RGPD & PROTECTION DES DONNÉES
Audit RGPD et mise en conformité des entreprises
Sécuriser les données qui vous sont confiées, structurer votre conformité et renforcer la confiance de vos clients et partenaires.
Toute entreprise qui traite des données personnelles — ce qui concerne en pratique la quasi-totalité des entreprises — doit respecter le RGPD. J’accompagne les organisations dans l’audit de leurs pratiques et la mise en place d’une conformité adaptée à leur activité réelle.
Audit · Registre · Contrats & DPA · Sous-traitants · Transferts · SaaS & plateformes
POURQUOI LE RGPD COMPTE
La conformité est aussi un enjeu de confiance
Respecter ses obligations
Identifier les traitements réalisés, leurs finalités, les bases juridiques applicables et la documentation nécessaire pour démontrer la conformité.
Rassurer ses clients
Une organisation capable d’expliquer comment elle protège les données qui lui sont confiées envoie un signal de sérieux à ses clients, prospects et partenaires.
Faciliter les contrats
Les clients professionnels demandent de plus en plus de garanties sur la protection des données, notamment dans les appels d’offres, audits fournisseurs et contrats SaaS.
Protéger sa réputation
Un contrôle, une sanction ou une violation de données peut générer un risque financier, mais également une perte de confiance durable auprès des clients et partenaires.
AUDIT RGPD
Partir des pratiques réelles de l’entreprise
La conformité ne consiste pas à accumuler des documents génériques. Elle doit partir des données réellement collectées, des outils utilisés, des prestataires impliqués et des flux existants dans l’entreprise.
L’audit permet d’identifier les écarts prioritaires, de distinguer ce qui existe déjà de ce qui doit être créé ou corrigé, puis d’établir un plan de mise en conformité proportionné aux risques.
DOCUMENTATION
Les principaux éléments d’une conformité RGPD structurée
Registre des traitements
Cartographier les traitements de données, leurs finalités, les catégories de personnes concernées et les principaux flux.
Information des personnes
Notices de confidentialité, formulaires, sites internet, applications et autres points de collecte.
Durées de conservation
Définir des règles cohérentes de conservation, d’archivage et de suppression des données.
Sous-traitants
Identifier les prestataires qui traitent des données et encadrer contractuellement leurs obligations.
Transferts internationaux
Identifier les données transférées hors de l’Espace économique européen et vérifier les mécanismes juridiques applicables.
Procédures internes
Droits des personnes, violations de données, sécurité, gestion des demandes et organisation interne.
CONTRATS & SOUS-TRAITANCE
La conformité RGPD se retrouve aussi dans vos contrats
Les relations avec les fournisseurs, prestataires numériques, hébergeurs, solutions SaaS ou autres sous-traitants doivent refléter correctement les rôles de chacun dans le traitement des données.
DPA
Encadrement contractuel des traitements réalisés pour le compte d’un responsable de traitement.
Rôles & responsabilités
Déterminer qui décide des traitements, qui exécute les instructions et quelles obligations incombent à chaque partie.
Sécurité
Préciser les engagements en matière de sécurité, confidentialité, incidents et recours à d’autres sous-traitants.
Fin de contrat
Retour, restitution, suppression ou portabilité des données à l’issue de la relation contractuelle.
RISQUE RÉPUTATIONNEL
Une sanction ne se résume pas à son montant
Une procédure de contrôle, une sanction rendue publique ou une violation de données peut également affecter la réputation de l’entreprise, ses relations commerciales et la confiance accordée par ses clients.
Conformité
→ confiance
→ crédibilité
→ maîtrise du risque
SANTÉ & DONNÉES SENSIBLES
Une vigilance renforcée pour les acteurs de la santé et de la health tech
Les entreprises qui traitent des données de santé ou d’autres catégories de données sensibles présentent des enjeux particuliers. C’est notamment le cas de nombreuses start-up de la health tech, plateformes numériques, solutions de télésanté ou services destinés aux professionnels de santé.
Données de santé
Identifier précisément les données traitées, les finalités poursuivies et les bases juridiques permettant leur utilisation.
AIPD
Examiner si les traitements envisagés présentent des risques nécessitant la réalisation d’une analyse d’impact.
Hébergement & prestataires
Analyser les solutions techniques utilisées, les prestataires impliqués, les flux de données et les exigences sectorielles applicables.
Innovation & IA
Anticiper les flux de données et les responsabilités lorsque la solution utilise des algorithmes, de l’IA ou des services numériques complexes.
SAAS, PLATEFORMES & SERVICES NUMÉRIQUES
Intégrer le RGPD au fonctionnement réel de votre plateforme
Pour une société SaaS ou une plateforme numérique, la conformité RGPD ne se limite pas à une politique de confidentialité. Elle doit correspondre aux données réellement collectées, aux fonctionnalités proposées, aux prestataires techniques utilisés et aux engagements pris auprès des clients.
