Audit, conformité, gestion des risques et documentation (analyses d'impact, codes de conduite, certifications)
Ce domaine teste la conformité « prouvable » : documentation, analyse de risque, audit et outils de démonstration.
Le socle
L'article 24 impose de pouvoir démontrer la conformité, l'article 5.2 en fait un principe. Documentation attendue : registre, politiques, procédures de droits et de violation, contrats, PIA, plan de sécurité, journaux de formation, preuves de tests.
Gestion des risques
Méthodologie : cartographie des traitements, identification des événements redoutés, échelles de gravité et de vraisemblance, mesures, risque résiduel, acceptation par la direction. La CNIL propose une méthode de PIA (2018) et l'ANSSI publie EBIOS Risk Manager, souvent combinée pour la sécurité. Le PIA est obligatoire avant mise en œuvre pour les traitements susceptibles d'engendrer un risque élevé (art. 35) : profilage, décision automatisée, surveillance systématique à grande échelle, données sensibles à grande échelle.
Audit et outils volontaires
Audit interne ou externe : périmètre, référentiel (RGPD, LIL, ISO/IEC 27001, ISO/IEC 27701), entretiens, tests, échantillonnage, constats hiérarchisés, plan d'action, suivi. Les codes de conduite (art. 40) et certifications (art. 42) sont des outils de démonstration, pas des passeports d'immunité. Le responsable dispose d'un droit d'audit sur son sous-traitant (art. 28.3.h).
Exemple raisonné
Une PME veut « être conforme » avant un appel d'offres. Raisonnement : cartographie et registre ; base légale par finalité ; contrats sous-traitants ; PIA sur la gestion des candidatures et le profilage RH ; procédure de droits testée ; procédure de violation avec formulaire CNIL ; plan de sécurité ; audit blanc et constats hiérarchisés avec responsables et échéances.
Pièges à éviter
- Produire des documents non datés, non versionnés ou non validés.
- Confondre PIA (risques pour les droits et libertés) et analyse de risque sécurité.
- Croire qu'une certification vaut conformité totale.
- Laisser un plan d'action sans responsable ni échéance.