Audit RGPD et gap analysis
feuille de route

Qu’est-ce que ce service ?

Un audit RGPD, aussi appelé gap analysis, compare ce que votre organisation fait réellement avec les données personnelles à ce que le RGPD exige. Il ne se limite pas à vérifier que des documents existent : il confronte les pratiques des équipes, les outils utilisés et les preuves disponibles.

Le résultat est une liste d’écarts argumentés, classés par niveau de risque, et une feuille de route qui indique quoi corriger d’abord, qui s’en charge et avec quel effort. C’est le point de départ le plus fiable avant une mise en conformité, une demande d’un client européen ou un changement important.

À qui s’adresse-t-il ?

L’audit convient aux PME et ETI établies au Maroc ou en Europe qui traitent des données de clients, de salariés ou d’utilisateurs européens et qui veulent savoir précisément où elles en sont.

Situations qui déclenchent la mission

• Un client européen envoie un questionnaire RGPD ou annonce un audit fournisseur.
• Une levée de fonds, un rachat ou un appel d’offres demande une vue claire de la conformité.
• Un nouveau produit, un nouvel outil RH ou un nouveau prestataire change les flux de données.
• La direction veut un état des lieux avant de budgéter un DPO ou un projet de mise en conformité.

Problèmes que nous rencontrons souvent

• Un registre des traitements absent, incomplet ou qui date de plusieurs années.
• Des durées de conservation jamais définies : les données s’accumulent dans le CRM, les boîtes mail et les sauvegardes.
• Des prestataires SaaS utilisés sans contrat de sous-traitance conforme à l’article 28.
• Des accès depuis le Maroc ou un pays tiers vers des données européennes sans encadrement des transferts.

Ce que la mission comprend

Nous travaillons sur un périmètre défini ensemble : une entité, jusqu’à 12 traitements et 3 entretiens dans la formule de base.

Livrables

• Cartographie des traitements : les finalités, catégories de données, personnes concernées, outils et destinataires de chaque traitement audité.
• Matrice des écarts : chaque exigence du RGPD examinée, avec le constat, la preuve trouvée ou manquante et un niveau de risque.
• Feuille de route priorisée : les actions classées par urgence et par effort, avec un responsable suggéré pour chacune.
• Synthèse pour la direction : deux pages pour décider du budget et du calendrier sans lire tout le rapport.
• Réunion de restitution : une heure pour présenter les résultats et répondre aux questions des équipes.

Ce que le client doit fournir

Un interlocuteur principal, l’accès aux responsables métier pour les entretiens, et les documents existants : politique de confidentialité, contrats prestataires, mentions d’information, éventuel registre.

Déroulé type

Ce que l’audit regarde en plus pour une entreprise au Maroc

Beaucoup d’entreprises marocaines traitent des données européennes pour le compte de clients en France, en Belgique ou en Espagne. Dans ce cas, le RGPD s’applique souvent à travers le contrat, et le client attend des preuves concrètes : registre, contrat article 28, mesures de sécurité, encadrement des accès.

L’audit identifie donc aussi votre rôle exact pour chaque traitement (responsable du traitement ou sous-traitant), les flux entre l’Europe et le Maroc, et les documents qu’un client européen vous demandera en priorité.

Limites importantes

Un audit évalue un périmètre donné à une date donnée. Il ne garantit pas la conformité future : la feuille de route doit ensuite être mise en œuvre et suivie.

RCM fournit un accompagnement de conformité et de DPO. RCM n’est pas un cabinet d’avocats. Lorsqu’une consultation juridique spécialisée ou une représentation contentieuse est nécessaire, elle doit être confiée à un professionnel habilité.

Parler de votre situation

Présentez le contexte, le calendrier et les acteurs. Nous vous dirons si ce service correspond réellement au besoin.