Audit the audit : redefining the concept of audit in the context of personal data protection

Abstract

Avec l’engouement pour les technologies numériques, nous faisons face à un monde de « l’inconscient numérique », où la protection des données personnelles est depuis longtemps critiquée comme des « rituels de protection ». En conséquence, l’accent réglementaire se déplace vers une approche « basée sur le processeur de données », dans laquelle les responsables du traitement des données doivent manifester leur conformité aux fins de la protection des données personnelles, comme l’exigent de nombreuses lois sur la protection des données.Les audits ont longtemps été critiqués comme un « rituel de vérification », provenant du secteur financier. Dans le contexte de la protection des données personnelles, il semble qu’on utilise des outils complexes pour prescrire un objectif encore plus compliqué. Plutôt que d’adopter une interprétation littérale, une approche fonctionnelle propose une autre conception de l’audit. Cet article soutient qu’en réalité, l’audit est un système de contrôle plutôt qu’une méthode de « garantie » visant à fournir responsabilité ou transparence. L’échec d’un audit devrait être décrit comme un échec systématique plutôt que comme l’effondrement d’un outil de précertification. Cet article propose que les audits de conformité en matière de protection des données personnelles doivent être interprétés comme un système de contrôle impliquant à la fois la gestion et le contrôle juridique. With the thrill of digital technology, we are facing a world of a “digital unconscious,” where the protection of personal data has long been criticized as a “rituals of protection.” Consequently, the regulatory focus shifts to a "data processor-based" approach, wherein data controllers must manifest their compliance for personal data protection purposes, as many data protection laws require. Audits have long been criticized as “a ritual of verification,” originating from the financial sector. Within the personal data protection context, it seems to use complex tools to prescribe a more complicated target. Instead of using a literal interpretation, a functional approach proposes to the notion of an audit. This paper arguably states that the audit is, in fact, a control system rather than a “guarantee” method to deliver accountability or transparency. The failure of an audit should be described as a systematic failure instead of collapsing as a pre-certification tool. This paper proposes that compliance audits for personal data protection should be interpreted as a control system that entails the management and legal control.