Un Audit C'est un bon test de réalité.
Ce n'est pas parce que les auditeurs posent toujours les meilleures questions. Parfois oui, parfois non. Un Audit mais il possède une propriété qui, dans le Protection des données peut s'avérer très salutaire : il ne s'intéresse pas particulièrement à ce que fait réellement une entreprise. Ce qui l'intéresse, c'est ce qu'il est possible de montrer.
C'est une différence considérable.
Dans de nombreuses organisations, la protection des données implique bien plus de choses qu'il n'y paraît à première vue. Il y a des évaluations, des concertations, des contrats, des autorisations, des formations, des répertoires, des mesures techniques de protection, des procédures opérationnelles (TOM), des analyses d'impact relatives à la protection des données (DSFA) et des décisions. Le problème ne commence généralement qu'au moment où quelqu'un pose la question suivante :
Pourriez-vous me montrer cela, s'il vous plaît ?
C'est alors que le silence s'installe souvent.
Quelqu'un se souvient d'un e-mail. Il y avait un compte-rendu quelque part. La dernière version du répertoire devrait se trouver dans SharePoint. La validation a eu lieu lors de la réunion de projet. Le prestataire a été contrôlé, mais probablement dans un autre dossier. Les TOM ont été mises à jour, mais personne ne sait plus exactement si c'était avant ou après la modification du processus. Les Analyse d'impact sur la protection des données C'est peut-être au service juridique. Ou au sein du département concerné. Ou encore chez la personne qui ne travaille plus dans l'entreprise.
C'est à ce moment-là que Conformité passe de l'allégation à la question de la preuve.
Et c'est précisément là que se joue la question de savoir si la protection des données est réellement maîtrisable.
En bref : qu'est-ce qu'une attestation de conformité à la protection des données dans le cadre d'un audit ?
Les justificatifs relatifs à la protection des données ne sont pas de simples documents. Un justificatif relatif à la protection des données atteste qu'un contrôle, une décision, une autorisation ou une mesure a bien été effectué(e) dans un contexte précis.
Un bon justificatif répond au moins à six questions :
- Quelle opération est concernée ?
- Qui a pris cette décision ou procédé à cette vérification ?
- Sur quelle base cette décision a-t-elle été prise ?
- Quelle version était en vigueur à cette date ?
- Quelle mesure ou quel feu vert en a-t-il résulté ?
- Quelle est la situation actuelle ?
Cela semble un peu austère. Dans le Audit C'est précisément cette objectivité qui est déterminante.
Car dans le Audit Au final, ce n'est pas le souvenir qui compte. C'est la trace qui compte.
La preuve l'emporte sur l'affirmation
Le site RGPD est ici plus clair que beaucoup ne le souhaiteraient. Le Responsable doit non seulement garantir le respect des principes de protection des données, mais aussi être en mesure d'en apporter la preuve. C'est là l'essence même de l'obligation de rendre compte prévue à l'article 5, paragraphe 2 RGPD.
Art. 24 RGPD va dans le même sens. Responsable il faut des mesures techniques et organisationnelles mettre en œuvre afin de garantir et de pouvoir prouver que la Traitement en accord avec la RGPD sont mises en œuvre. Ces mesures doivent être réexaminées et, si nécessaire, mises à jour.
Ce n'est pas du formalisme. C'est la différence entre la protection des données en tant qu'intention et la protection des données en tant qu'organisation solide.
Il ne suffit pas de créer un document une seule fois. Il ne suffit pas de définir une mesure une seule fois. Il ne suffit pas de donner son accord une seule fois par e-mail.
Les processus évoluent. Les systèmes évoluent. Les prestataires évoluent. Les risques évoluent. Les services évoluent. Si les justificatifs ne suivent pas cette évolution, un décalage apparaît entre ce qui se passe réellement au sein de l'entreprise et ce qui pourra être justifié par la suite.
Cette distance est indiquée dans le Audit généralement plus coûteux que le travail proprement dit lié à la protection des données.
Pourquoi les certificats de conformité en matière de protection des données sont souvent difficiles à trouver
Je ne pense pas que la plupart des entreprises gèrent mal la protection des données. Le problème est généralement plus banal, et donc plus dangereux : les traces sont laissées aux mauvais endroits.
