Un audit de conformité RGPD compare les pratiques réelles d’un organisme avec ses obligations et ses propres documents. Il ne s’agit pas d’une formalité universelle intitulée « audit annuel » dans le règlement. Les articles 5, paragraphe 2, et 24 exigent toutefois de pouvoir démontrer la conformité et d’adapter les mesures au risque. Des contrôles documentés sont un moyen de le faire; le délégué à la protection des données, lorsqu’il est désigné, a aussi une mission de contrôle qui peut comprendre des audits au titre de l’article 39. Cette méthode en dix étapes aide à produire des constats vérifiables et un plan de correction, sans confondre l’audit général avec l’analyse d’impact obligatoire pour certains traitements.
La CNIL présente une démarche de conformité en six étapes : pilote, cartographie, priorités, gestion des risques, procédures et documentation. Notre découpage en dix étapes sert l’examen pratique de ces éléments. Ce n’est pas une fréquence ou un format imposé par la CNIL. Un audit pertinent peut porter sur toute l’organisation ou sur un ensemble limité de traitements à risque, à condition d’annoncer clairement ce que la conclusion couvre. La checklist RGPD fournit un inventaire complémentaire; le présent article explique comment obtenir des preuves et traiter les écarts.
1. Formuler la question et le périmètre
Commencez par écrire pourquoi le contrôle a lieu. S’agit-il de vérifier un programme de conformité existant, de préparer un changement de prestataire, d’analyser des incidents ou d’examiner un site et ses campagnes marketing? Listez les entités juridiques, services, applications, pays, périodes et traitements inclus. Notez aussi les exclusions et leur justification. Une conclusion « conforme au RGPD » serait trompeuse si l’équipe n’a regardé qu’un formulaire web. Pour les flux internationaux, notre article sur les transferts hors de l’Union européenne aide à repérer les services qui échappent au périmètre visible du siège.
Définissez ensuite les critères d’audit: dispositions applicables, politiques internes, engagements contractuels et éventuelles exigences sectorielles. Ne mélangez pas automatiquement un défaut de sécurité, une exigence du droit du travail et une obligation RGPD dans une seule note. La même observation peut avoir plusieurs conséquences, mais chacune doit être reliée à son fondement. Fixez une méthode d’échantillonnage si vous ne pouvez pas examiner tous les traitements. Par exemple, choisissez un traitement par métier, un traitement sensible et un flux externalisé. Documentez ce choix pour que les limites du rapport soient compréhensibles.
2. Répartir les rôles et préserver l’indépendance du constat
Le responsable de traitement garde la responsabilité du programme. Les métiers décrivent les finalités; l’informatique et la sécurité expliquent les systèmes; les achats apportent les contrats; le juridique analyse les bases et transferts. Le DPO, s’il existe, doit être associé en temps utile aux questions de protection des données. Ses missions comprennent information, conseil et contrôle, mais il ne doit pas être chargé de valider seul des choix opérationnels qu’il a lui-même arrêtés dans une fonction conflictuelle. Le guide CNIL des DPO décrit les vérifications qu’il peut organiser ou réaliser.
Nommez un responsable pour collecter les preuves, un interlocuteur par processus et une personne qui tranche les priorités du plan de remédiation. Un audit externe peut apporter un regard indépendant, mais n’est pas requis par défaut pour toute organisation. Un audit interne peut être solide si les constats sont étayés, revus et contestables. Prévoyez un canal pour les désaccords factuels: le métier doit pouvoir corriger une description inexacte sans effacer un risque gênant.
3. Rassembler les documents avant les entretiens
Demandez le registre des traitements, les notices d’information, les contrats de sous-traitance, les procédures de droits, les AIPD existantes, les règles de conservation, les décisions sur les transferts et le registre des violations. Collectez aussi des traces d’exécution: exemple anonymisé de demande d’accès traitée, preuve d’une suppression programmée, journal d’une revue d’habilitations, compte rendu d’un test de restauration. La présence d’une politique ne prouve pas qu’elle est suivie. L’absence d’un document ne prouve pas, à elle seule, que tout le traitement est illicite; elle exige une investigation.
