Audit RGPD : la checklist complète pour se mettre en conformité

Le RGPD repose sur un principe simple à énoncer et exigeant à tenir : vous devez être en mesure de démontrer votre conformité à tout moment, et pas seulement de l'affirmer. C'est ce que la CNIL appelle le principe de responsabilité, l'accountability de l'article 5.2. Sans état des lieux structuré, cette démonstration reste hors de portée.

L'audit RGPD est précisément cet état des lieux. Il compare la réalité de vos traitements de données aux exigences du règlement, domaine par domaine, puis débouche sur un plan d'action priorisé. Il ne s'agit pas d'un document de plus, mais de la colonne vertébrale de votre mise en conformité et de la première preuve qu'un contrôleur vous demandera.

Le RGPD compte 99 articles, et une non-conformité expose à une sanction pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Cet article vous donne la définition d'un audit RGPD, ses grands domaines de contrôle, une check-list complète par domaine, la méthode étape par étape et les livrables attendus.

Vérifiez déjà l'un des points les plus contrôlés, vos cookies, avec notre scanner de cookies →

Qu'est-ce qu'un audit RGPD ?

Un audit RGPD est un état des lieux méthodique de la conformité d'une organisation au Règlement général sur la protection des données. Il confronte vos pratiques réelles de collecte, d'usage, de conservation et de sécurisation des données personnelles aux obligations du règlement, identifie les écarts, puis les hiérarchise dans un plan d'action.

Un diagnostic, pas une certification

L'audit RGPD ne délivre aucun label officiel. Il produit un diagnostic interne qui mesure votre niveau de maturité et cartographie les risques. La conformité au RGPD relève d'une démarche continue, pas d'un certificat obtenu une fois pour toutes. L'audit en est le point de départ et le point de contrôle récurrent.

Audit organisationnel et audit technique

Un audit complet couvre deux dimensions. Le volet organisationnel porte sur la documentation, les procédures, les contrats et la gouvernance. Le volet technique porte sur la sécurité des systèmes, le chiffrement, la gestion des accès et les traceurs déposés sur vos sites. Les deux sont indissociables, une procédure irréprochable ne protège rien si la faille technique reste ouverte.

Le fondement légal : l'accountability

L'article 5.2 du RGPD impose au responsable de traitement de pouvoir démontrer le respect des principes de protection des données. L'audit matérialise cette obligation. Il transforme une conformité déclarée en conformité documentée, seule opposable lors d'un contrôle de la CNIL.

Pour la définition précise des rôles, consultez notre glossaire sur le responsable de traitement et le délégué à la protection des données.

L'essentiel à retenir

Lancez le volet cookies de votre audit en quelques secondes → Scanner de cookies

Quand mener un audit RGPD ?

Un audit RGPD s'impose lors de trois grands moments : au démarrage d'une démarche de conformité, à chaque changement structurant de vos traitements, et de façon récurrente une fois par an au minimum. La CNIL recommande une révision régulière plutôt qu'un exercice ponctuel.

À l'initialisation de votre conformité

Si votre organisation n'a jamais formalisé sa conformité, l'audit initial pose la base. Il révèle l'écart entre l'existant et les obligations, et évite de bâtir des procédures sur des fondations inconnues. C'est le préalable à toute construction du registre des traitements.

À chaque évolution significative

Un nouvel outil de marketing, un changement de prestataire d'hébergement, le lancement d'un produit collectant de nouvelles données, une acquisition : chaque évolution modifie votre exposition. Un audit ciblé sur le périmètre concerné remet la conformité à niveau avant que l'écart ne se creuse.

En rythme récurrent et après incident

Un audit annuel maintient la conformité vivante et documente sa progression. Après une violation de données ou un contrôle de la CNIL, un audit de contrôle vérifie que les correctifs ont bien été appliqués. La conformité qui ne se réévalue jamais se dégrade mécaniquement au fil des changements.

Les grands domaines à auditer

Un audit RGPD complet examine dix domaines, chacun rattaché à des articles précis du règlement. Cette cartographie vous donne le périmètre avant d'entrer dans le détail de la check-list.