Clients & utilisateurs
Identifier les données collectées lors de la création de compte, de l’utilisation du service, du support, de la facturation ou des échanges avec les utilisateurs.
Rôles des parties
Déterminer, traitement par traitement, lorsque la société agit pour son propre compte ou traite les données pour le compte de ses clients.
DPA & sous-traitants
Préparer les clauses de sous-traitance, identifier les prestataires techniques et organiser le recours aux sous-traitants ultérieurs.
Transferts internationaux
Analyser l’hébergement, les outils SaaS utilisés, les prestataires internationaux et les mécanismes encadrant les transferts de données.
Cookies & traceurs
Examiner les traceurs utilisés sur le site et la plateforme, leur finalité, l’information communiquée aux utilisateurs et les modalités de recueil du consentement lorsqu’il est requis.
Parcours utilisateur
Vérifier les formulaires, mentions d’information, champs obligatoires, création de compte, consentements éventuels et suppression des comptes.
Documentation cohérente
Mettre en cohérence politique de confidentialité, DPA, contrats, CGU ou CGV et fonctionnement technique réel du service.
Vendre aux grands comptes
Disposer d’une documentation structurée pour répondre plus facilement aux questionnaires RGPD, audits fournisseurs et demandes des directions juridiques de vos clients.
MÉTHODE
Comment se déroule une mission de mise en conformité ?
01
Cartographier
Comprendre l’activité, les données collectées, les outils utilisés, les prestataires et les flux.
02
Auditer
Identifier les écarts, les risques prioritaires et les documents déjà disponibles.
03
Corriger
Créer ou mettre à jour les registres, notices, contrats, procédures et autres documents nécessaires.
04
Faire vivre
Mettre en place une organisation permettant à la conformité d’évoluer avec l’entreprise.
QUESTIONS FRÉQUENTES
Questions fréquentes
Le RGPD concerne-t-il toutes les entreprises ?
Le RGPD s’applique aux entreprises dès lors qu’elles traitent des données à caractère personnel dans son champ d’application. En pratique, cela concerne la très grande majorité des entreprises : salariés, prospects, clients, fournisseurs ou utilisateurs impliquent généralement des traitements de données personnelles.
Que vérifie un audit RGPD ?
L’audit peut notamment examiner les traitements réalisés, le registre, les informations communiquées aux personnes, les durées de conservation, les contrats avec les sous-traitants, les transferts internationaux, les procédures internes et les mesures de sécurité.
Une petite entreprise est-elle également concernée ?
Oui. Les obligations doivent être appréciées au regard des traitements réellement effectués et des risques associés. La taille de l’entreprise ne permet pas, à elle seule, d’écarter l’application du RGPD.
Pourquoi mes clients me demandent-ils un DPA ?
Lorsqu’une entreprise traite des données personnelles pour le compte d’un client, le RGPD prévoit un encadrement contractuel spécifique de cette relation. Le DPA permet notamment de préciser les instructions, les obligations de sécurité et les conditions de sous-traitance.
Quelles sont les principales obligations RGPD d’une société SaaS ?
Elles dépendent des traitements réalisés et du rôle de la société. Il faut notamment examiner les données des utilisateurs, les traitements effectués pour le compte des clients, les sous-traitants, les transferts internationaux, les durées de conservation, la sécurité et la documentation contractuelle.
Faut-il un DPA avec chaque client SaaS ?
Lorsqu’un fournisseur SaaS traite des données personnelles pour le compte de son client en qualité de sous-traitant, cette relation doit faire l’objet de l’encadrement contractuel prévu par le RGPD. Le rôle des parties doit toutefois être analysé pour chaque traitement.
Les cookies et traceurs font-ils partie d’un audit RGPD ?
Oui lorsque l’entreprise utilise un site, une application ou une plateforme comportant des traceurs. L’analyse peut porter sur les outils effectivement déposés, leurs finalités, l’information fournie aux utilisateurs et les modalités de recueil du consentement lorsqu’il est requis.
Les données de santé nécessitent-elles des précautions particulières ?
Oui. Les données de santé font partie des catégories particulières de données et leur traitement nécessite une analyse renforcée du cadre juridique, de la sécurité, des prestataires et, selon les cas, des risques associés au traitement.
Le RGPD peut-il devenir un avantage commercial ?
Oui. Pour de nombreuses entreprises B2B, notamment SaaS ou technologiques, la capacité à présenter rapidement une documentation RGPD structurée peut rassurer les clients et faciliter les audits fournisseurs, appels d’offres et négociations contractuelles.
Vous souhaitez savoir où en est réellement votre conformité RGPD ?
Présentez-moi votre activité, vos outils et les données que vous traitez afin que nous puissions identifier les principaux risques et les actions prioritaires.