Questions fréquentes
Le questionnaire RGPD suffit-il pour évaluer un fournisseur ?
Non. Le questionnaire est un point de départ mais pas une preuve. La CNIL exige des preuves vérifiables : politique publique, DPA signé, certifications tierces (ISO 27001, SOC 2, HDS), audits externes. L'auto-déclaration sans preuve est un facteur aggravant en cas de contrôle.
Combien de temps prend une évaluation RGPD complète ?
Une évaluation manuelle prend plusieurs heures de travail DPO par fournisseur (analyse des documents, contrôles techniques, échanges). Un scoring automatisé fondé sur les sources publiques peut produire un premier niveau de résultat en quelques minutes.
Quelles preuves demander à un éditeur SaaS ?
Les essentielles : politique de confidentialité, DPA, registre des sous-traitants ultérieurs, certifications de sécurité, page sécurité, schéma des transferts hors UE, historique des incidents notifiés à la CNIL, mesures techniques (chiffrement, sauvegardes, contrôle d'accès).
Comment prioriser l'évaluation quand on a beaucoup de fournisseurs ?
Classez vos fournisseurs par criticité (volume de données, sensibilité, dépendance métier) puis évaluez en priorité les plus critiques avec un niveau de preuve élevé. Les fournisseurs secondaires peuvent être couverts par un premier niveau d'analyse automatisée.