Une décision est prise par e-mail. Une mesure figure dans un ticket. Un contrat est en cours de négociation au service des achats. Une évaluation des risques est entre les mains du service juridique. La mise en œuvre technique est décrite dans la documentation informatique. Le service concerné dispose de sa propre version du processus. Le délégué à la protection des données émet un avis, mais la mise en œuvre n’est pas correctement validée.
Tout cela n'a rien de grave. C'est la vie de tous les jours.
Mais la vie quotidienne n'est pas automatiquement éligible à un audit.
Un Audit ne demandez pas : « En avez-vous déjà parlé ? »
Un Audit demande : Qui a pris cette décision ? Sur quelle base ? Quelle version a été retenue ? Quelle mesure en a découlé ? Qui en était responsable ? Quand cela a-t-il été vérifié ? Quelles questions sont restées en suspens ? Quels changements ont été apportés ? Où se trouvent les preuves ?
Si ces questions ne sont abordées qu'au Audit quand il faut y répondre, il est déjà trop tard. C'est alors que commence l'« archéologie de la protection des données ». On exhume des e-mails, on reconstitue des historiques de discussion, on recherche d'anciennes versions de fichiers, on interroge d'anciens participants au projet et on reconstitue, à partir de fragments, une histoire qui, espérons-le, est encore cohérente.
Je n'appelle pas cela « apporter des preuves », mais plutôt « rechercher des indices dans un délai imparti ».
La boîte aux lettres n'est pas un système de preuve
Le courrier électronique est formidable tant qu'il s'agit de communiquer. Il s'avère toutefois peu efficace dès lors qu'il faut contrôler et justifier.
Une boîte aux lettres ne tient pas compte du contexte professionnel. Elle ne sait pas à quelle Traitement une remarque. Il ne sait pas si une mesure a été mise en œuvre. Il ne sait pas si une validation était définitive ou s'il s'agissait seulement d'une évaluation provisoire. Il ne sait pas quelle version d'un document était en vigueur au moment de la décision. Il ne sait pas si une réponse a été rendue caduque par une modification ultérieure.
Bien sûr, on peut effectuer des recherches dans les e-mails. On peut aussi vider une cave à l'aide d'une cuillère à café. Mais ce n'est tout simplement pas une bonne méthode de travail.
Il en va de même pour les disques durs. Un dossier bien organisé peut être utile. Un dossier mal organisé est une légende à part entière. Un dossier intitulé « Protection des données – version finale » inspire confiance, jusqu’à ce qu’il contienne cinq sous-dossiers aux noms similaires et que plus personne ne sache quel document servait de référence officielle.
La protection des données ne nécessite pas davantage d'archivage. La protection des données nécessite une logique de justification.
La preuve doit être apportée là où le travail est effectué.
La différence entre la documentation et la preuve
De nombreuses entreprises confondent Documentation avec justificatif. C'est compréhensible, mais risqué.
Un document indique : « Il y a quelque chose ici. ».
Une preuve atteste que cela a été vérifié, décidé ou mis en œuvre à un moment donné, par une personne occupant une fonction précise, sur la base de critères précis, dans le cadre d'une procédure précise.
C'est d'une tout autre qualité.
Une directive est un document. On ne peut parler de preuve que lorsqu'il apparaît clairement que la directive a été validée, communiquée, appliquée, vérifiée et, si nécessaire, mise à jour.
Un Registre des activités de traitement est un outil de documentation. Une preuve n'existe que lorsqu'on sait clairement qui est le Traitement a déclaré, vérifié, validé, modifié et réévalué.
Une description TOM est un document. Une preuve n'est établie que lorsqu'il apparaît clairement que la mesure a bien été mise en œuvre, attribuée à une personne responsable et régulièrement contrôlée.
Le conseil en matière de protection des données est une prestation spécialisée. Il n'y a preuve de cette prestation que lorsque la recommandation est liée à une procédure, une décision, une mesure ou un statut.
Cela peut paraître pointilleux. Mais ce n'est pas le cas. C'est précisément la différence qui, dans le Audit c'est ce qui détermine si l'on peut expliquer ou prouver quelque chose.
