Un audit RGPD évalue les pratiques d’un organisme et identifie les écarts à corriger. Ce guide propose une méthodologie en dix étapes pour préparer une mise en conformité, du cadrage à la vérification des actions. Il s’agit d’une méthode de travail à adapter au périmètre et aux risques, sans calendrier universel imposé par la CNIL.
Points Clés
- Un audit RGPD examine la conformité d’un organisme aux obligations du RGPD : registre, bases légales, droits des personnes, sécurité, transferts.
- La méthodologie repose sur 10 étapes structurées, du cadrage à la vérification des actions correctives.
- Le registre des traitements (Art. 30 RGPD) est le document central de tout audit : son absence ou son incomplétude constitue un manquement en soi.
- La CNIL a sanctionné des défaillances identifiables par un audit de base : absence de registre, conservation excessive, défaut de sécurité.
- Le plan d’action doit attribuer les corrections, fixer des échéances et conserver les preuves de clôture.
Pourquoi conduire un audit RGPD
L’Art. 5(2) RGPD consacre le principe de responsabilité (accountability) : le responsable de traitement doit être en mesure de démontrer sa conformité. Un audit peut contribuer à cette démonstration, aux côtés des décisions documentées et des preuves de fonctionnement des mesures.
Les enjeux sont concrets :
Sanctions financières : les amendes pour non-conformité au RGPD peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (Art. 83(5) RGPD). La CNIL a prononcé 42 sanctions en 2023, pour un montant cumulé de plus de 89 millions d’euros.
Risque opérationnel : une violation de données non anticipée peut paralyser les opérations et coûter des millions en gestion de crise, notification et indemnisation.
Confiance commerciale : dans les relations B2B, la preuve de conformité RGPD est devenue un prérequis dans les appels d’offres et les due diligences.
Les 10 étapes de l’audit RGPD
Étape 1 : Cadrer l’audit
Définissez le périmètre (toute l’organisation, un département, un traitement spécifique), les objectifs (conformité générale, préparation à un contrôle CNIL, intégration post-acquisition) et le calendrier. Constituez l’équipe d’audit : le DPO, un juriste, un référent IT et un représentant métier.
Étape 2 : Examiner le registre des traitements (Art. 30)
Le registre des traitements est le document fondateur. Vérifiez qu’il existe, qu’il est complet et à jour. Pour chaque traitement, le registre doit mentionner : les finalités, les catégories de données et de personnes concernées, les destinataires, les transferts hors EEE, les durées de conservation et les mesures de sécurité (Art. 30(1) RGPD).
Le contrôle du registre doit tenir compte du rôle de l’organisme et des conditions de l’article 30, notamment son paragraphe 5. Examinez les rubriques applicables et les faits réels; l’absence d’une case dans un modèle générique ne suffit pas à caractériser une infraction.
Étape 3 : Vérifier les bases légales (Art. 6)
Pour chaque traitement, contrôlez que la base juridique est identifiée, documentée et pertinente. Les six bases de l’Art. 6(1) RGPD sont : consentement (a), exécution d’un contrat (b), obligation légale ©, intérêts vitaux (d), mission d’intérêt public (e), intérêt légitime (f). Vérifiez que le consentement, lorsqu’il est la base retenue, remplit les conditions de l’Art. 7 RGPD.
Étape 4 : Évaluer les mentions d’information (Art. 13-14)
Les mentions d’information doivent être complètes, accessibles et cohérentes avec le registre. Vérifiez la présence de toutes les informations requises par les Art. 13 et 14 RGPD : identité du responsable, finalités, base légale, destinataires, durées, droits des personnes, coordonnées du DPO.
Étape 5 : Contrôler la gestion des droits des personnes (Art. 12-22)
Vérifiez que l’organisme dispose de procédures pour répondre aux demandes d’exercice de droits : accès (Art. 15), rectification (Art. 16), effacement (Art. 17), limitation (Art. 18), portabilité (Art. 20), opposition (Art. 21). Contrôlez les délais de réponse (un mois en principe, avec une éventuelle prolongation dans les conditions de l’article 12(3) et information au cours du premier mois) et la traçabilité des demandes.
