Audit RGPD : structurer l’autoévaluation d’un transporteur

Audit RGPD est un questionnaire guidé destiné aux TPE et PME pour examiner leurs pratiques de protection des données et préparer des actions correctrices. Pour une entreprise de transport sanitaire, son intérêt est de structurer un premier état des lieux, pas de certifier la conformité de l’entreprise, de son logiciel ou de son hébergement de données de santé. Un résultat favorable ne vaut ni contrôle indépendant, ni certification HDS, ni validation par la CNIL.

Présent dans les partenaires de VIATISS, cet outil transversal intervient sur un autre plan que le logiciel de transport sanitaire : il questionne l’organisation de l’entreprise, alors que le logiciel métier soutient son activité quotidienne. Voici comment lire son offre et l’utiliser sans confondre autoévaluation et preuve.

Un questionnaire pour rendre visibles les pratiques de l’entreprise

L’accueil officiel présente un parcours accessible aux non-spécialistes, avec un diagnostic et des recommandations. La page des fonctionnalités décrit un audit guidé en dix étapes, une aide contextuelle, une analyse des réponses et des rapports. Cette approche peut aider un dirigeant qui sait que ses équipes manipulent des informations sensibles, mais ne dispose pas encore d’une vue organisée des traitements.

Dans le transport sanitaire, la première difficulté n’est pas nécessairement l’absence d’outil. Elle peut être la dispersion des pratiques : dossiers administratifs, échanges avec les établissements, documents de facturation, fichiers du personnel ou messages utilisés pour coordonner les missions. Un questionnaire apporte un fil conducteur. Il ne découvre cependant pas automatiquement tous ces usages : sa pertinence dépend des personnes interrogées et de la précision de leurs réponses.

Il est donc préférable de réunir plusieurs regards avant de remplir le formulaire. Le dirigeant connaît les contrats, la régulation connaît les échanges opérationnels, la facturation connaît les justificatifs et le prestataire informatique connaît certaines mesures techniques. Cette préparation est une recommandation de méthode, non une prestation attribuée au partenaire.

Gouvernance, cartographie et droits : trois sujets distincts

Le parcours publié aborde notamment les informations générales, la gouvernance, la cartographie des données, les droits des personnes et la sécurité technique. Ces thèmes doivent être traités séparément. Posséder une politique écrite ne démontre pas que les accès sont correctement attribués ; disposer d’une sauvegarde ne prouve pas que les demandes des personnes sont traitées.

Pour la gouvernance, l’objectif pratique est de savoir qui décide, qui tient les documents et qui suit les actions. Pour la cartographie, il s’agit de décrire les finalités et les circuits réels des informations. Pour les droits, il faut pouvoir expliquer comment une demande est reçue, transmise et instruite. Répondre « oui » à une question n’a de sens que si l’entreprise peut retrouver l’élément qui justifie cette réponse.

La démonstration publiée expose un parcours synthétique allant des informations de l’entreprise à l’analyse et au rapport. Elle permet de comprendre la logique générale avant de créer un compte. Elle ne constitue pas un test indépendant de la qualité juridique des conclusions, ni une vérification du fonctionnement de chaque option proposée.

Recommandations assistées par IA : une aide à relire

Limiter les informations saisies : décrivez les processus avec des exemples anonymisés ou fictifs. Ne téléversez pas de dossiers patients, de mots de passe, de captures identifiantes ni d’exports opérationnels bruts sans un cadre de traitement licite et contractuel préalablement validé. Un questionnaire organisationnel n’exige pas ces pièces sensibles.

Le site annonce une intelligence artificielle capable d’analyser les réponses, de détecter des incohérences et de proposer des recommandations sectorielles. L’intérêt annoncé est de transformer une série de réponses en pistes d’amélioration plus lisibles. Le point de vigilance est symétrique : une recommandation générée ne dispose pas nécessairement du contexte complet de l’entreprise.

Prenons un exemple de travail, sans l’attribuer au logiciel : l’entreprise indique que seuls les salariés autorisés consultent les documents. Il reste à examiner les comptes partagés, les départs de collaborateurs, les exports et les accès des prestataires. La phrase initiale peut être sincère tout en laissant des situations importantes hors du champ de l’évaluation.

Il est utile de classer les recommandations en trois catégories : action directement vérifiable, sujet nécessitant une expertise technique et question juridique à instruire. Cette séparation évite de traiter un score comme une décision. Les propositions qui concernent les données de santé, les contrats ou les transferts doivent être relues par les interlocuteurs compétents, au regard des traitements effectivement réalisés.

Du rapport au plan d’action : où se trouve la valeur pratique ?

Le partenaire présente des rapports PDF, une synthèse et un plan d’action priorisé. Le document peut devenir un support de réunion : quels écarts sont confirmés, quelles pièces manquent, qui doit intervenir et à quelle échéance ? Son intérêt opérationnel dépend moins du nombre de pages que de la capacité à transformer ses constats en tâches suivies.

Une entreprise peut par exemple tenir un tableau interne avec une action, un responsable, une date cible et une preuve de clôture. Après une révision des accès, la preuve sera un relevé de contrôle ; après une mise à jour de procédure, ce sera la version validée et diffusée. Ce sont des exemples d’organisation, pas des fonctions supplémentaires que nous prêtons à Audit RGPD.