Ce qui est réellement demandé lors d'un audit de protection des données
Les audits sont de nature variée. Un audit interne Audit pose des questions différemment d'un audit client. Un audit ISO pose des questions différemment d'un Autorité de surveillance. Un processus de due diligence dans le cadre d'une fusion-acquisition ne s'apparente pas à une enquête sur un incident lié à la protection des données.
Malgré tout, de nombreuses questions reviennent au fond sur le même point :
L'entreprise est-elle en mesure de démontrer que son dispositif de protection des données fonctionne ?
En général, on ne pose pas de questions de principe abstraites à ce sujet. Il s'agit de questions pratiques :
Le RoPA est-il à jour ? Les responsabilités sont-elles clairement définies ? Les nouveaux traitements sont-ils enregistrés en temps utile ? Des autorisations ont-elles été accordées ? Les modifications sont-elles traçables ? Les prestataires de services ont-ils été contrôlés ? Les risques ont-ils été évalués ? Des mesures ont-elles été mises en œuvre ? Existe-t-il des attestations de formation ? Les droits des personnes concernées sont-ils traités de manière rigoureuse ? Existe-t-il des justificatifs concernant les incidents, les analyses d'impact relatives à la protection des données (AIPD), les mesures techniques et organisationnelles (TOM), les délais de suppression et les transferts vers des pays tiers ?
Art. 30 RGPD exigé pour le Registre des activités de traitement notamment des informations sur les finalités, les catégories de personnes concernées et de données, les destinataires, les transferts vers des pays tiers, les délais de suppression et les mesures techniques et organisationnelles. Le registre doit être tenu sous forme écrite ou électronique et être mis à la disposition de la Autorité de surveillance sont fournis sur demande.
Le RoPA n'est donc pas un document secondaire. C'est l'un des piliers essentiels de l'auditabilité.
Mais un RoPA ne suffit pas à lui seul si les pièces justificatives ne sont pas à la hauteur.
Pourquoi le RoPA et les pièces justificatives vont de pair
Le site Registre des activités de traitement indique quels traitements de données sont effectués au sein de l'entreprise. Il décrit les finalités, les catégories de données, les destinataires, les délais de conservation, mesures techniques et organisationnelles et d'autres informations essentielles.
C'est précisément pour cette raison que le RoPA constitue un point de départ idéal pour la constitution d'un dossier de preuve.
Si une Traitement Si cela figure dans le RoPA, les contrôles, décisions, risques, validations, mesures et modifications qui y sont associés doivent également y être clairement indiqués.
Lorsqu'une personne concernée fait une demande, on identifie plus rapidement les processus et les systèmes concernés. Lors d'un contrôle DSFA, on voit quel cas d'utilisation est concerné. En cas de changement de prestataire, on peut déterminer quels traitements sont concernés. En cas de Audit on ne peut pas se contenter de dire que c'est une Traitement existe. On peut montrer comment elle a été vérifiée et contrôlée.
En revanche, si le RoPA est géré de manière isolée, cela entraîne à nouveau un double travail. Le Traitement se trouve dans le répertoire, le contrat au service des achats, les TOM au service informatique, l'évaluation auprès du délégué à la protection des données, la validation dans le compte-rendu de réunion et le statut des mesures dans une liste quelconque.
Cela peut fonctionner, tant que quelqu'un garde tout en tête.
Mais un système qui repose sur la mémoire de personnes individuelles n'est pas un très bon système.
Le RoPA et les pièces justificatives doivent être cohérents entre eux.
| Question d'audit | Éléments de preuve dans les e-mails et sur les disques durs | Justificatifs sur une seule plateforme |
|---|---|---|
| Qui a pris cette décision ? | On recherche des procès-verbaux, des e-mails ou d'anciens documents partagés. | La décision, le rôle et la date sont consignés dans le dossier. |
| Quelle version était en vigueur ? | Il faut comparer plusieurs fichiers dont les noms sont similaires. | Les versions et l'historique des modifications sont traçables. |
| Quel Traitement est concerné ? | La connexion doit être établie manuellement. | Les justificatifs sont directement liés aux objets RoPA/VVT. |
| Quelle mesure est en suspens ? | Les tâches sont consignées dans des e-mails, des tickets ou des listes Excel. | Le statut, le responsable et les délais sont visibles. |
| Quels éléments ont été vérifiés ? | Les évaluations sont réparties entre le service DSB, le service juridique, le service informatique et les services fonctionnels. | Les contrôles sont affectés de manière structurée à l'opération. |
| Que peut-on montrer à l'auditeur ? | Des travaux de reconstruction sont en cours. | Les données sont exportées, affichées ou intégrées dans des rapports. |
Cette comparaison est volontairement simplifiée. C'est justement là où réside tout l'intérêt.
