Diagnostic flash

Audit de conformité urgent : un diagnostic quand le délai est imposé

Un contrôle annoncé, une violation de données, un fonds qui conditionne son investissement à un audit, un grand compte qui exige des garanties avant de signer : dans ces situations, le calendrier n'est plus le vôtre. Le diagnostic flash établit en quelques jours ce qui est en place, ce qui manque, et ce qui doit être traité en premier.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Les quatre situations que nous traitons

Violation de données

L'article 33 du RGPD impose de notifier la violation à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle n'est pas susceptible d'engendrer un risque. Nous qualifions la violation, préparons la notification et, le cas échéant, la communication aux personnes prévue à l'article 34.

Contrôle ou mise en demeure de la CNIL

Nous rassemblons la documentation attendue (registre, analyses d'impact, contrats de sous-traitance, preuves d'information), identifions les écarts et préparons les réponses.

Levée de fonds ou cession

La due diligence juridique porte de plus en plus sur la conformité des données et des systèmes d'IA. Nous produisons un état des lieux lisible par l'investisseur, avec les écarts et leur plan de correction.

Exigence d'un client ou d'un donneur d'ordre

Questionnaire de sécurité, clauses DORA imposées par une entité financière, exigences NIS2 répercutées sur la chaîne d'approvisionnement : nous préparons les réponses et les pièces qui les étayent.

Déroulé du diagnostic

Un premier échange qualifie la situation et l'échéance. Nous demandons ensuite les documents existants, conduisons les entretiens nécessaires et remettons un rapport qui classe les écarts par gravité et par délai de traitement. Le diagnostic peut se prolonger en mission de mise en conformité ou en mandat de DPO externalisé, sans reprendre le travail déjà fait.

Questions fréquentes

Dans quel délai faut-il notifier une violation de données ?

Dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (article 33 du RGPD). Une notification au-delà de ce délai doit être accompagnée des motifs du retard.

Le diagnostic couvre-t-il plusieurs réglementations ?

Oui. Le périmètre est fixé au premier échange selon votre situation : RGPD seul, ou RGPD combiné avec l'AI Act, NIS2 ou DORA.

Ce que ce régime déclenche ailleurs

La procédure complète de qualification, de notification et de documentation au registre des violations.

Violation de données

Ce qu'il faut faire dans les jours qui suivent la réception d'une mise en demeure.

Mise en demeure de la CNIL

Le déroulé d'un contrôle sur place ou en ligne, et les documents demandés.

Contrôle de la CNIL

Le règlement applicable aux entités financières et à leurs prestataires TIC depuis le 17 janvier 2025.

DORA

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.