Évaluation de conformité RGPD et RIA

Le titulaire réalise des audits indépendants de traitements de données désignés par la Ville, y compris ceux du CCAS. L’audit porte sur l’ensemble d’un traitement et de ses supports — papier, applications et fichiers — et non sur un outil pris isolément. Il vérifie la conformité au RGPD et, lorsque le traitement intègre de l’IA, au RIA ainsi qu’à la législation nationale applicable. Le périmètre indicatif comprend plus de 200 traitements déjà répertoriés et une estimation de 400 traitements répartis dans plus de 50 directions ; le CCAS gère une dizaine de traitements, dont certains concernent des données sensibles.

Déroulement des audits

Chaque audit associe une intervention sur site avec les responsables opérationnels (entretiens ou ateliers) et des travaux à distance. Les audits planifiés sont organisés en trois phases commandées et rémunérées selon le BPU :

• Préparation : planification, réunion de cadrage à distance d’environ 30 minutes, collecte et analyse documentaire, questionnaire préliminaire.
• Réalisation : entretiens en présentiel avec les métiers et services supports, vérifications du traitement et collecte des justificatifs.
• Finalisation : pré-restitution à distance avec l’auditrice de la Ville, puis restitution du rapport aux parties prenantes.

Le titulaire réalise à titre indicatif au minimum 5 audits par année civile (janvier à décembre) ; ces quantités sont estimatives et non contractuelles. Certains audits peuvent être inopinés. Des contrôles inopinés, commandés séparément, vérifient les conditions réelles de mise en œuvre des mesures organisationnelles, techniques et juridiques ainsi que le respect des procédures internes, dans le respect de la proportionnalité, des contraintes opérationnelles et de la confidentialité.

Vérifications et livrables

L’analyse couvre notamment les principes RGPD (base légale, information, minimisation, sécurité, conservation), les traitements liés à l’IA, la catégorie de risque au titre du RIA et, le cas échéant, les obligations de gouvernance, documentation, supervision humaine, gestion des risques, transparence et qualité des données. Les manquements donnent lieu à un avis et à des mesures correctives hiérarchisées par priorité, notamment sous forme de plan d’action Excel.

Le rapport, au format Word ou équivalent, comprend les éléments de contexte et de méthode, le schéma des flux, la description du traitement, les constats et écarts réglementaires, les risques, les justificatifs, un questionnaire d’audit en annexe et un plan d’action correctif en annexe. Le projet de rapport est transmis aux parties prenantes au plus tard 15 jours avant la restitution finale. Le rapport définitif et ses justificatifs sont remis dans les 3 jours ouvrés après la réunion de restitution. La réunion de pré-restitution à distance dure entre 1 et 2 heures ; la restitution finale à distance environ 2 heures.

Gouvernance et transfert

Une réunion annuelle de lancement en présentiel organise les audits prioritaires. Le titulaire participe aussi aux réunions d’avancement trimestrielles et à la clôture ; il produit 3 rapports trimestriels et un bilan annuel, sous format PowerPoint ou Word, et envoie chaque rapport trimestriel dans les 2 jours suivant la réunion. Le calendrier prévisionnel comprend le lancement en janvier, les points d’avancement en mars, juin et septembre, puis la clôture et le bilan en décembre.

En fin d’accord-cadre, les documents et dossiers sont transférés à la Ville ou au nouveau titulaire dans un format interopérable. Le transfert, matériel ou électronique, est effectué sans surcoût dans les 30 jours calendaires suivant la demande expresse de la Ville.