1. Cartographie des traitements et registre (article 30)

L'article 30 du RGPD impose de tenir un registre des activités de traitement. Ce registre est le socle de l'audit, car on ne peut auditer que ce que l'on a recensé. Il documente chaque traitement : sa finalité, les catégories de données et de personnes concernées, les destinataires, les durées de conservation et les mesures de sécurité.

2. Bases légales (articles 6 et 9)

Tout traitement doit reposer sur l'une des six bases légales de l'article 6 : consentement, contrat, obligation légale, intérêt vital, mission d'intérêt public ou intérêt légitime. Les données sensibles de l'article 9 obéissent à un régime plus strict. L'audit vérifie qu'une base valable existe et est documentée pour chaque traitement. Voir notre définition de la base légale.

3. Information des personnes (articles 12 à 14)

Les personnes concernées doivent recevoir une information claire, concise et accessible sur l'usage de leurs données. L'audit contrôle la présence et l'exactitude des mentions d'information, de la politique de confidentialité et des mentions au point de collecte.

4. Exercice des droits (articles 15 à 22)

Accès, rectification, effacement, opposition, portabilité, limitation : le RGPD garantit ces droits et impose d'y répondre dans un délai d'un mois. L'audit vérifie l'existence d'une procédure permettant de traiter ces demandes dans les délais et de tracer les réponses.

5. Sécurité des données (article 32)

L'article 32 impose des mesures techniques et organisationnelles adaptées au risque. L'audit examine le chiffrement, la gestion des habilitations, les sauvegardes, la journalisation des accès et la sensibilisation des équipes.

6. Sous-traitants et contrats (article 28)

Chaque sous-traitant qui traite des données pour votre compte doit être encadré par un contrat conforme à l'article 28. L'audit recense les sous-traitants et vérifie la présence des clauses obligatoires. Voir la définition du sous-traitant.

7. Transferts hors Union européenne (articles 44 à 49)

Tout transfert de données hors de l'Espace économique européen exige un encadrement : décision d'adéquation, clauses contractuelles types ou règles d'entreprise contraignantes. L'audit identifie les flux, souvent invisibles, vers des prestataires établis hors UE. Voir les transferts hors UE.

8. Cookies et traceurs (article 82 de la loi Informatique et Libertés)

Les traceurs non essentiels exigent un consentement préalable, libre et éclairé, avant tout dépôt. C'est l'un des axes de contrôle prioritaires de la CNIL et l'un des plus faciles à vérifier de l'extérieur. L'audit passe au crible ce que vos sites déposent réellement.

9. Durées de conservation (article 5.1.e)

Le principe de limitation de la conservation interdit de garder des données au-delà du nécessaire. L'audit vérifie qu'une durée justifiée est fixée pour chaque catégorie de données et qu'un mécanisme de purge ou d'archivage l'applique effectivement.

10. Violations de données (articles 33 et 34)

Une violation de données doit être notifiée à la CNIL sous 72 heures lorsqu'elle présente un risque pour les personnes. L'audit contrôle l'existence d'une procédure de détection, de qualification et de notification, ainsi que du registre interne des violations.

Exemple concret : l'audit d'une PME de services

Prenons une PME de 40 salariés qui vend un logiciel en ligne. Elle affiche une politique de confidentialité, elle croit sa situation saine. L'audit raconte une autre histoire.

Le recensement révèle d'abord onze traitements actifs, dont trois absents du registre : une base de prospection commerciale, un outil de mesure d'audience et un service de support client hébergé aux États-Unis. Deux d'entre eux ne reposent sur aucune base légale documentée.

Le volet cookies confirme le point le plus visible. Le scan montre que l'outil de mesure d'audience et deux traceurs publicitaires se déposent dès l'arrivée du visiteur, avant tout consentement. Le bandeau existe, mais ne bloque rien en amont, exactement le cas décrit dans notre guide savoir si son site est conforme RGPD.

Côté sous-traitants, deux contrats sur sept ne comportent pas les clauses de l'article 28. Le support client hébergé aux États-Unis constitue un transfert hors UE jamais encadré. Enfin, aucune durée de conservation n'est fixée pour la base de prospection, qui accumule des contacts depuis six ans.

