Audit RGPD 2026 : checklist 30 points, méthode & coûts

L’essentiel. Un audit RGPD vérifie concrètement si votre organisation respecte ses obligations et vous permet de prouver votre conformité en cas de contrôle. Il repose sur trois piliers : cartographier les traitements, évaluer chaque traitement au regard d’une checklist, puis bâtir un plan d’action priorisé. Comptez de zéro euro (auto-évaluation CNIL) à plusieurs dizaines de milliers d’euros (cabinet spécialisé). Cet article vous donne la checklist des 30 points de contrôle, la méthode complète et les coûts 2026.

L’audit RGPD n’est pas un exercice théorique : c’est l’outil qui permet d’identifier vos risques de sanction, de les corriger et de démontrer votre conformité en cas de contrôle de la CNIL. Or le principe de responsabilité — accountability — inscrit à l’article 5(2) du RGPD impose précisément à chaque organisation de démontrer sa conformité, pas seulement de l’affirmer.

L’enjeu n’a rien d’abstrait en 2026 : la CNIL a prononcé un montant record d’amendes en 2024 (plus de 480 millions d’euros cumulés), et le respect des droits des personnes — au premier rang desquels le droit d’accès — figure parmi ses thématiques de contrôle prioritaires. Autrement dit, la probabilité d’un contrôle sur des points parfaitement anticipables augmente. Que vous réalisiez l’audit en interne, avec un consultant ou via un logiciel, ce guide vous donne la méthodologie complète.

Qu’est-ce qu’un audit RGPD (et ce qu’il n’est pas)

Un audit RGPD est un examen structuré de vos traitements de données personnelles, destiné à mesurer l’écart entre votre situation réelle et les exigences du règlement. Il couvre quatre grands domaines : la gouvernance (registre, DPO, durées de conservation), la relation aux personnes (information, consentement, droits), la chaîne de sous-traitance (contrats, garanties) et la sécurité (mesures techniques, violations, transferts).

Il ne faut pas le confondre avec un audit de sécurité informatique, qui se concentre sur l’infrastructure technique (tests d’intrusion, configuration des serveurs). L’audit RGPD est plus large : il intègre la dimension sécurité mais y ajoute les aspects juridiques et organisationnels. Un pentest impeccable ne vous met pas à l’abri d’une sanction pour absence de base légale ou pour mentions d’information incomplètes.

Checklist : les 30 points de contrôle d’un audit RGPD

Voici la liste concrète des points à vérifier. Elle couvre les exigences les plus fréquemment contrôlées par la CNIL. Reproduisez-la dans un tableur, et attribuez à chaque ligne un statut (conforme / partiel / non conforme / non applicable) assorti d’un commentaire.

Gouvernance et registre des traitements

#	Point de contrôle	Article RGPD
1	Un registre des traitements est tenu à jour	Art. 30
2	Chaque traitement a une finalité définie et documentée	Art. 5(1)(b)
3	Une base légale est identifiée pour chaque traitement	Art. 6
4	Un DPO est désigné (si obligatoire) et déclaré à la CNIL	Art. 37-39
5	Les durées de conservation sont définies et appliquées	Art. 5(1)(e)
6	Une procédure de purge ou d’archivage est en place	Art. 5(1)(e)

Collecte et information des personnes

#	Point de contrôle	Article RGPD
7	Les mentions d’information sont présentes sur chaque point de collecte	Art. 13
8	Les mentions contiennent toutes les informations exigées (identité, finalités, base légale, durée, droits)	Art. 13
9	Les formulaires ne collectent que les données strictement nécessaires (minimisation)	Art. 5(1)©
10	Le consentement, lorsqu’il est la base légale, est recueilli par un acte positif clair (pas de case pré-cochée)	Art. 7
11	Le retrait du consentement est aussi simple que son recueil	Art. 7(3)
12	Les cookies et traceurs sont gérés conformément aux recommandations CNIL	Directive ePrivacy

Droits des personnes

#	Point de contrôle	Article RGPD
13	Une procédure répond aux demandes de droit d’accès	Art. 15
14	Les demandes de rectification, effacement et portabilité sont traitées dans le délai d’un mois	Art. 16-20
15	Le droit d’opposition est respecté, notamment en prospection	Art. 21
16	Les décisions entièrement automatisées sont encadrées et signalées	Art. 22

Sous-traitants

#	Point de contrôle	Article RGPD
17	Tous les sous-traitants traitant des données sont identifiés	Art. 28
18	Un contrat de sous-traitance conforme à l’article 28 est signé avec chacun	Art. 28
19	Les sous-traitants présentent des garanties suffisantes de sécurité	Art. 28(1)
20	Les sous-sous-traitants sont identifiés et autorisés	Art. 28(2)
21	Une clause de confidentialité et une clause de destruction/restitution en fin de contrat sont prévues	Art. 28(3)