La capacité à faire l'objet d'un audit n'est souvent pas un problème de compréhension. C'est un problème d'organisation.
Ce qui caractérise des processus de protection des données pouvant faire l'objet d'un audit
Un processus de protection des données conforme aux exigences d'audit ne commence pas par le Audit. Il s'inscrit dans le déroulement normal du travail.
Lorsqu'un département lance une nouvelle Traitement , les informations requises doivent être clairement définies. Lorsque le DPD rend un avis, celui-ci doit être associé au dossier. Si les services juridiques ou informatiques sont impliqués, leurs vérifications ne doivent pas se perdre dans une boîte mail. Lorsqu’une autorisation est accordée, elle doit être documentée avec la date, le rôle, les conditions et la date de révision. Lorsqu’une mesure est mise en place, elle doit avoir un responsable, un délai et un statut.
La capacité à se soumettre à un audit ne résulte donc pas d'un grand nettoyage effectué juste avant la date de l'audit.
Elle résulte d'un processus qui génère automatiquement des justificatifs.
Je considère cela comme l'une des principales différences en termes de maturité dans la gestion de la protection des données.
Dans un système qui n'est pas encore au point, la traçabilité est reléguée au second plan. On travaille, on prend des décisions, on vérifie, puis on se penche ensemble, plus tard, sur ce qu'il en reste.
Dans un système abouti, la vérification s'effectue au fur et à mesure du travail. Non pas comme une charge supplémentaire, mais comme une partie intégrante du processus.
C'est là toute la différence entre la gestion de la protection des données et le pilotage de la protection des données.
Pourquoi les versions et les validations sont souvent sous-estimées
Les versions, ça fait un peu fade. Les mises à jour aussi. Jusqu'à ce qu'il y ait un problème.
C'est alors que l'on se demande soudain quelle version d'une évaluation des risques était en vigueur, quelle description TOM a été utilisée, si la DSFA a été mise à jour avant ou après une modification du processus, qui a Traitement l'a autorisé et si cette autorisation était soumise à des conditions.
Une autorisation sans contexte n'a guère de valeur. Une autorisation doit indiquer précisément ce qui a été autorisé, sur quelle base, par qui, avec quelles conditions et dans quelles circonstances un réexamen est nécessaire.
Il en va de même pour les versions. Si une Traitement Lorsqu'un changement intervient, il ne suffit pas de se contenter d'examiner la situation actuelle. Il faut parfois aussi comprendre ce qui s'appliquait auparavant et pourquoi ce changement a été opéré. Cet historique peut s'avérer déterminant, notamment dans le cadre d'audits, de réclamations ou d'incidents.
Les organisations chargées de la protection des données qui gèrent rigoureusement les versions et les validations donnent souvent l'impression d'être peu spectaculaires.
C'est justement ce qui est bien.
Une bonne gouvernance est rarement spectaculaire. Elle est généralement facile à repérer.
Le DPD externe dans le cadre de la logique de justification
Un délégué à la protection des données externe peut jouer un rôle très important dans ce contexte. Mais seulement si ses conseils ne sont pas prodigués en dehors du système.
Si le DPD externe envoie une évaluation par e-mail et que cet e-mail est ensuite archivé quelque part, c'est mieux que rien. Mais cela reste précaire. L'évaluation doit être communiquée à la personne concernée Traitement, au projet, à la mesure ou à la décision. Ce n'est qu'alors que le conseil devient une preuve solide.
Art. 38 RGPD exige que le délégué à la protection des données soit associé de manière appropriée et en amont à toutes les questions relatives à la protection des données à caractère personnel. Il rend compte directement à la direction générale. Cela montre que le DPD n'est pas censé jouer un simple rôle de consultation en aval. Il fait partie intégrante du processus.