Préparez une grille indiquant pour chaque exigence la preuve attendue, le propriétaire et la méthode de vérification. Une AIPD ne doit pas être exigée pour chaque activité: l’analyse d’impact est requise lorsque le traitement est susceptible d’engendrer un risque élevé. Il faut donc vérifier d’abord la décision de seuil. De même, la documentation de l’intérêt légitime n’a pas la même forme qu’une preuve de consentement. Évitez le réflexe de réclamer le même modèle à tous les services.
4. Confronter le registre à la réalité
La CNIL recommande de cartographier les traitements par finalité, et non par logiciel. Partez des activités métiers: recrutement, paie, relation client, sécurité des bâtiments, support. Comparez les fiches du registre avec des formulaires, applications et flux réellement utilisés. Demandez à un responsable métier de raconter l’arrivée, l’utilisation et l’effacement d’un dossier concret, sans exposer de données personnelles inutiles à l’équipe d’audit. Une application peut servir plusieurs finalités; un traitement peut passer par plusieurs applications.
La méthode de cartographie des données aide à repérer les tableurs locaux, exports et outils de communication souvent absents d’un registre central. Vérifiez catégories de personnes et de données, destinataires, éventuels pays tiers et durées de conservation. Si le registre dit « conservation trente jours » mais qu’un export reste trois ans chez un prestataire, le constat porte sur un écart concret entre règle et pratique. Notez où la preuve a été observée et si elle concerne tout le périmètre ou seulement un échantillon.
5. Examiner finalités, bases et information
Pour chaque finalité, identifiez une base juridique appropriée parmi celles de l’article 6. Si des données de l’article 9 sont traitées, vérifiez également la condition spécifique correspondante. Une base ne doit pas être choisie après coup pour justifier des usages nouveaux. L’audit vérifie comment la base a été décidée, comment elle se traduit dans les pratiques et si l’information donnée aux personnes décrit le traitement réel. Un consentement, lorsqu’il est invoqué, doit pouvoir être prouvé et retiré; un intérêt légitime appelle une mise en balance adaptée.
Prenez l’exemple d’un formulaire de contact. La notice indique-t-elle le responsable, le but, la base, les destinataires et la durée ou ses critères? Le formulaire collecte-t-il plus de champs que nécessaire? Les données entrent-elles ensuite dans un CRM utilisé pour des campagnes dont la notice ne parle pas? Un écran conforme en apparence peut cacher un usage différent. La collecte de données et la transparence doivent être testées de bout en bout, en lien avec les principes de minimisation et de finalité.
6. Tester l’exercice des droits
Ne vous contentez pas d’une adresse électronique inscrite dans une politique. Envoyez, avec accord interne et sans données réelles non autorisées, un scénario de test: demande d’accès, de rectification, d’effacement ou d’opposition. Vérifiez si les équipes reconnaissent la demande même quand elle arrive au support général, si l’identité est vérifiée proportionnellement et si les systèmes concernés peuvent être retrouvés. La procédure d’exercice des droits permet de préparer ce test et de documenter les exceptions pertinentes.
L’article 12 prévoit en principe une réponse dans un mois, avec prolongation possible selon les conditions du règlement. La portabilité ne s’applique pas à tous les traitements; l’effacement connaît des exceptions. Un audit ne doit donc pas compter mécaniquement chaque refus comme un manquement. Examinez la justification, la communication au demandeur et la mise en œuvre de la décision. Testez en particulier la suppression chez les sous-traitants et la réapparition possible de données après restauration d’une sauvegarde.
