Audit RGPD et de sécurité du système d'information (Proofpoint)

Nous auditons votre organisation sous l'angle du thème Proofpoint : gouvernance et rôles, registre des traitements, information des personnes accompagnées et des professionnels, gestion des accès, sauvegardes, traitement des sous-traitants, gestion des incidents et des violations de données, conditions d'hébergement des données de santé. Les constats reposent sur la lecture des documents, des entretiens et des échantillons de dossiers anonymisés ou fictifs.

Les écarts sont confrontés au RGPD, au référentiel de la CNIL (Commission nationale de l'informatique et des libertés) pour le suivi social et médico-social et aux obligations de votre structure, puis classés par niveau de risque pour les personnes concernées. Le rapport propose un plan d'actions ordonné et sert de base à votre dialogue avec le DPO. Nous ne rendons pas de consultation juridique : les points de droit sont à valider avec vos conseils. La restitution, centrée sur l'objectif de structurer vos pratiques sur ce thème, est présentée à la direction et aux cadres et équipes de direction.

Déroulé de la prestation

1. Cadrage

   Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès au site.

2. Lecture documentaire

   Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Proofpoint, avant toute rencontre, pour arriver sur le terrain avec des questions précises.

3. Entretiens et observation

   Nous rencontrons les responsables et les intervenants, et nous observons les pratiques sur le terrain lorsque l'accès est possible.

4. Analyse des écarts

   Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.

5. Restitution

   Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.

Livrables, format et conditions

Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre gouvernance, à votre financeur ou à l'autorité de contrôle.

• Rapport d'audit avec écarts au RGPD, au référentiel de la CNIL et aux politiques internes de la structure
• Revue du registre des traitements, des accès, des sauvegardes et des contrats avec les sous-traitants
• Plan d'actions priorisé présenté à la direction et au délégué à la protection des données

Format et charge : forfait, 6 à 12 jours. Idéal pour : directeur d'établissement, délégué à la protection des données ou responsable de la sécurité des systèmes d'information d'une association gestionnaire. Prérequis de votre côté : registre des traitements, schéma du système d'information, politiques et procédures existantes, entretiens avec la direction, le DPO et les référents métiers. Un contrat de sous-traitance (article 28 du RGPD) est signé avant toute consultation de données réelles.

Exemples d'usage

Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.