Audit de protection des données — Audit de conformité KVKK et RGPD

Qu'est-ce qu'un audit ?

L'audit de protection des données évalue la conformité des traitements de données à caractère personnel à la réglementation applicable (RGPD, lois nationales, etc.). À la différence de l'audit de cybersécurité, l'accent porte sur la LICÉITÉ DU TRAITEMENT plutôt que sur la protection des données elle-même.

Pourquoi la réaliser ?

L'objectif est d'identifier les non-conformités entraînant amendes administratives et risque de réputation, et de vérifier que les droits des personnes concernées sont protégés.

Qui le demande ?

Organisations traitant intensivement des données personnelles
Entreprises opérant dans l'UE ou fournissant des services à l'UE au titre du RGPD
Entreprises technologiques agissant en qualité de sous-traitant de données
Fournisseurs dont les clients exigent une assurance de protection des données
Organisations mettant en place l'ISO/IEC 27701

Critères d'audit

Le critère est la législation applicable en matière de protection des données (KVKK, RGPD), ainsi qu'une norme de système de management de la confidentialité telle que l'ISO/IEC 27701, le cas échéant. S'y ajoutent les réglementations sectorielles et les clauses de traitement des données des contrats clients.

Périmètre de l'audit

L’inventaire des données personnelles et l’enregistrement des activités de traitement
Le fondement juridique des activités de traitement
Notices d'information et gestion du consentement
Les processus d'exercice des droits des personnes concernées et les délais de réponse
Minimisation des données et durées de conservation
La politique de destruction et les registres réels de destruction
Les accords de traitement des données et la gestion des sous-traitants
Les transferts transfrontaliers de données et leurs fondements juridiques
Les traitements nécessitant une analyse d'impact relative à la protection des données (AIPD)
L'adéquation des mesures techniques et organisationnelles
Les processus de détection, de notification et de tenue de registres des violations de données
La sensibilisation des employés et les engagements de confidentialité
La désignation d'une personne de contact ou d'un délégué à la protection des données

Normes associées

ISO/IEC 27701
ISO/IEC 27001
ISO/IEC 29134
ISO 19011

Déroulement de l'audit

1Choix des critères à appliquerLa norme, le référentiel ou la réglementation servant de base à l'audit est déterminé ; dans les audits thématiques, le choix des critères détermine directement la portée du résultat.
2Évaluation des risques et périmètreLes domaines à risque sont identifiés selon l'activité et l'implantation de l'organisme ; le nombre de jours d'audit est planifié en conséquence.
3Revue des documents et enregistrementsPolitiques, procédures, autorisations, enregistrements de mesure et résultats d'audits antérieurs sont examinés.
4Audit sur siteLes zones concernées sont parcourues ; mesures, observations et contrôles d'enregistrements propres au sujet sont réalisés.
5Entretiens avec les salariésSi le sujet l'exige, des entretiens confidentiels avec les salariés sont menés indépendamment de la direction ; les déclarations sont recoupées avec les enregistrements.
6Évaluation de la conformité réglementaireLa conformité à la réglementation en vigueur est contrôlée séparément ; une non-conformité légale constitue, dans tout référentiel, la catégorie de constat la plus grave.
7Restitution des constatsLes constats sont classés par gravité et réunis dans un rapport.
8Actions correctives et suiviUn plan d'actions correctives est obtenu ; sa clôture dans le délai prévu par le référentiel est suivie.

Constats

Les constatations les plus graves sont un traitement sans base légale, des données expirées non détruites et l'absence de processus de notification des violations. Celles-ci comportent un risque direct de sanction administrative.

Rapport d'audit

Identification de l'organisme, de l'auditeur et de l'audité
Norme, référentiel ou réglementation appliqués
Date, durée et périmètre de l'audit
Constats issus de la revue des documents et enregistrements
Observations sur site et résultats de mesure
Constats des entretiens avec les salariés, le cas échéant
Évaluation de la conformité réglementaire
Constats, leur gravité et les preuves
Plan d'actions correctives et délais

Limites du livrable

Un audit de protection des données est une évaluation technique et procédurale ; ce n'est pas un avis juridique. L'interprétation de la législation et une appréciation contraignante de la licéité d'un traitement relèvent de l'autorité de contrôle compétente. Le rapport d'audit n'est ni un certificat de conformité ni un document assurant une protection devant l'autorité.

Accréditation

L'accréditation varie selon le type d'audit. Les audits de tierce partie fondant la certification de systèmes de management relèvent de l'ISO/IEC 17021-1, ceux fondant la certification de produits de l'ISO/IEC 17065 ; ces domaines sont soumis à accréditation. Les audits de première et de seconde partie, ainsi que ceux régis par les règles propres au propriétaire d'un référentiel (SMETA, amfori BSCI…), ne relèvent pas de la certification accréditée ; ils suivent les lignes directrices ISO 19011 et produisent un rapport. EUROLAB dispose d'accréditations internationalement reconnues selon l'ISO/IEC 17021-1 et l'ISO/IEC 17065, délivrées par des organismes signataires de l'accord IAF ; les audits pouvant être proposés sous périmètre accrédité sont confirmés par écrit au stade de l'offre.

Périmètre et habilitations

Audits associés

Questions fréquentes

Réussir l'audit prouve-t-il que je suis conforme à la KVKK ?

Non. La conformité est soumise à l'appréciation de l'autorité compétente. L'audit apporte une assurance interne que les processus nécessaires à la conformité sont en place et fonctionnent ; il peut être considéré comme un indicateur de bonne foi et de diligence lors d'une éventuelle enquête.

Ai-je besoin d'un audit de protection des données si je détiens déjà l'ISO/IEC 27001 ?

Peut-être. L'ISO/IEC 27001 se concentre sur la sécurité de l'information ; elle ne vérifie pas si les données sont traitées licitement. Les notices d'information, le consentement, les durées de conservation et les droits des personnes concernées ne relèvent pas du champ de la 27001. Pour le volet confidentialité, l'ISO/IEC 27701 est un référentiel plus direct.

Est-ce que j'obtiens un certificat à l'issue de cet audit ?

Cela dépend du cadre dans lequel l'audit est réalisé. S'il est réalisé dans le cadre d'un référentiel de certification accrédité, il peut aboutir à un certificat ; le résultat d'un audit réalisé à la demande du client ou à des fins d'évaluation interne est un rapport.

La conformité légale est-elle également vérifiée ?

Oui, et dans chaque audit thématique, la non-conformité légale est la catégorie de constatation la plus grave. Aussi bien conçu que soit le système de management, une violation de la législation applicable, si elle est constatée, est signalée en priorité absolue.