L'audit ne se contente pas de lister ces écarts. Il les cote par niveau de risque et débouche sur un plan d'action : blocage des traceurs avant consentement en priorité haute, régularisation des bases légales et des contrats sous-traitants ensuite, définition des durées de conservation en dernier. La PME sait quoi corriger, dans quel ordre et pourquoi.

Voyez ce que vos sites déposent avant consentement → Scanner de cookies

La check-list complète de l'audit RGPD

Cette check-list couvre les dix domaines d'un audit RGPD. Passez en revue chaque point de contrôle et notez son statut : conforme, partiel ou non conforme. Cette cotation nourrira directement votre plan d'action.

Domaine 1 : Cartographie des traitements et registre (article 30)

• Registre des traitements existant : un registre formalisé recense l'ensemble des activités de traitement.
• Finalités documentées : chaque traitement précise sa ou ses finalités déterminées et explicites.
• Catégories de données et de personnes : les types de données et les catégories de personnes concernées sont listés.
• Destinataires identifiés : les destinataires internes et externes de chaque traitement figurent au registre.
• Registre à jour : le registre reflète la réalité des traitements en cours, pas un état figé.
• Registre du sous-traitant : si vous agissez comme sous-traitant, vous tenez le registre prévu à l'article 30.2.

Domaine 2 : Bases légales (articles 6 et 9)

• Base légale par traitement : chaque traitement repose sur l'une des six bases de l'article 6.
• Base documentée : la base retenue est justifiée et consignée dans le registre.
• Données sensibles encadrées : les traitements de données de l'article 9 relèvent d'une exception valable.
• Consentement conforme : lorsque la base est le consentement, celui-ci est libre, spécifique, éclairé et univoque.
• Intérêt légitime testé : lorsque la base est l'intérêt légitime, un test de mise en balance est formalisé.
• Preuve du consentement : le consentement recueilli est conservé et démontrable. Voir la preuve de consentement.

Domaine 3 : Information des personnes (articles 12 à 14)

• Politique de confidentialité accessible : un document clair et à jour est facilement consultable.
• Mentions au point de collecte : chaque formulaire de collecte affiche l'information requise.
• Information complète : identité du responsable, finalités, base légale, durées, droits et coordonnées du DPO figurent bien.
• Langage clair : l'information est concise, compréhensible et exempte de jargon inutile.
• Information en cas de collecte indirecte : lorsque les données ne viennent pas de la personne, l'article 14 est respecté.

Domaine 4 : Exercice des droits (articles 15 à 22)

• Procédure de traitement des demandes : un circuit interne prend en charge les demandes de droits.
• Délai d'un mois respecté : les réponses sont apportées dans le délai légal, extensible à trois mois si justifié.
• Vérification de l'identité : un mécanisme raisonnable authentifie le demandeur sans collecte excessive.
• Traçabilité des demandes : chaque demande et sa réponse sont enregistrées.
• Tous les droits couverts : accès, rectification, effacement, opposition, portabilité et limitation sont opérationnels.

Domaine 5 : Sécurité des données (article 32)

• Gestion des habilitations : les accès aux données suivent le principe du besoin d'en connaître.
• Chiffrement adapté : les données sensibles et les flux critiques sont chiffrés.
• Sauvegardes testées : des sauvegardes régulières existent et leur restauration est vérifiée.
• Journalisation des accès : les accès aux données sensibles sont tracés et exploitables.
• Mots de passe robustes : la politique de mots de passe suit les recommandations de la CNIL.
• Sensibilisation des équipes : les collaborateurs sont formés aux bons réflexes de protection des données.

Domaine 6 : Sous-traitants et contrats (article 28)

• Inventaire des sous-traitants : tous les prestataires traitant des données pour votre compte sont recensés.
• Contrat conforme article 28 : chaque relation est encadrée par un contrat comportant les clauses obligatoires.
• Garanties suffisantes : les sous-traitants présentent des garanties de sécurité vérifiées.
• Sous-traitance ultérieure encadrée : le recours à des sous-traitants de second rang est autorisé et tracé.

Domaine 7 : Transferts hors Union européenne (articles 44 à 49)

• Flux hors UE identifiés : les transferts vers des prestataires établis hors de l'Espace économique européen sont recensés.
• Encadrement juridique : chaque transfert repose sur une décision d'adéquation, des clauses contractuelles types ou des règles d'entreprise contraignantes.
• Mesures supplémentaires : lorsque nécessaire, des mesures techniques complémentaires protègent les données transférées.