La continuité compte également. Un nouveau prestataire, un changement de circuit documentaire ou l’ouverture d’un site peuvent modifier les réponses. Refaire un questionnaire n’est utile que si l’entreprise compare les situations et actualise ses pièces. Une autoévaluation périodique ne remplace donc pas la gestion quotidienne de la protection des données.

Comparer les workflows, sans confondre les outils

La régulation VIATISS et la facturation VIATISS relèvent de workflows métier. Les comparer à l’autoévaluation est utile pour situer les responsabilités, pas pour annoncer une passerelle. Aucune intégration opérationnelle entre les deux services n’a été vérifiée dans cet audit.

Gratuit, rapport premium, abonnement : lire les conditions ensemble

La grille tarifaire distingue une offre de découverte, un rapport professionnel et un suivi annuel. Elle annonce un questionnaire gratuit, puis des prestations plus détaillées : rapport premium, plan d’action, modèles et services de suivi selon l’offre. Il faut vérifier précisément ce qui est disponible avant achat, notamment le support et l’accompagnement annoncés.

Les conditions d’utilisation décrivent également le formulaire, les rapports et les recommandations. Elles comportent surtout une réserve essentielle : le service est une aide à l’évaluation et ne remplace pas l’avis d’un expert juridique. Cette précision doit guider la lecture des promesses commerciales de conformité figurant ailleurs sur le site.

Les montants annuels affichés ne sont pas parfaitement alignés entre la page commerciale et les conditions consultées. Nous ne retenons donc pas un prix contractuel unique dans cet article. Avant de payer, demander un récapitulatif écrit du montant HT, de la période, des règles de renouvellement et de résiliation est plus prudent que de se fier à une seule accroche.

Confidentialité et documentation : les vérifications avant utilisation

La politique de confidentialité doit être lue avant de renseigner des informations sur l’entreprise. Pour un premier diagnostic, mieux vaut décrire les catégories et les pratiques sans copier des dossiers patients, des identifiants ou des documents médicaux. Le besoin est d’évaluer une organisation, pas de transmettre le contenu de chaque traitement.

Une documentation API est publiée. Son existence ne prouve ni une connexion à VIATISS, ni la disponibilité de toutes les options dans toutes les offres. Toute automatisation éventuelle demanderait une étude distincte des données échangées, des autorisations, du contrat et de la sécurité. Elle n’est pas nécessaire pour comprendre l’intérêt du questionnaire.

Pour éclaircir ces points, le contact officiel reste la bonne entrée. Les preuves d’hébergement, les engagements contractuels et le périmètre exact des services doivent être demandés directement. Ni les logos, ni les badges de bas de page, ni un rapport généré ne permettent de conclure à eux seuls à une certification HDS ou à une validation par une autorité.

Une méthode raisonnable en cinq temps

Commencer par délimiter le périmètre : entreprise entière, établissement ou processus particulier. Préparer ensuite les pièces existantes et recueillir les réponses des équipes concernées. Remplir le questionnaire en signalant les incertitudes plutôt qu’en les transformant en réponses favorables. Relire le rapport avec les personnes capables de vérifier les constats. Enfin, suivre les corrections et leurs preuves dans la durée.

Cette méthode conserve à l’outil son rôle utile : déclencher et structurer un travail. Elle évite deux erreurs opposées, considérer qu’un questionnaire suffit à tout démontrer ou renoncer à agir faute d’un audit exhaustif immédiat. Les ressources VIATISS permettent de poursuivre la réflexion sur les processus métier, sans se substituer à un accompagnement spécialisé.

En résumé : Audit RGPD peut aider une TPE ou PME à organiser une autoévaluation et un plan d’action. Pour le transport sanitaire, les réponses doivent être documentées et les conclusions relues. Aucun score ne certifie la conformité RGPD, l’hébergement HDS ou la sécurité technique réelle.

Questions fréquentes

Audit RGPD délivre-t-il une certification de conformité ?

Non. Nous retenons le rôle d’aide à l’évaluation indiqué dans ses conditions. Un rapport issu d’un questionnaire ne constitue pas une certification indépendante ni une validation de la CNIL.

Un transporteur sanitaire peut-il s’en servir ?

Il peut l’envisager pour structurer un premier état des lieux de ses pratiques. Les questions relatives aux données de santé et aux obligations spécifiques doivent cependant être examinées avec les interlocuteurs compétents.

Faut-il importer des dossiers patients ?

Ce n’est pas nécessaire pour préparer une autoévaluation organisationnelle. Décrire les catégories de données et les circuits est préférable à l’envoi d’informations nominatives ou de pièces médicales.

Le rapport prouve-t-il que l’hébergement est HDS ?

Non. Le statut et le périmètre de l’hébergement se vérifient à partir de documents datés et du service réellement utilisé, pas d’un score de questionnaire.

Existe-t-il une intégration avec VIATISS ?

Aucune n’a été vérifiée. La présence d’une documentation API ne suffit pas à établir une interconnexion entre deux logiciels ni à en autoriser les échanges.

Pour prolonger la lecture

• Dûment : découvrir cette autre solution de l’écosystème
• Groupe COCORICO : découvrir cette autre solution de l’écosystème