Enseignements clés
Un audit RGPD ne se limite pas à l’IT : 6 domaines, de la gouvernance à la sécurité physique. Cartographier et hiérarchiser les écarts (notation de gravité) pour prioriser la remédiation. L’externalisation est un risque majeur : maîtriser l’infogérance et contractualiser des clauses fortes.
Le projet en chiffres
28jours durée de l'audit 6 domaines contrôlés 2 siders mobilisés
Protéger à grande échelle des données particulièrement sensibles
Acteur majeur de la mutualité accompagnant des populations spécifiques (militaires et gendarmes), notre client traite massivement des données personnelles et sensibles. Face à une pression réglementaire croissante et aux exigences de ses autorités de tutelle, la mutuelle devait prouver la robustesse de son dispositif de protection des données.
L’enjeu était multiple : contrôler la qualité du dispositif RGPD existant, inventorier les actions déjà initiées, identifier les non-conformités et optimiser la gestion des incidents, sans altérer la structure opérationnelle de l’organisation.
Un audit terrain exhaustif en 4 phases
Pour répondre à ce besoin de réassurance, Sideby a déployé une démarche d’audit complète, menée par un DPO certifié CNIL, scrutant six domaines (gouvernance, sécurité juridique, exercice des droits, sécurité informatique, sécurité physique, responsabilité) :
- Cadrage et lancement : périmètre d’intervention et sensibilisation des directions via des ateliers préparatoires.
- Audit terrain à 360° : au-delà de l’informatique (accès, pare-feux, tiers), audit de la sécurité physique (bâtiments, vidéosurveillance, archives), juridique (contrats, mentions) et de la gouvernance (rôle du DPO, registres).
- Analyse et cartographie des risques : chaque écart évalué et hiérarchisé selon son impact (activité, finances, réputation).
- Définition des actions de maîtrise : rapport de préconisations et plan d’action priorisé.
52 plans d’action pour une conformité sécurisée
Le diagnostic a révélé la répartition des écarts par typologie, les lacunes les plus importantes portant sur l’exercice des droits (25 %) et la sécurité informatique (24 %).
En réponse, nos équipes ont formulé 52 plans d’action concrets et applicables. Parmi les recommandations clés : clarifier le rôle du DPO (ressource dédiée), formaliser des clauses contraignantes avec les prestataires (externalisation des outils de gestion) et mettre en place un dictionnaire de données pour tracer les flux. Grâce à cette feuille de route, la mutuelle peut piloter sa mise en conformité et justifier son niveau de maturité auprès des autorités de contrôle.
