'article 4.7 et celles d'un sous-traitant au sens de l'article 4.8 ne sont pas les mêmes, et une même organisation cumule en général les deux qualités selon les traitements. Un audit qui ne tranche pas ce point produit une liste d'écarts dont une partie ne concerne pas l'organisation auditée.

Une organisation hors du champ doit le savoir à l'issue de cette première étape, et la mission s'arrête alors. C'est un résultat, pas un échec.

Les six axes examinés

Les traitements et leurs finalités

Recensement de ce qui est réellement traité, par qui et pour quoi, par entretien avec les services opérationnels. Les traitements absents de tout document écrit sont la première source d'écart : ils existent, ils ne sont simplement pas déclarés.

Les bases légales

Chaque finalité doit se rattacher à l'un des six fondements de l'article 6.1, et les traitements portant sur des données de l'article 9 doivent en outre relever d'une exception du paragraphe 2. Un traitement sans base identifiée est un écart, pas une zone grise.

L'information des personnes

Examen de ce qui est effectivement porté à la connaissance des personnes au moment de la collecte, au regard des articles 13 et 14, et de la manière dont elles peuvent exercer leurs droits.

Les durées de conservation

Vérification que les durées annoncées sont appliquées, par contrôle de la purge réelle. Une durée figurant au registre sans mécanisme d'effacement correspondant n'est pas une durée, c'est une intention.

La chaîne de sous-traitance

Revue des contrats au regard des clauses obligatoires de l'article 28.3, identification des sous-traitants ultérieurs, et localisation des données et des accès administrateurs.

La sécurité et la gouvernance

Appréciation des mesures de l'article 32 au regard du risque, existence d'une procédure de violation, gestion des habilitations, et examen de la question de la désignation d'un délégué.

Ce que le diagnostic produit

Un diagnostic utile tient en trois pièces. La note de champ d'application, qui établit à quel titre le règlement s'applique et à quels traitements. La liste des écarts, chacun rattaché à l'article méconnu, assorti de son exposition et de la mesure qui le corrigerait. Et la liste des points qui n'ont pas pu être tranchés, avec la raison : information non disponible, arbitrage relevant de la direction, ou question de droit dont la réponse n'est pas établie.

Cette troisième pièce est celle qui distingue un diagnostic d'un document commercial. Un audit qui ne comporte aucun point en suspens n'a pas été conduit assez loin, ou a tranché des questions qu'il n'était pas en mesure de trancher.

Ce qu'un audit ne fait pas

Il ne certifie pas. Aucun document délivré par un cabinet de conseil ne vaut conformité opposable : l'article 24 du règlement fait peser sur le responsable du traitement l'obligation de mettre en œuvre les mesures appropriées et d'être en mesure de démontrer la conformité, et cette charge ne se délègue pas. Un rapport d'audit est une pièce du dossier de preuves, pas un label.

Il ne tient pas lieu d'analyse d'impact. L'analyse prévue à l'article 35 porte sur un traitement déterminé présentant un risque élevé, selon une méthode propre ; un audit général en identifie la nécessité, il ne s'y substitue pas.

Il ne vaut pas à la date du contrôle. Un diagnostic décrit un état à une date, et un traitement ajouté le lendemain n'y figure pas. C'est la raison pour laquelle le registre, qui vit, compte davantage que l'audit, qui date.

Questions fréquentes

Un audit RGPD est-il obligatoire ?

Le règlement (UE) 2016/679 n'impose pas d'audit en tant que tel. Il impose à l'article 24 de mettre en œuvre des mesures appropriées et d'être en mesure de démontrer la conformité, ce qui suppose de savoir où l'on en est. L'audit est le moyen le plus direct d'établir ce point de départ, mais il n'est pas une formalité exigée par le texte.

Combien de temps un audit reste-t-il valable ?

Il décrit un état à une date. Sa durée de pertinence dépend de la vitesse à laquelle l'organisation crée de nouveaux traitements : un nouvel outil, un nouveau prestataire ou une nouvelle finalité le périment sur le point concerné. C'est le registre, mis à jour en continu, qui prend le relais, et non un audit renouvelé chaque année.

Un audit protège-t-il en cas de contrôle de la CNIL ?

Il ne protège pas par lui-même, mais il pèse. Un rapport d'audit suivi d'un plan d'action daté et effectivement engagé démontre la diligence du responsable ; un rapport d'audit resté sans suite établit au contraire que les écarts étaient connus, ce qui est un facteur aggravant au regard des critères de l'article 83.2.

Faut-il auditer avant ou après avoir désigné un délégué ?

Les deux ordres se défendent. Un diagnostic préalable permet de dimensionner le mandat et de savoir si la désignation est obligatoire. Une désignation préalable permet au délégué de conduire lui-même le diagnostic et d'en porter le suivi. Ce qui ne fonctionne pas est de désigner sans jamais établir l'état des lieux : le délégué n'a alors aucun point de départ.

Ce que ce régime déclenche ailleurs

Le registre est le livrable qui prend la suite du diagnostic : il transforme un état des lieux daté en document vivant, et c'est lui qui est demandé en premier lors d'un contrôle.

Tenir le registre des activités de traitement

Un diagnostic n'a de valeur en contrôle que rattaché à un plan d'action engagé : c'est cette suite, et non le rapport lui-même, que l'autorité examine.

Se préparer à un contrôle de la CNIL

Les mentions imposées par l'article 30, la différence entre registre du responsable et registre du sous-traitant, et pourquoi la dispense de moins de 250 salariés ne joue presque jamais.

Registre des traitements

Les trois cas de l'article 35.3, les quatre éléments que l'analyse doit contenir, le rôle du délégué, et l'hypothèse où l'autorité de contrôle doit être consultée avant la mise en œuvre.

Analyse d'impact

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.