Datenschutzaudit

Le fonctionnement de vos mesures de protection des données se voit rarement au quotidien, mais plutôt lorsque quelqu’un y regarde de près. Un audit de protection des données est ce regard attentif, planifié et méthodique. Vous découvrirez ici ce qu’est un audit de protection des données, comment il se déroule et pourquoi l’informatique mise au rebut en est souvent un point faible.

Qu’est-ce qu’un audit de protection des données ?

Un audit est un examen par rapport à un référentiel fixe. Dans un audit de protection des données, le référentiel est le RGPD, la BDSG et les directives internes. Les auditeurs comparent l’état cible à l’état réel et consignent les écarts dans un rapport.

Il n’existe pas en Allemagne de « loi sur l’audit de protection des données » en tant que telle. L’obligation de contrôle découle de plusieurs dispositions du RGPD : l’art. 5, § 2, exige que vous puissiez démontrer la conformité (Obligation de rendre compte). L’art. 32, § 1, point d), exige une procédure visant à tester régulièrement l’efficacité des mesures de protection. Et l’art. 28, § 3, point h), vous donne le droit de contrôler les sous-traitants, y compris sur place.

Types et déroulement

Type	Qui contrôle ?	Occasion typique
Audit interne	Délégué à la protection des données, audit interne	Contrôle annuel, nouveaux processus
Audit de prestataire	Votre entreprise chez le sous-traitant	Sélection ou contrôle continu selon l’art. 28 du RGPD
Audit externe	Auditeurs indépendants ou organisme de certification	Certification, exigence client
Contrôle par l’autorité de contrôle	Autorité régionale de protection des données	Réclamation, violation de données, contrôle par sondage

Le déroulement est généralement similaire : définir le périmètre, demander les documents, mener des entretiens et observer les processus sur place, prélever des échantillons, évaluer les écarts et convenir de mesures. Un bon rapport ne mentionne pas seulement les manquements, mais aussi la date à laquelle ils seront corrigés.

Ce que regarde un audit pour l’informatique mise au rebut

Au quotidien, les serveurs et les ordinateurs portables sont bien protégés. Cela devient critique lorsque des appareils sortent d’exploitation et se retrouvent dans des caisses, des caves ou chez le prestataire. Les auditeurs posent donc typiquement les questions suivantes :

• Existe-t-il une liste d’appareils avec numéros de série pour chaque mise au rebut ?
• Chaque remise est-elle documentée, par exemple par un procès-verbal de remise avec numéros de scellés ? Cette chaîne s’appelle Chaîne de traçabilité.
• Existe-t-il pour chaque support de données une preuve d’effacement ou de destruction qui peut être rattachée au numéro de série ?
• Existe-t-il un contrat de sous-traitance avec le prestataire et une description de ses mesures techniques et organisationnelles?

Notre guide montre quelles informations doivent figurer dans les preuves d’effacement et de destruction Certificat de destruction et rapport d'effacement. Vous trouverez les questions à poser à l’avance à un prestataire dans Choisir un prestataire ITAD.

Audit de protection des données et Second IT

Second IT met à disposition les documents dont vous avez besoin pour votre audit : certificats d’effacement signés numériquement pour chaque appareil, certificats de destruction, rapports d’audit et suivi en direct dans le portail client. Les processus sont certifiés selon ISO 9001, ISO 14001, ISO 45001 et ISO/IEC 27001. Au moins trois audits externes ont lieu par an. Le contrôle d’accès, la vidéosurveillance et l’engagement des collaborateurs au secret des données font partie de la Sécurité des données chez Second IT.

Questions fréquentes sur l’audit de protection des données

Un audit de protection des données est-il obligatoire ?

Le RGPD ne prescrit pas d’audit portant ce nom. Il exige toutefois que vous testiez régulièrement l’efficacité de vos mesures de protection et que vous puissiez démontrer la conformité (art. 5, § 2, et art. 32, § 1, point d), du RGPD). Un audit est la voie habituelle pour cela.

À quelle fréquence un audit de protection des données devrait-il avoir lieu ?

Il n’existe pas de délai fixe. De nombreuses entreprises procèdent à un contrôle une fois par an et en plus lors de changements importants, par exemple un nouveau prestataire ou un nouveau processus de mise au rebut.

Dois-je auditer moi-même mon prestataire d’élimination ou d’effacement ?

Vous en avez le droit (art. 28, § 3, point h), du RGPD). Dans la pratique, des certificats actuels et des rapports d’audit d’organismes indépendants remplacent souvent un contrôle sur place de votre part. L’essentiel est que vous ayez évalué l’aptitude du prestataire de manière traçable.

Quelle est la différence entre un audit interne et un audit externe de protection des données ?

Un audit interne est réalisé par les délégués à la protection des données ou par l’audit interne. Un audit externe est confié à des auditeurs indépendants ou à un organisme de certification, par exemple pour une certification ou à la demande de clients. Les auditeurs externes apportent un regard indépendant de l’extérieur.

Que deviennent les manquements constatés après un audit de protection des données ?

Les écarts sont consignés dans un rapport. Un bon rapport indique aussi la date à laquelle ils doivent être corrigés. Vous convenez ensuite des mesures et déterminez qui les met en œuvre.