Audit RGPD bâclé : 5 angles morts qui transforment votre conseil en faute professionnelle

Contrairement à une idée reçue, les consultants RGPD mis en cause par leurs clients ne le sont presque jamais pour une analyse juridique fausse. La doctrine est suffisamment stable, les guides CNIL suffisamment précis, et la responsabilité finale de l'application reste celle du client.

La zone à risque réelle est l'audit initial. C'est lui qui définit le périmètre des traitements à protéger, identifie les bases légales, qualifie les durées de conservation, repère les transferts hors UE, et déclenche les analyses d'impact. Un traitement oublié à l'audit est un traitement non sécurisé, non documenté, qui restera dans l'ombre jusqu'au contrôle CNIL ou à la violation.

Quand l'incident survient, l'enquête remonte naturellement à l'audit. Si le traitement aurait dû y figurer et n'y figurait pas, votre responsabilité contractuelle est engagée. Le client va invoquer un défaut de diligence, et il aura statistiquement gain de cause si l'angle mort est manifeste.

Cinq familles d'angles morts représentent l'écrasante majorité des contentieux consultants RGPD observés en France. Les passer en revue méthodiquement à chaque mission divise par dix le risque de mise en cause.

Le client vous présente son hébergeur, son CRM, son outil de marketing automation. Vous les inscrivez au registre des traitements, vous récupérez les contrats de sous-traitance article 28 du RGPD, et vous estimez avoir couvert le sujet.

Le piège : chacun de ces sous-traitants a lui-même des sous-traitants. L'hébergeur utilise un CDN, le CRM repose sur un service de notification e-mail tiers, l'outil marketing exporte vers une plateforme de scoring. Le RGPD impose la traçabilité de toute la chaîne (article 28.2 — sous-traitance ultérieure soumise à autorisation).

Trois questions à poser systématiquement

• Quels sous-traitants ultérieurs sont déclarés dans le contrat de chaque prestataire principal ?
• Y a-t-il un transfert hors UE chez l'un de ces sous-traitants ultérieurs (typiquement, un service américain) ?
• L'autorisation du responsable de traitement pour ces sous-traitants ultérieurs a-t-elle été formalisée ?

Si la réponse est non ou inconnue, le sujet doit figurer en alerte écrite dans le rapport d'audit, avec un plan d'action. C'est cette trace qui vous protège.

Quand une mission de DPO démarre, l'attention va naturellement vers les traitements clients, le marketing, l'e-commerce. Les traitements RH sont rapidement écartés au motif que la paie et les contrats sont gérés par un prestataire externe ou par les RH internes.

C'est l'angle mort le plus coûteux. Les traitements RH cumulent des risques élevés : données sensibles (santé, syndicalisme, condamnations dans certains secteurs), recours à des tiers (médecine du travail, prévoyance, paie externalisée), conservation longue (jusqu'à 50 ans pour les bulletins de paie), vidéosurveillance sur les locaux qui filme les salariés.

Trois sujets à auditer impérativement

• Le traitement des candidatures non retenues : durée de conservation, base légale, information du candidat.
• La vidéosurveillance des locaux : information CSE, registre, durée, finalité strictement définie.
• Les transferts de données salariés vers des outils SaaS RH (souvent hébergés hors UE).

Un audit qui ne mentionne pas ces trois points laisse une vulnérabilité majeure. Une plainte d'un ancien salarié à la CNIL est l'un des déclencheurs les plus fréquents de contrôle.

De plus en plus d'entreprises installent des contrôles d'accès biométriques (empreinte digitale, reconnaissance faciale, scan veineux) pour les locaux sensibles, les badgeuses, ou la cantine d'entreprise. Le sujet est rarement spontanément déclaré pendant un audit RGPD parce qu'il n'est pas perçu comme un traitement de données.

Or la biométrie relève des données sensibles (article 9 du RGPD) et fait l'objet d'un cadre strict de la CNIL : règlement type biométrie au travail, AIPD obligatoire, principe de subsidiarité, consultation préalable du CSE. Un manquement sur ce sujet est sanctionné lourdement.

Le réflexe d'audit

Demander systématiquement au client la liste des dispositifs de contrôle d'accès, des outils de pointage, des cantines connectées et des systèmes de coffres-forts numériques. La biométrie peut être présente sans que le client en ait conscience juridique.

Depuis l'arrêt Schrems II et les évolutions du cadre transferts UE-USA, les transferts hors Union européenne sont en théorie au centre de l'attention. En pratique, la majorité des audits RGPD passent à côté des transferts silencieux.

Un transfert silencieux est un transfert qui ne résulte pas d'une décision documentée, mais d'un choix technique invisible : un outil SaaS dont le siège est européen mais qui héberge les données sur des serveurs américains, une fonctionnalité d'IA générative ajoutée à un outil de productivité, un module d'analyse de logs envoyé chez un prestataire en Inde.

La méthode

• Pour chaque outil SaaS du client, identifier le pays d'hébergement effectif (pas seulement le siège du prestataire).
• Vérifier les conditions générales et la documentation transferts (clauses contractuelles types, BCR, certification Data Privacy Framework).
• Documenter dans le registre tout transfert hors UE, même indirect.

Un audit qui n'examine pas l'hébergement effectif des outils SaaS laisse passer la moitié des transferts. Cet angle mort est l'un des plus fréquemment reprochés aux consultants par les clients après un contrôle CNIL.

Le client a mis en place une politique de durée de conservation impeccable dans son CRM : trois ans après la fin de la relation client, suppression automatique. Vous validez le sujet.

Le problème est ailleurs : les sauvegardes de la base, réalisées quotidiennement, sont conservées sept ans pour des raisons de continuité d'activité. Les données effacées du CRM restent dans les sauvegardes pendant des années. C'est techniquement un traitement de conservation distinct, à documenter, à justifier juridiquement, et à intégrer dans les durées de conservation.

La CNIL admet que les sauvegardes peuvent avoir une durée propre, mais elle exige une politique formalisée, une justification de la durée (en général, le temps nécessaire à la reprise après sinistre), et une procédure d'effacement à expiration. Sans cette documentation, vous laissez une vulnérabilité qui peut être révélée à la première demande d'effacement non aboutie.

Trois questions à poser au DSI

• Quelle est la durée de conservation des sauvegardes par type de base ?
• Quelle est la procédure d'effacement des sauvegardes à expiration ?
• En cas de demande d'effacement (article 17), comment garantissez-vous l'effacement à l'expiration des sauvegardes ?

Les cinq angles morts décrits ne sont pas exhaustifs, mais ils représentent l'essentiel du risque contentieux. Pour s'en protéger, deux disciplines suffisent.

1. Une grille d'audit standardisée et signée contradictoirement

Chaque audit doit produire une grille couvrant systématiquement les familles à risque : sous-traitance en cascade, RH, biométrie, transferts hors UE, sauvegardes, mais aussi cookies, marketing direct, vidéosurveillance, traitements de santé selon le secteur. La grille est signée par le client à l'issue de l'audit, ce qui matérialise le périmètre couvert.

2. Un rapport d'audit qui distingue le couvert et le hors-périmètre

Le rapport doit mentionner explicitement les sujets non examinés à la demande du client ou par limitation budgétaire. Un sujet hors périmètre documenté ne peut pas vous être reproché ; un sujet absent sans mention est une vulnérabilité.

Pour structurer votre couverture autour de ces réflexes méthodologiques, la RC Pro consultant RGPD Insurio intègre les frais de défense en cas de contestation de périmètre d'audit, point que beaucoup de polices génériques excluent. Le module cyber complète la couverture pour l'accès aux données clients.