Audit sur pièces de la protection des données et de la sécurité (Privacy by Design)

Nous auditons sur pièces votre organisation sur le thème Privacy by Design : registre des traitements, durées de conservation, information des personnes, contrats avec les sous-traitants, gestion des accès, sauvegardes, procédure de gestion des violations, inventaire des prestataires du système d'information, plan de continuité. Nous confrontons les documents à vos pratiques par des entretiens avec le dirigeant, le référent données et le responsable informatique.

Le rapport distingue ce qui est prouvé, ce qui est affirmé sans pièce et ce qui manque, puis propose un plan d'actions. C'est une revue documentaire et organisationnelle : nous ne réalisons ni test d'intrusion ni audit qualifié de sécurité, le rapport ne vaut ni contrôle de la CNIL ni attestation de conformité, et nous ne consultons aucune donnée réelle de vos clients.

Déroulé de la prestation

1. Cadrage

   Nous fixons avec vous le périmètre, les textes applicables et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès aux documents.

2. Lecture documentaire

   Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Privacy by Design, avant toute rencontre, pour arriver aux entretiens avec des questions précises.

3. Entretiens et échantillon

   Nous rencontrons le dirigeant, les responsables et les collaborateurs, et nous examinons un échantillon de dossiers que vous choisissez ou que nous tirons avec vous.

4. Analyse des écarts

   Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.

5. Restitution

   Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.

Livrables, format et conditions

Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à vos associés, à une compagnie partenaire ou à l'autorité.

• Rapport d'audit sur pièces avec constats argumentés et pièces examinées
• Revue du registre des traitements, des contrats de sous-traitance, des procédures et de la politique d'accès
• Plan d'actions priorisé, présenté au dirigeant et au référent des données

Format et charge : forfait, 4 à 10 jours. Idéal pour : dirigeant de cabinet de courtage, responsable de la conformité ou responsable des systèmes d'information qui veut savoir ce qu'une demande de la CNIL ou d'un partenaire trouverait sur pièces. Prérequis de votre côté : accès au registre des traitements, aux contrats de sous-traitance, aux procédures, à la politique d'accès et aux traces des incidents, avec deux à trois entretiens.

Exemples d'usage

Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.