Étape 6 : Auditer la sécurité (Art. 32)
L’Art. 32 RGPD impose des mesures de sécurité adaptées au risque. Évaluez : le chiffrement, la pseudonymisation, la gestion des accès, les sauvegardes, les tests de résilience, la journalisation. Vérifiez l’existence d’une politique de sécurité des systèmes d’information (PSSI).
La CNIL présente l’affaire Cityscoot dans son rapport annuel 2023 : sanction de 125 000 euros, notamment pour une collecte disproportionnée de données de géolocalisation. L’audit doit donc examiner la nécessité et la proportionnalité de la collecte, en complément des mesures de sécurité.
Étape 7 : Vérifier les relations avec les sous-traitants (Art. 28)
Chaque sous-traitant doit faire l’objet d’un contrat conforme à l’Art. 28 RGPD (DPA). Vérifiez l’existence et le contenu de ces contrats : instructions documentées, obligations de sécurité, sous-traitance ultérieure, restitution ou suppression des données en fin de contrat.
Étape 8 : Analyser les transferts hors EEE (Art. 44-49)
Identifiez tous les transferts internationaux de données et vérifiez que chacun repose sur un mécanisme conforme : décision d’adéquation, CCT, BCR ou dérogation Art. 49. Vérifiez l’existence de Transfer Impact Assessments pour les transferts basés sur les CCT.
Étape 9 : Examiner les analyses d’impact (Art. 35)
L’Art. 35 RGPD impose une analyse d’impact (AIPD) pour les traitements présentant un risque élevé. La CNIL a publié une liste de traitements nécessitant une AIPD. Vérifiez que les traitements à risque élevé ont fait l’objet d’une AIPD documentée et que les mesures de mitigation ont été mises en oeuvre.
Étape 10 : Rédiger le rapport et le plan d’action
Le rapport d’audit doit documenter : le périmètre, la méthodologie, les constats (conformité, non-conformité, recommandations), la cotation des risques et le plan d’action avec des échéances et des responsables. Ce rapport constitue une preuve de diligence au titre du principe de responsabilité (Art. 5(2) RGPD).
FAQ
À quelle fréquence faut-il conduire un audit RGPD ?
Définissez la fréquence selon les risques, les changements de traitement et les constats précédents. Les articles 24 et 32 prévoient la révision des mesures et l’évaluation régulière de leur efficacité, sans imposer à tout organisme un audit complet annuel assorti de revues trimestrielles. Documentez le calendrier retenu et ses déclencheurs.
L’audit RGPD est-il obligatoire ?
Le RGPD n’impose pas explicitement un audit périodique. Cependant, le principe de responsabilité (Art. 5(2) RGPD) exige que le responsable de traitement soit en mesure de démontrer sa conformité. L’audit est le moyen le plus efficace de produire cette preuve. En pratique, la CNIL attend des organismes qu’ils puissent justifier de démarches régulières de vérification.
Qui doit conduire l’audit RGPD : interne ou externe ?
Les deux approches sont valides. Un audit interne, piloté par le DPO, offre une connaissance fine de l’organisation. Un audit externe apporte un regard indépendant et une expertise comparative. Choisissez l’équipe selon les compétences, l’indépendance nécessaire et le périmètre. Conservez les critères du choix et les limites du contrôle.
Que vérifier en priorité lors d’un premier audit ?
Trois éléments sont critiques pour un premier audit : (1) l’existence et la complétude du registre des traitements (Art. 30), (2) la vérification des bases légales pour chaque traitement (Art. 6), et (3) la sécurité des données (Art. 32). Adaptez ensuite les priorités aux risques et aux écarts constatés dans le périmètre audité. À lire aussi : un logiciel d’audit RGPD.