L'audit RGPD selon la CNIL
L’équipe d’audit CNIL est composée :
- De juristes spécialisés Informatique et Libertés
- D’experts techniques Data et Sécurité
Qu’est ce qui peut déclencher un audit de la CNIL ?
- Les plaintes des personnes concernées, vos clients ont demandés à être supprimé, et il n'a eu aucune réponse
- Une fuite de données à caractère personnel • Des lacunes de sécurité « visibles » (exemple : accès à des domaines privés en changeant l’url de votre siteInternet)
- Le manque manifeste d’information des personnes concernées (exemple : votre page cookies ne mentionne aucun partenaire)
- Les résultats d’audits d’autres autorités de contrôle (exemple fréquent avec la GCCRF )
- Un ex-employé mécontent qui donne des détails dans une lettre annonyme ...
les deux équipes d'auditeurs travaillent en parallèle
Après une réunion de lancements de l'audit, les 2 équipes vont s'atteler à des tâches différentes. L'une va s'occuper du déclaratif, l'autre rentrera dans le détail en vérifiant techniquement ce que vous annoncez.
Les auditeurs RGPD juristes vont s'occupper de :
Vous demander vos politiques et procédures de protection des données
Votre registre de traitements, vos DPIA.
Vous demander les rapports d’audits dont vous disposez (ex : commissaires aux comptes,sécurité).
Vos analyses de risques
Les auditeurs RGPD techniques vont s'occupper de :
Vous demander votre cartographie applicative et de votre SI etc.
Si vous avez fait des tests de sécurité.
Vous demandez les traces de traitement des demandes, du recueil des consentements, etc.
Vous demandez de lancer des requêtes sur votre système afin de vérifier l’effacement d’une donnée, par exemple.
Réaliser des tests de sécurité simples (ex :changer l’url)
Vous demandez des extraits de BDD ou de log, si par exemple vous avez des champs commentaires dans vos bases de données
Les systèmes de sécurité, exemple : niveau de sécurité de vos mots de passe ...
Vérifier que vos bases de dev et staging sont bien anonymisée, et que votre pré-prod n'est pas accessible par n'importe qui
Comment vous préparer efficacement pour un Audit RGPD de la CNIL
Le plus simple est de se mettre en situation et effectuant un audit à blanc de votre conformité RGPD, c'est-à-dire faire comme si les auditeurs de la CNIL étaient présents dans vos locaux.