7. Vérifier sécurité et gestion des violations
L’article 32 impose des mesures appropriées au risque, pas une liste identique de produits pour tous. Examinez les droits d’accès, leur retrait lors des départs, l’authentification, les sauvegardes, les tests de restauration, la journalisation et la gestion des incidents. Demandez une preuve de fonctionnement, pas seulement une capture d’écran de configuration. Une analyse de sécurité des données au titre de l’article 32 peut servir de grille technique. Un risque pour les droits des personnes doit rester visible; l’audit ne se réduit pas à la disponibilité informatique.
Vérifiez le circuit d’escalade d’une violation de données: qui apprend l’incident, quand il est qualifié, qui décide d’une notification, et comment les informations sont mises à jour. L’article 33 prévoit une notification à l’autorité sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés; la date de connaissance doit être traçable. Notre article sur la notification des violations détaille ce test. Un exercice de table peut révéler qu’un sous-traitant informe le mauvais contact ou qu’aucun suppléant n’existe pendant un week-end.
8. Suivre sous-traitants et transferts
Repérez les prestataires qui traitent des données pour le compte de l’organisme. Vérifiez leur rôle réel, les instructions, les mesures de sécurité et les sous-traitants ultérieurs. La checklist de contrôle de l’article 28 aide à comparer les contrats avec les services rendus. Une clause signée ne garantit pas que les accès techniques suivent le contrat. Testez un fournisseur important: quels jeux de données voit-il, depuis quel pays, qui peut créer un compte administrateur et comment se termine le service?
Pour les transferts internationaux de données, identifiez d’abord le pays, le destinataire et la base du chapitre V. Une décision d’adéquation peut suffire pour le pays concerné; des clauses contractuelles types peuvent être nécessaires dans d’autres cas. L’évaluation du droit et des pratiques du pays tiers, ainsi que d’éventuelles mesures supplémentaires, dépend du mécanisme et des circonstances. N’imposez pas une analyse de transfert identique à chaque prestataire de l’EEE. Le même fournisseur peut avoir du support hors EEE ou des sous-traitants ailleurs: le contrat, la fiche de registre et la pratique doivent raconter la même histoire.
9. Qualifier chaque écart et construire le plan
Un bon constat distingue fait, critère, conséquence et correction. Par exemple: « La durée annoncée pour les candidatures est de douze mois; le compte d’essai démontre qu’une copie reste accessible dans un dossier partagé après ce terme; cela crée un risque d’accès non justifié; l’équipe RH et l’IT doivent corriger la règle et vérifier un nouvel échantillon. » Cette formulation est plus utile qu’un score rouge sans preuve. Indiquez la portée de l’observation et son degré de certitude. Un échantillon insuffisant appelle une vérification, pas une accusation globale.
Classez les corrections selon le risque pour les personnes, l’ampleur de l’exposition et l’effort nécessaire. Les mesures immédiates peuvent porter sur un accès trop large, une collecte excessive ou l’arrêt d’un transfert sans base. D’autres demandes nécessitent un projet de refonte. Attribuez un responsable, une échéance et une preuve de clôture. Faites arbitrer les ressources par la direction; le DPO peut conseiller et signaler une insuffisance, mais ne devrait pas porter seul le risque opérationnel. La préparation à un contrôle CNIL repose aussi sur des dossiers où chaque décision est retrouvable.
Une grille de priorités peut utiliser trois niveaux, sans prétendre reproduire une échelle de sanctions officielle. Un défaut de sécurité exposant immédiatement des données sensibles est urgent; une description de finalité légèrement ambiguë peut être corrigée dans un cycle plus long, sauf si elle masque un usage illégal. Réévaluez les priorités quand de nouveaux faits arrivent. Le plan ne doit pas transformer un risque grave en simple dette documentaire.
10. Vérifier la correction et programmer le prochain contrôle
La clôture d’une action exige une preuve. Après la modification d’une règle de purge, contrôlez un dossier test et un échantillon ancien. Après la révision d’un contrat, vérifiez que le prestataire applique les instructions. Après une formation, observez si les équipes reconnaissent les demandes reçues par un canal inhabituel. Un tableau de bord peut signaler les actions ouvertes, mais ne démontre pas que le problème est résolu. Une seconde personne peut valider les corrections qui touchent des traitements à risque élevé.