Cela revêt une importance particulière dans le cadre d'un mandat externe de DPD. Le DPD ne participe pas automatiquement à toutes les réunions. Il ne prend pas automatiquement connaissance de toutes les modifications. C'est pourquoi il a besoin de canaux d'information bien définis, d'une phase de prise en charge des projets, de réunions régulières et d'interfaces de documentation.
Pour que ses recommandations débouchent sur des décisions, des mesures et des éléments probants, elles doivent parvenir là où l'entreprise exerce ses activités.
C'est précisément là qu'intervient Ailance Externer DSB : le conseil technique, le pilotage opérationnel et les justificatifs documentés vont de pair.
| Ce qu'il faut | Comment il devrait être mis à disposition | Comment Ailance RoPA et Ailance Externer DSB apportent leur soutien |
|---|---|---|
| Actualités RoPA/VVT | Les activités de traitement doivent être documentées en précisant les finalités, les données, les destinataires, les délais de conservation, les mesures techniques et organisationnelles (TOM) ainsi que les responsabilités. | Ailance RoPA associe les traitements aux rôles, aux flux de travail, aux contrôles et aux justificatifs. |
| Vérification sur place | Les conseils, les validations, les contrôles et les mesures devraient être directement transmis à la Traitement, au projet ou au risque. | Les justificatifs ne sont pas classés séparément, mais associés aux objets de gouvernance concernés. |
| Responsabilités | Chaque mesure, contrôle et validation doit avoir un responsable. | Les tâches, les rôles et les responsabilités peuvent être gérés et mis en évidence dans le workflow. |
| Versions et historique | Les modifications doivent rester traçables. | L'historique des modifications et la logique des états permettent de replacer les décisions antérieures et les situations actuelles dans leur contexte. |
| Autorisations assorties de conditions | Les autorisations doivent indiquer clairement ce qui a été autorisé et dans quelles conditions. | Les validations peuvent être associées à des statuts, des conditions, des dates de révision et des mesures. |
| Intégration externe du délégué à la protection des données | Les évaluations de la DSB doivent être prises en compte dans les projets, les RoPA, les risques et les mesures. | Ailance Externer DSB allie le conseil à la gestion opérationnelle des mandats et à la tenue des registres. |
| Rapports de gestion | Les dirigeants ont besoin d'informations sur la situation, les risques, les mesures en cours et les tendances. | Ailance permet de générer des rapports à partir de données structurées plutôt qu'à partir de requêtes manuelles. |
La question délicate qui se pose avant chaque audit
Combien de temps vous faudrait-il aujourd'hui pour rassembler les principaux documents relatifs à la protection des données ?
Pas en théorie, mais AUJOURD'HUI.
La version actuelle du RoPA. Les dernières modifications pertinentes. Une sélection d'autorisations. Les justificatifs relatifs aux contrôles des prestataires. Les TOM concernant les traitements critiques. La dernière DSFA. Les justificatifs de formation. Traitement des demandes des personnes concernées. Mesures en cours. Rapports de gestion. Justificatifs relatifs aux incidents de protection des données. Avis du DPD sur les projets pertinents.
Si la réponse est : « Il faudrait qu'on cherche ça ensemble », ce n'est pas la fin du monde, mais la situation habituelle dans de nombreuses organisations.
Mais cela montre également que la protection des données repose encore trop sur des dossiers et pas assez sur des processus.
Un Audit Ce n'est alors pas seulement un examen, mais plutôt un miroir.
Les documents relatifs à la conformité doivent être faciles à trouver
J'aime bien la phrase “Conformité ” Il faut le vivre » n'est qu'une expression. C'est vrai, mais c'est un peu vague. Tout le monde acquiesce, mais personne ne sait exactement ce qui devrait se passer différemment lundi matin.
Je formulerais cela de manière plus concrète :
Conformité doit pouvoir être retrouvé.
Lorsqu'une mesure a été mise en œuvre, il faut pouvoir la retrouver. Lorsqu'une décision a été prise, il faut pouvoir la retrouver. Lorsqu'un risque a été évalué, il faut pouvoir retrouver cette évaluation. Lorsqu'une Traitement Si un changement a été apporté, il faut déterminer quand et pourquoi. Si le DSB a délibéré, ces délibérations doivent être replacées dans leur contexte. Si la direction a pris une décision, celle-ci doit être consignée par écrit.
