Méthode
Comment un diagnostic de conformité est conduit
Les pages de ce site affirment du droit. Cette page dit d'où viennent ces affirmations, comment un diagnostic est construit, ce qu'il produit et ce qu'il ne couvre pas. Elle vaut pour les quatre régimes européens couverts par le cabinet comme pour les missions de structuration.
Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le 19 septembre 2026, dernière revue le 19 septembre 2026.
Cinq principes de travail
Le texte, pas le commentaire
Chaque affirmation d'un diagnostic renvoie à une disposition identifiée d'un texte en vigueur, citée par son article, dans sa version consolidée publiée sur EUR-Lex ou Légifrance. Les lignes directrices du Comité européen de la protection des données, les délibérations de la CNIL et les guides de l'ANSSI sont utilisés et cités comme tels : ils éclairent l'application du texte, ils ne s'y substituent pas.
Le champ d'application d'abord
Aucune mesure n'est recommandée avant que l'assujettissement ait été établi. Cette séquence a une conséquence que peu de prestataires assument : une organisation qui se découvre hors du champ d'un texte à l'issue du diagnostic n'a pas de mission à commander ensuite, et on le lui dit.
Des écarts hiérarchisés, pas une note
Un diagnostic ne conclut pas sur un pourcentage ni sur un score de maturité. Il produit une liste d'écarts entre l'obligation et l'existant, chacun rattaché à sa disposition et classé par exposition : ce qui est directement sanctionnable, ce qui est exigible en contrôle, ce qui relève de la bonne pratique. Un score agrège ces trois catégories et fait perdre l'information utile.
Ce qui n'est pas affirmé est signalé
Lorsque l'état du droit interne n'est pas établi, lorsqu'une transposition nationale est en cours, ou lorsque la pratique des autorités reste en construction, le rapport le dit et formule l'incertitude au lieu de la masquer. Une conformité fondée sur une affirmation fausse est moins solide que l'absence de conformité, parce qu'elle empêche de poser la question.
La preuve est le livrable
La conformité ne se démontre pas par l'absence d'incident mais par la production d'un dossier. Registres, analyses d'impact, politiques datées et versionnées, traces de décision et preuves de formation sont donc construits pour être opposables à une autorité de contrôle, et non pour l'usage interne seul.
Les quatre étapes d'une mission
01Diagnostic d'écart
Détermination du champ d'application du texte à l'activité réelle, puis comparaison entre ce que le texte impose et ce qui existe déjà dans l'organisation. Le diagnostic conclut sur une liste d'écarts hiérarchisés par exposition, non sur une note globale. Une organisation hors champ le sait à l'issue de cette étape, et la mission s'arrête là.
02Cartographie
Recensement de ce sur quoi porteront les mesures : traitements et flux de données, systèmes, prestataires, contrats en cours, rôles et responsabilités. La cartographie est le document de travail commun à toute la suite de la mission, et c'est elle qui est opposable en cas de contrôle.
03Mesures techniques et organisationnelles
Mise en œuvre des mesures que la cartographie a rendues nécessaires : procédures internes, politiques, clauses contractuelles à renégocier avec les prestataires, arbitrages de gouvernance, et formation des personnes concernées. Les mesures techniques relevant du système d'information sont spécifiées par Sila et mises en œuvre par vos équipes ou votre prestataire.
04Dossier de preuves
Constitution du dossier opposable à l'autorité de contrôle : registres, analyses d'impact, politiques datées et versionnées, traces de décision, preuves de formation. La conformité ne se démontre pas par l'absence d'incident mais par la production de ce dossier, ce qui suppose qu'il soit tenu à jour après la fin de la mission.
Comment un devis est établi
Le périmètre d'une mission ne se devine pas : il dépend de votre assujettissement, du nombre de traitements, de systèmes et de contrats concernés, et de ce qui existe déjà dans votre organisation. Aucun montant n'est donc affiché sur ce site.
La démarche commence par un échange de cadrage, sans frais et sans engagement, destiné à délimiter ce sur quoi la mission portera. Un devis personnalisé vous est adressé sous 48 h, détaillant le périmètre, les livrables et le montant.
Ce que la mission ne couvre pas
- Sila est un cabinet de conseil, dirigé par un juriste spécialisé en protection des données. Sila n'est pas un cabinet d'avocats, n'exerce pas la représentation en justice et ne délivre pas de consultation juridique portant sur un litige.
- Un diagnostic porte sur ce qui a été porté à la connaissance du cabinet. Un traitement, un système ou un contrat non communiqué n'est pas couvert, et le rapport énonce le périmètre exact sur lequel il porte.
- Les mesures techniques relevant du système d'information sont spécifiées par Sila, puis mises en œuvre par vos équipes ou votre prestataire d'infogérance. Sila ne réalise pas de test d'intrusion, d'audit de code ni d'infogérance.
- Aucun engagement de résultat n'est pris quant à l'issue d'un contrôle. L'objet de la mission est de constituer le dossier de conformité et de documenter les décisions, pas de garantir la décision d'une autorité.