Domaine 8 : Cookies et traceurs (article 82 de la loi Informatique et Libertés)

• Blocage avant consentement : aucun traceur non essentiel ne se dépose avant le consentement de l'internaute.
• Refus aussi simple qu'accepter : le bandeau permet de refuser en un clic, au même niveau qu'accepter.
• Aucune case pré-cochée : les finalités non essentielles sont décochées par défaut.
• Traceurs exemptés maîtrisés : les traceurs strictement nécessaires sont correctement qualifiés. Voir les cookies exemptés de consentement.
• Preuve conservée : chaque choix est horodaté et conservé.
• Politique cookies à jour : la liste des traceurs, leurs finalités et durées est actualisée.

Domaine 9 : Durées de conservation (article 5.1.e)

• Durée fixée par catégorie : chaque catégorie de données dispose d'une durée de conservation justifiée.
• Purge ou archivage effectif : un mécanisme applique réellement ces durées, au-delà de la simple politique écrite.
• Archivage intermédiaire encadré : les données archivées pour obligation légale sont séparées de la base active.
• Cohérence avec les référentiels CNIL : les durées s'appuient sur les référentiels sectoriels lorsqu'ils existent.

Domaine 10 : Violations de données (articles 33 et 34)

• Procédure de gestion des violations : un processus de détection et de qualification est en place.
• Notification sous 72 heures : le circuit permet de notifier la CNIL dans le délai lorsque le risque l'exige.
• Information des personnes : en cas de risque élevé, les personnes concernées sont informées.
• Registre des violations : toutes les violations, notifiées ou non, sont consignées dans un registre interne.

Le domaine cookies est le plus facile à vérifier de l'extérieur, y compris par un contrôleur de la CNIL. Lancez le scan gratuit de vos sites → Scanner de cookies

La méthode : mener un audit RGPD étape par étape

Un audit RGPD structuré suit six étapes, du cadrage du périmètre jusqu'au suivi de la remédiation. Cette méthode vaut pour un audit interne piloté par le DPO comme pour un audit accompagné par un tiers.

Étape 1 : Cadrer le périmètre et mobiliser les métiers

Définissez ce que l'audit couvre : toute l'organisation ou un périmètre ciblé, un site ou plusieurs entités. Identifiez les interlocuteurs métier, car ce sont eux qui connaissent les traitements réels. Un audit mené sans les opérationnels passe à côté des usages non déclarés.

Étape 2 : Cartographier les traitements et mettre à jour le registre

Recensez chaque traitement avec les métiers : quelles données, pour quelle finalité, où sont-elles stockées, qui y accède, combien de temps. Cette cartographie alimente ou met à jour le registre des traitements. On n'audite bien que ce que l'on a d'abord recensé.

Étape 3 : Évaluer la conformité domaine par domaine

Déroulez la check-list des dix domaines sur chaque traitement recensé. Pour chaque point de contrôle, notez le statut : conforme, partiel ou non conforme, et documentez la preuve. C'est le cœur de l'audit, la confrontation méthodique entre l'existant et l'exigence.

Étape 4 : Coter les écarts et évaluer les risques

Chaque écart n'a pas le même poids. Cotez son niveau de risque en croisant la probabilité et la gravité pour les personnes concernées. Un dépôt de traceurs avant consentement, visible et fréquent, pèse plus lourd qu'une mention d'information imparfaite. Notre pilier analyse de risques RGPD détaille cette cotation.

Étape 5 : Formaliser le plan d'action priorisé

Traduisez les écarts cotés en actions concrètes, chacune assortie d'un responsable, d'une échéance et d'un niveau de priorité. Traitez d'abord les risques élevés et les manquements facilement contrôlables de l'extérieur. Ce plan d'action est le livrable central de l'audit.

Étape 6 : Suivre la remédiation et instaurer la récurrence

Un plan d'action sans suivi reste lettre morte. Assignez, échelonnez et contrôlez l'avancement des actions. Programmez ensuite un audit de contrôle et fixez un rythme récurrent, au minimum annuel, pour maintenir la conformité vivante.

