Comparer des devis RGPD : comment faire ?

Comment vérifier la qualité d’un accompagnement ? 

Le RGPD est un domaine très flou pour la majorité des personnes, à l'exception des spécialistes du secteur. 

Comme chez un mécanicien, quand on ne s'y connaît pas, on a peur de se faire avoir.

Pour vous aider, voici les trois formes de devis RGPD que vous pouvez trouver : 

Le devis DPO externe “standard” : 

Ce devis prévoit le support d’un Expert RGPD pour gérer toute question/document de conformité à partir d’un volume d’heures d’assistance juridique. 

Dans ce type de devis, il est important de faire attention à ce que les heures d’assistance juridique permettent la fourniture d’avis juridiques ET la rédaction/proposition de documents de conformité. Le cas contraire, cela signifie que vous devrez payer à chaque création documentaire de la part du DPO externe.

Le devis DPO externe “mise en place et maintien” : 

Ce devis comprend une base d’assistance juridique et surtout, un engagement sur livrables dans le devis.

Cette forme de devis est la plus pratique pour démarrer une conformité, mais attention à vous assurer que la liste des livrables n’est pas limitée à la seule tenue du Registre mais intègre également les autres champs de votre organisations : contrats, cadre RH, procédures organisationnelles, site web, etc.

Le devis RGPD “one shot”

Ce devis vous permet d’obtenir des documents RGPD de la part d’un DPO externe, mais sans suivi ou missions DPO. 

Cette option est uniquement intéressante pour les “compléments” de conformité, c’est-à-dire lorsque vous avez déjà un DPO externe ou DPO interne chez vous qui s’occupe du suivi de la conformité a minima chaque semaine. En effet, sans suivi, les travaux de conformité deviennent obsolètes.

Comment savoir si le prix du devis est conforme aux prix du marché ?  

• Réalisez deux ou trois demandes de devis en ligne pour identifier les écarts de prix 
• Vérifiez que les devis (les plus chers, comme les moins chers) répondent à vos attentes en matière de conformité et objectifs 
• Consultez des avis clients sur le site du prestataire car un prestataire sans avis client est bien souvent un prestataire avec très peu de clients (et donc avec une gestion plus aléatoire du prix)

Pour aller plus loin, vous pouvez consulter l’article suivant : le véritable coût de la conformité RGPD

Quelle est la méthode utilisée pour réaliser l’audit des données ?

Contexte : lors de la mise en place de la conformité, le premier élément est l’audit des données, nécessaire à tout prestataire qui souhaite connaître comment circule les données chez vous. Grâce à cet audit, le prestataire RGPD va créer un Registre. 

Deux méthodes sont possibles : 

Option 1 : votre prestataire identifie en amont les données retrouvées dans votre typologie d’activité via un outil et vous demande ensuite, de vérifier les informations avec lui. 

Option 2 : le prestataire vous fournit un excel ou outil dans lequel vous listez manuellement les données, puis, il les consolide, puis vous demande de vérifier les informations avec lui.  Cette option vous demande un travail important de saisie manuelle.

À retenir : vous assurez que le prestataire réalise le Registre des activités via l’audit des données et vérifiez la méthode utilisée pour vous éviter une charge administrative dissimulée.

Comment savoir si la relation contractuelle va bien se dérouler ? 

La disponibilité de votre interlocuteur projet

Si votre interlocuteur tarde à vous envoyer un simple devis ou à prendre rendez-vous avec vous, imaginez lorsque vous lui demanderez des pièces de conformité ou que vous soyez confronté à un incident de sécurité.

Le statut salarié ou consultant du prestataire/expert RGPD

Le RGPD étant une démarche continue, choisir un consultant est un risque pour la continuité de service, en cas de congés, d’absence courte ou prolongée, ou encore de modification/arrêt d’activité. 

Lorsque l’expert est salarié, vous avez plus de chance d’avoir un expert ressource en back up chez le prestataire et présent en cas de besoin, voire d’astreinte sur les périodes de congés comme Noël, nouvel an, etc.

Quid de la certification CNIL du DPO ? 

La certification du DPO ne présage pas de sa qualité d’accompagnement. En effet, cette certification du DPO a été créée par la CNIL our s’assurer que les non juristes souhaitant devenir DPO externe, aient les compétences requises pour réaliser la mission. 

Étant donné que le RGPD est composé à 95% de droit, l'élément clé est de savoir si le prestataire dispose d’un Master 2 en Droit du numérique. 

La clarté de la présentation

Le RGPD est une matière obscure et peu attrayante pour les non aficionados. Si votre premier contact commercial est réalisé par un prestataire : 

• dont les propos vous semblent flous, 
• dont l’offre est peu claire, 
• avec peu de visibilité sur les livrables

Alors, cela signifie que l’entreprise ne porte pas d’attention particulière à ces éléments dans le cadre de l’accompagnement. 

À vous de juger si cela vous convient ou vous ennuie. 

Pour aller plus loin : Prestataire RGPD : Qui sont-ils ? Quoi éviter ? Quelles missions ?