Contexte Dans une logique de cohérence, de complémentarité et de renforcement collectif du dispositif de conformité La mission a pour objet : -D'évaluer le niveau de conformité effectif des traitements audités ; -D'apprécier la robustesse de son dispositif organisationnel et contractuel ; -D'estimer son exposition au risque réglementaire ; -De disposer d'une feuille de route opérationnelle permettant de renforcer durablement son dispositif MISSIONS L'audit portera sur un périmètre ciblé de traitements couvrant à la fois les outils RH (données des salariés),et les outils métiers (données des usagers), Les outils RH ; Les outils métiers liés à la billettique et à la relation usagers etc; La mission comprendra un audit ciblé assorti d'un exercice de mise en situation reproduisant les exigences et le niveau d'investigation d'une autorité de contrôle, ainsi qu'un volet d'entretiens avec les principales parties prenantes internes. -Analyser la documentation mise à disposition (registre, AIPD, documentation contractuelle, procédures internes, dispositifs de sécurité, etc.) ; -Proposer, en lien avec le DPO référent RGPD, un périmètre d'audit pertinent au regard des enjeux et niveaux de risque ; -Définir les modalités d'investigation, en intégrant notamment un volet d'entretiens structurés avec les principales parties prenantes internes (direction, référent RGPD/DPO, responsables métiers et opérationnels concernés), en complément des analyses documentaires, tests et vérifications techniques le cas échéant ; Identifier les éléments susceptibles de constituer des points de vigilance pour l'autorité de contrôle. Exercice de simulation sous forme d?entretien L'exercice devra permettre : - - - - De tester la capacité de l'organisation à répondre à des demandes formelles d'une autorité ; - D'évaluer la cohérence entre discours, documentation et pratiques, notamment à travers les entretiens conduits avec les équipes ; - D'apprécier la maturité des équipes et la fluidité de la gouvernance. - Le degré de réalisme de la mise en situation ; Livrables Analyse et recommandations - À l'issue de la mission, le titulaire remettra : - - - - Une synthèse exécutive à destination de la Direction ; - Une analyse détaillée des constats, incluant les enseignements tirés des entretiens réalisés ; - Une évaluation argumentée du niveau d'exposition au risque ; - Un plan d'actions hiérarchisé intégrant : Les actions correctrices ; Le niveau de criticité ; L'effort estimatif de mise en conformité ; Les priorités stratégiques. Autres livrables attendus Les livrables minimums attendus sont : - - - - Note de cadrage ; Compte rendu des constats (incluant une synthèse des entretiens réalisés) ; Rapport d'audit détaillé ; Plan d'actions priorisé. Profil candidat: Profil attendu Le consultant attendu devra présenter une expérience confirmée en audit de conformité RGPD, en protection des données personnelles et en accompagnement d?organisations publiques ou privées dans la mise en conformité de leurs traitements. Il devra être en mesure d?intervenir avec méthode, pédagogie et indépendance, en lien étroit avec le DPO ou le référent RGPD, les directions métiers, les équipes juridiques, les ressources humaines, les systèmes d?information et les responsables opérationnels concernés. Formation supérieure en droit, conformité, audit, cybersécurité, systèmes d?information, gouvernance des données ou domaine équivalent ; Expérience significative dans la conduite d?audits RGPD, d?audits de conformité ou de missions de contrôle interne portant sur des traitements de données personnelles ; Bonne connaissance du fonctionnement des organisations complexes, incluant les directions métiers, les fonctions support, les prestataires et les sous-traitants ; Capacité à conduire des entretiens, à analyser des pratiques opérationnelles et à formuler des constats objectifs, argumentés et exploitables ; Expérience appréciée dans les secteurs manipulant des données RH, des données usagers, des données de relation client ou des données issues d?outils métiers. Compétences attendues Maîtrise du cadre réglementaire applicable à la protection des données personnelles, notamment le RGPD, la loi Informatique et Libertés et les lignes directrices des autorités de contrôle ; Capacité à analyser un registre des traitements, des AIPD, des mentions d?information, des bases légales, des durées de conservation, des procédures d?exercice des droits et des mécanismes de gouvernance associés ; Compétence en analyse contractuelle relative à la protection des données, notamment contrats de sous-traitance, clauses de confidentialité, responsabilités respectives et transferts éventuels de données ; Connaissance des exigences de sécurité applicables aux traitements de données personnelles : habilitations, traçabilité, gestion des accès, conservation, archivage, sécurité des outils et mesures organisationnelles ; Capacité à évaluer l...