Automatisez le volet cookies de votre audit et de son suivi → Scanner de cookies

Audit interne ou audit externe accompagné : que choisir ?

Le choix dépend de vos ressources internes, de la complexité de vos traitements et du regard de neutralité recherché. Une organisation dotée d'un DPO expérimenté peut mener son audit en interne, une structure sans expertise dédiée gagne à se faire accompagner.

Les deux approches se combinent souvent : un audit initial accompagné pose la base et forme les équipes, puis les audits récurrents se mènent en interne. Le DPO reste le pilote dans les deux cas.

Besoin d'un cadre complet pour structurer votre démarche ? Consultez notre guide RGPD →

Les erreurs courantes qui faussent un audit RGPD

Les erreurs les plus fréquentes tiennent à un périmètre incomplet, à une check-list déroulée sans mobiliser les métiers et à un audit qui s'arrête au constat sans plan d'action.

• Oublier les traitements non déclarés : les outils adoptés par les équipes sans validation, souvent les plus risqués, échappent à un audit mené uniquement sur les traitements connus.
• Confondre bandeau affiché et conformité cookies : un bandeau visible qui ne bloque rien en amont ne rend pas conforme. Seul un scan révèle ce qui se dépose vraiment avant consentement.
• S'arrêter au constat : lister les écarts sans les coter ni les prioriser produit un rapport inutilisable. La valeur de l'audit est dans le plan d'action.
• Négliger les sous-traitants et les transferts : les flux vers des prestataires hors UE sont souvent invisibles et régulièrement non encadrés, alors qu'ils exposent fortement.
• Documenter une conformité théorique : une politique de durées de conservation qui n'est appliquée par aucun mécanisme de purge n'a aucune valeur lors d'un contrôle.
• Traiter l'audit comme un exercice unique : une conformité auditée une fois puis jamais réévaluée se dégrade à mesure que les traitements évoluent.

Évitez le premier angle mort en scannant vos sites → Scanner de cookies

Questions fréquentes

Un audit RGPD est-il obligatoire ? Aucun article du RGPD n'impose formellement un audit sous ce nom. En revanche, l'article 5.2 vous oblige à pouvoir démontrer votre conformité à tout moment. Dans les faits, cette obligation d'accountability rend l'audit incontournable, car il constitue la première preuve documentée d'une organisation qui maîtrise ses traitements.

Combien de temps dure un audit RGPD ? La durée dépend de la taille de l'organisation et du nombre de traitements. Pour une PME, comptez généralement de quelques jours à quelques semaines entre le cadrage et le plan d'action. Le recensement des traitements auprès des métiers est souvent l'étape la plus longue, car elle exige de nombreux échanges.

Qui doit réaliser l'audit RGPD ? Le délégué à la protection des données pilote l'audit lorsqu'il en existe un. Il peut le mener en interne ou s'appuyer sur un prestataire spécialisé pour l'audit initial. Dans tous les cas, la responsabilité juridique de la conformité demeure celle du responsable de traitement, que le DPO conseille sans s'y substituer.

Quelle différence entre un audit RGPD et une analyse d'impact (AIPD) ? L'audit RGPD est un état des lieux global de la conformité de toute l'organisation. L'analyse d'impact relative à la protection des données, prévue à l'article 35, est un exercice ciblé sur un traitement susceptible d'engendrer un risque élevé pour les personnes. L'audit peut révéler qu'une AIPD est nécessaire sur tel ou tel traitement.

Par où commencer un audit RGPD ? Commencez par le recensement des traitements et la mise à jour du registre, car il conditionne tout le reste. En parallèle, traitez le domaine le plus facilement contrôlable de l'extérieur, les cookies et traceurs, en scannant vos sites. Ces deux points fournissent rapidement une première photographie exploitable de votre exposition.

Que risque-t-on sans audit ni conformité RGPD ? Une non-conformité expose à une sanction de la CNIL pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Au-delà de l'amende, une sanction est publique et affecte la confiance de vos clients. L'absence d'audit prive surtout de toute capacité à démontrer sa bonne foi lors d'un contrôle.

Passez de l'état des lieux à la conformité