Quels documents communiquer à un auditeur externe ?
Réponse courte
Ceux que l'entreprise décide de lui communiquer, dans les limites du RGPD. Un audit privé — diligence d'acquisition, audit de conformité, certification — n'a aucun pouvoir de contrainte : l'auditeur n'est ni l'ITM, ni la CNPD, et aucun texte n'oblige à lui remettre quoi que ce soit.
La différence avec un contrôle officiel est nette. L'article L.614-4 permet aux membres de l'inspectorat d'exiger communication de tous livres, registres, fichiers et documents relatifs aux conditions de travail, dans les meilleurs délais, de les reproduire ou d'en établir des extraits. Un auditeur privé ne dispose d'aucune de ces prérogatives.
Dès lors qu'il accède à des données personnelles, l'auditeur devient sous-traitant ou destinataire : son intervention suppose un contrat au sens de l'article 28 du RGPD et une information des salariés sur ce destinataire.
Définition
L'audit est une prestation de vérification commandée par l'entreprise ou par un tiers avec son accord. Il repose sur un contrat, non sur une prérogative de puissance publique.
Le contrôle est l'exercice d'un pouvoir légal par une autorité — inspectorat du travail, CNPD, administration fiscale — assorti d'obligations de communication et de sanctions en cas de refus.
Conditions d’exercice
Le régime applicable dépend de la qualité de celui qui demande, non de la nature des documents.
| Demandeur | Pouvoir | Base |
|---|---|---|
| Membres de l'inspectorat du travail | Communication exigible dans les meilleurs délais | L.614-4 |
| CNPD | Pouvoirs d'enquête et d'accès aux informations nécessaires | RGPD, article 58 |
| Administration fiscale | Communication des pièces comptables | Article 16 du Code de commerce et droit fiscal |
| Auditeur mandaté par l'entreprise | Aucun pouvoir propre ; accès défini par le contrat | RGPD, article 28 |
| Auditeur d'un acquéreur potentiel | Aucun pouvoir ; communication volontaire et encadrée | RGPD, articles 6 et 28 |
| Commissaire aux comptes ou réviseur | Selon les textes propres à sa mission | Droit des sociétés |
Modalités pratiques
Ce qui protège l'entreprise est la manière dont l'accès est organisé, non le refus de communiquer.
| Geste | Marche à suivre |
|---|---|
| Cadrage | Définir par écrit le périmètre et la finalité de l'audit |
| Minimisation | Communiquer des données agrégées ou pseudonymisées lorsque c'est possible |
| Contrat | Encadrer l'auditeur par le contrat de sous-traitance de l'article 28 |
| Confidentialité | Faire signer un engagement, distinct du contrat |
| Information des salariés | Mentionner ce destinataire dans l'information sur les traitements |
| Traçabilité | Conserver la liste des documents communiqués et la date |
Pratiques et recommandations
La pseudonymisation règle la plupart des situations. Un audit de conformité ou une diligence d'acquisition portent sur des pratiques, des masses salariales et des risques — rarement sur l'identité des personnes. Communiquer des données agrégées satisfait l'auditeur et supprime la question du transfert de données personnelles.
Le contrat de sous-traitance est régulièrement oublié pour les auditeurs, alors qu'il l'est rarement pour les hébergeurs. L'auditeur qui consulte des dossiers du personnel traite des données pour le compte de l'entreprise : l'article 28 s'applique, avec les instructions, la confidentialité et le sort des données en fin de mission.
La traçabilité des communications protège dans les deux sens. Une liste datée des pièces remises permet, plus tard, de savoir ce que l'auditeur a vu — question qui se pose immanquablement lorsque la relation se termine mal ou que l'opération n'aboutit pas.
Cadre juridique
| Référence | Objet |
|---|---|
| Article L.614-4 du Code du travail | Communication exigible par l'inspectorat, dans les meilleurs délais |
| Article L.614-13 du Code du travail | Amende administrative en cas de non-respect d'une injonction |
| RGPD, article 28 | Contrat de sous-traitance encadrant l'auditeur |
| RGPD, article 6 | Base de licéité de la communication à un tiers |
| RGPD, article 13 | Information des salariés sur les destinataires des données |
| RGPD, article 58 | Pouvoirs d'enquête de l'autorité de contrôle |
Note
Un auditeur privé n'a aucun pouvoir de contrainte : ce qui lui est communiqué relève du contrat et du RGPD. Pseudonymisez ce qui peut l'être et encadrez son intervention par le contrat de sous-traitance de l'article 28.