La « facilité de recherche » peut sembler insignifiante.
C'est en réalité un critère essentiel d'une bonne gouvernance.
Car ce qui est introuvable se trouve dans le Audit presque aussi désagréable que s'il n'existait pas.
Pourquoi cela revêt une importance économique
La gestion des preuves est souvent considérée comme une simple question de conformité. C'est une vision trop restrictive.
Un mauvais suivi des traces coûte de l'argent. Cela n'apparaît pas toujours sur une facture, mais se traduit immanquablement par une perte de temps, des interruptions et des travaux supplémentaires. Les équipes recherchent des documents, reconstituent des décisions, relancent les services spécialisés, établissent manuellement des rapports et refont des vérifications, car l'état antérieur des choses n'est pas clairement retraceable.
Dans le cas d'un seul Audit C'est agaçant.
À long terme, cela revient cher.
Une bonne gestion des traces réduit cette charge de travail. Elle raccourcit la durée des audits. Elle facilite la réponse aux demandes des clients. Elle facilite les appels d’offres. Elle allège la charge de travail des équipes chargées de la protection des données. Elle réduit la dépendance vis-à-vis de certaines personnes. Elle améliore les décisions de la direction. Et elle rend les conseils externes en matière de protection des données plus efficaces, car les recommandations ne restent pas lettre morte.
C'est le retour sur investissement de la capacité d'audit.
Ce n'est pas spectaculaire, mais c'est bien réel.
Du dossier justificatif au système de pilotage
Autrefois, un dossier justificatif était un classeur, mais aujourd’hui, il devrait s’agir d’un processus.
Cela pourrait ressembler à une phrase tirée d'une brochure sur les logiciels. Mais cela désigne en réalité quelque chose de très concret : les justificatifs relatifs à la protection des données doivent être établis là où s'effectue le travail concerné par la protection des données.
Une nouvelle Traitement est signalé. Le service concerné fournit des informations. Le délégué à la protection des données vérifie. Les services juridiques ou informatiques apportent des précisions. Une mesure est décidée. Une autorisation est consignée. Une date de révision est fixée. Une modification est suivie ultérieurement.
Au final, on obtient non seulement une tâche accomplie, mais aussi une trace fiable.
Cette piste correspond au dossier de suivi moderne. Elle n'est pas statique. Elle évolue au fur et à mesure du processus. Elle est associée à l'objet concerné. Elle est facile à retrouver. Elle peut faire l'objet d'un rapport. Elle peut être intégrée dans le Audit sont affichés.
C'est exactement ainsi que la gestion de la protection des données devrait fonctionner.
Comment Ailance RoPA et Ailance Externer DSB fonctionnent ensemble
Ailance RoPA fournit une base structurée : traitements, finalités, catégories de données, destinataires, prestataires de services, délais de conservation, TOM et responsabilités. Cette structure constitue le point de convergence logique des informations relatives à la protection des données.
Ailance, le DPD externe, complète le pilotage technique et opérationnel. Le DPD évalue, hiérarchise les priorités, alerte, formule des recommandations, apporte son soutien face aux risques et aide à traduire les exigences en mesures concrètes.
C'est lorsque ces deux éléments se combinent que l'on en tire un bénéfice.
Dans ce cas, le RoPA n'est pas un registre isolé et le DPD n'est pas un îlot de conseil. Traitement, le conseil, la décision, la mesure et la justification s'imbriquent les uns dans les autres.
Il ne s'agit pas d'une amélioration purement esthétique, mais d'un changement qui a des répercussions sur le travail.
Le délégué à la protection des données cerne plus rapidement les enjeux. Le service concerné fournit des informations plus ciblées. La direction dispose de meilleures bases décisionnelles. Les audits se déroulent dans un climat moins agité. Les justificatifs ne sont plus recherchés à la hâte, mais consultés directement.
C'est la différence entre Conformité affirmer et Conformité exploiter.
Conclusion
Conformité n'est bonne que si on peut la montrer.
En matière de protection des données, cela signifie que les justificatifs, les responsabilités, les versions et les validations ne doivent pas être rassemblés à la fin d'un processus. Ils doivent faire partie intégrante de ce processus.