Choisissez la fréquence des prochains contrôles selon les changements et les risques: nouvelle application, rachat, prestataire majeur, incident, plainte récurrente ou changement de finalité. La CNIL demande de réexaminer et d’actualiser la documentation régulièrement, mais elle ne fixe pas pour tous les organismes un audit annuel ou un cycle de dix-huit à vingt-quatre mois. Un calendrier interne peut être utile si les métiers sont stables; un changement important peut exiger un examen immédiat. La liste de vérification RGPD aide à programmer des contrôles ciblés.
D’autres programmes réglementaires ont leurs propres plans de contrôle. Les piliers de la loi Sapin 2, par exemple, concernent la prévention de la corruption pour les organisations visées; ils ne fixent pas la fréquence d’un audit RGPD. On peut partager des méthodes de suivi sans assimiler les obligations. Le rapport final devrait indiquer la date, le périmètre, les preuves, les écarts, les limites de l’échantillon et le prochain événement qui déclenchera une revue.
Coût, outils et différence avec l’AIPD
Il n’existe pas de prix officiel d’un audit RGPD. Le coût dépend du périmètre, de l’état du registre, du nombre de métiers et de prestataires, des déplacements et des compétences déjà disponibles. Demandez un devis qui décrit les entretiens, l’échantillon, les livrables et le suivi; comparez aussi le temps interne nécessaire pour fournir les preuves et appliquer les corrections. Les fourchettes du texte précédent n’avaient pas de source fiable. Notre article sur les tarifs d’un audit RGPD peut servir à formuler les questions d’achat, mais le devis reste la base de comparaison.
Un logiciel d’audit RGPD peut organiser questionnaires, preuves et tâches, mais ne vérifie pas de lui-même que les réponses reflètent les pratiques. Testez l’export du rapport et la possibilité de corriger un constat. L’AIPD de l’article 35 est un exercice distinct, mené avant un traitement susceptible d’engendrer un risque élevé pour les personnes; elle examine nécessité, proportionnalité, risques et mesures pour ce traitement. L’audit peut vérifier si l’AIPD était requise et si elle a été réalisée, mais sa propre existence ne remplace pas l’AIPD. La méthode AIPD détaille ce déclencheur.
Questions fréquentes
Le RGPD impose-t-il un audit annuel?
Non. Il impose la responsabilité, des mesures adaptées et la capacité de démontrer leur mise en œuvre. Des vérifications peuvent être nécessaires dans les faits, notamment dans les missions du DPO, mais aucune cadence annuelle générale n’est fixée par le règlement ou la méthode en six étapes de la CNIL.
Un audit interne est-il acceptable?
Oui, si l’équipe a les compétences nécessaires et si les constats sont étayés et contrôlables. Décrivez les éventuels conflits d’intérêts et faites revoir les décisions sensibles. Le recours à un cabinet externe est un choix d’organisation ou peut répondre à une exigence particulière, pas une condition générale de conformité.
Quel lien avec une AIPD?
L’audit examine un périmètre de conformité; l’AIPD évalue un traitement susceptible d’engendrer un risque élevé. Un audit peut repérer une AIPD manquante, mais une AIPD n’est pas requise pour chaque traitement et n’est pas automatiquement produite par l’audit.
Que livrer à la direction?
Un périmètre explicite, les principaux faits et risques pour les personnes, les actions prioritaires, leurs responsables, les échéances et les preuves attendues pour la clôture. Un score global sans détail ne permet ni arbitrage ni suivi.
Pour lire les décisions de l’autorité dans leur contexte, voir le bilan des sanctions CNIL. Des contrôles liés peuvent être étudiés dans notre guide complémentaire d’audit RGPD.