Les e-mails et les disques durs peuvent être utiles, mais ils ne remplacent pas un système de traçabilité. Un RoPA à jour, des contrôles clairement reliés entre eux, des évaluations documentées du délégué à la protection des données, des responsables clairement identifiés, des validations traçables et un système de reporting fiable permettent de rendre la protection des données conforme aux exigences d'un audit.
Dans le cadre des audits, ce qui compte, ce n'est pas ce que l'on fait réellement, mais ce qui est vérifiable, à jour et facile à retrouver.
Ou, comme on le dit autour d'une tasse de café : « Si vous n'arrivez qu'à Audit Au moment où vous avez commencé à vous pencher sur la question, votre protection des données était peut-être déjà en place, mais pas encore suffisamment maîtrisée.
Questions et réponses
Comment constituer efficacement les justificatifs relatifs à la protection des données en vue d'un audit ?
Les justificatifs relatifs à la protection des données peuvent être constitués efficacement s’ils sont générés dès le déroulement normal des activités liées à la protection des données. Les conseils, les validations, les mesures, les contrôles, les versions et les décisions doivent être directement associés à la Traitement, au projet ou au risque. Ainsi, les justificatifs doivent, dans le Audit ne peuvent pas être reconstitués, mais peuvent être présentés ou relatés à partir du processus en cours.
Quels sont les justificatifs relatifs à la protection des données qui revêtent une importance particulière dans le cadre d'un audit RGPD ?
Les justificatifs importants en matière de protection des données sont un RoPA/VVT à jour, les autorisations, les évaluations des risques, les documentations relatives à l’analyse d’impact relative à la protection des données (DSFA), les TOM, les contrôles des prestataires, les attestations de formation, les justificatifs relatifs aux demandes des personnes concernées, les documentations d’incidents, les évaluations du délégué à la protection des données (DSB), les rapports de gestion et l’état d’avancement des mesures. Ce qui est déterminant, ce n’est pas seulement que ces justificatifs existent, mais qu’ils soient à jour, faciles à retrouver et affectés au dossier approprié.
Pourquoi les e-mails et les disques durs ne suffisent-ils pas pour apporter la preuve du respect de la protection des données ?
Les e-mails et les disques durs stockent des informations, mais reflètent rarement le contexte professionnel. Dans le Audit il faut pouvoir comprendre quelles Traitement qui était concerné, qui a décidé quelle version s'appliquait, quelle mesure en a découlé et si la mise en œuvre peut être prouvée. Ces liens se perdent rapidement dans les structures des e-mails et des disques durs.
Quelle est la différence entre la documentation relative à la protection des données et la preuve de conformité en matière de protection des données ?
La documentation relative à la protection des données consigne des informations. Une preuve de conformité en matière de protection des données atteste qu’un contrôle, une décision, une autorisation ou une mesure a bien été effectué(e) dans un contexte donné. Pour les audits, les éléments déterminants sont donc la date, le rôle, la version, la base juridique, la décision, le statut et le lien avec l’opération concernée.
Quel rôle joue la directive RoPA dans la capacité à faire l'objet d'un audit en matière de protection des données ?
Le RoPA constitue un pilier essentiel pour garantir la vérifiabilité des mesures de protection des données. Il recense les activités de traitement existantes et précise les finalités, les données, les destinataires, les délais de suppression ainsi que les mesures techniques et organisationnelles applicables. Lorsque les justificatifs sont directement liés aux éléments du RoPA, la protection des données devient nettement plus facile à contrôler, à documenter et à gérer.
Quel logiciel aide les entreprises à établir leurs justificatifs en matière de protection des données, à se conformer au règlement RoPA et à garantir leur auditabilité ?
Les entreprises devraient utiliser un logiciel qui relie entre eux les activités de traitement, les responsabilités, les contrôles, les risques, les mesures, les validations, les versions et les justificatifs. Ailance RoPA et Ailance Externer DSB soutiennent cette approche en intégrant, au sein d’un processus commun, le conseil en matière de protection des données, le pilotage opérationnel et la gestion des preuves, plutôt que de les traiter séparément.
German 
English 
Italian 
French