Sécurité des données

#	Point de contrôle	Article RGPD
22	Les mesures techniques sont adaptées aux risques (chiffrement, pseudonymisation, contrôle d’accès)	Art. 32
23	Les accès sont limités aux seules personnes habilitées	Art. 32(1)(b)
24	Une procédure de notification de violation est en place (72 h)	Art. 33-34
25	Les sauvegardes et la continuité d’activité sont testées	Art. 32(1)©
26	Les employés sont sensibilisés à la protection des données	Art. 39(1)(a)

Transferts internationaux

#	Point de contrôle	Article RGPD
27	Les transferts hors UE sont identifiés	Art. 44-49
28	Un mécanisme de transfert valide est en place (adéquation, CCT 2021/914, etc.)	Art. 46

Analyses d’impact (AIPD)

#	Point de contrôle	Article RGPD
29	Les traitements à risque élevé sont identifiés	Art. 35
30	Une analyse d’impact (AIPD) est réalisée pour ces traitements	Art. 35

Cette liste constitue le socle d’un audit sérieux. Chaque point peut se décliner en sous-vérifications selon le contexte. Un logiciel RGPD permet d’industrialiser une grande partie de ces vérifications et de générer un rapport d’audit structuré et daté.

Méthodologie : réaliser un audit RGPD en 4 étapes

Étape 1 — Cartographier les traitements

La première étape consiste à recenser l’ensemble des traitements de l’organisation. Sans cette cartographie, impossible de savoir quoi auditer. Deux approches coexistent.

Le recensement manuel part de la liste des applications utilisées (CRM, paie, site web, emailing, vidéosurveillance, badgeuse…), complétée par des entretiens avec les métiers. Pour chaque traitement, on documente : les données collectées et leur sensibilité, la finalité, la base légale, les destinataires et sous-traitants, la durée de conservation et les mesures de sécurité.

Le recensement outillé s’appuie sur des solutions qui pré-remplissent la documentation à partir de l’infrastructure. Quelle que soit la méthode, ce recensement alimente directement votre registre des traitements (art. 30) — livrable central de l’audit.

Étape 2 — Évaluer la conformité de chaque traitement

Chaque traitement est ensuite passé au crible de la checklist ci-dessus, sur quatre axes.

Le dispositif de collecte. Vérifier que les mentions d’information sont présentes, que le consentement est correctement recueilli lorsqu’il constitue la base légale, et que les données sont minimisées. C’est le manquement le plus fréquemment relevé par la CNIL.

Les sous-traitants. L’article 28 impose une série de vérifications pour chaque sous-traitant : garanties de sécurité, clauses contractuelles, confidentialité, sort des données en fin de prestation, encadrement des sous-sous-traitants. Un questionnaire de sélection systématise l’évaluation.

La sécurité des données. Évaluation des mesures techniques (chiffrement, contrôle d’accès), des politiques internes, de la formation des équipes et des procédures de gestion des violations de données, y compris le modèle de notification à adresser à la CNIL sous 72 h.

Les transferts hors UE. Si des données quittent l’Union, vérifier l’existence d’un mécanisme de transfert valide. Attention : le cadre transatlantique (Data Privacy Framework) reste juridiquement scruté — le Tribunal de l’UE l’a validé en septembre 2025, mais un pourvoi est pendant devant la CJUE. Documentez votre analyse de transfert plutôt que de vous reposer sur la seule adéquation.

Étape 3 — Construire le plan d’action

L’audit produit une liste de non-conformités. Chaque écart est classé selon deux critères :

1. le niveau de risque — gravité de la non-conformité et probabilité d’un contrôle ou d’un incident ;
2. l’effort de correction — complexité, coût et délai de mise en œuvre.

Exemples d’actions correctives courantes : mettre à jour les mentions d’information, rédiger ou compléter les contrats de sous-traitance, instaurer des procédures de purge alignées sur un tableau des durées de conservation, corriger les failles de sécurité identifiées, désigner un DPO, ou réaliser les AIPD manquantes.

Le plan d’action doit préciser, pour chaque mesure : le responsable, le calendrier, les ressources et les indicateurs de suivi. Ce document constitue une preuve tangible de votre démarche d’accountability.

Étape 4 — Assurer le suivi continu

La conformité n’est pas un état figé. Les traitements évoluent, de nouveaux sous-traitants apparaissent, la réglementation change (IA Act, évolution du cadre des transferts…). L’audit doit être répété périodiquement — au minimum une fois par an, ou à chaque changement significatif. C’est ce suivi continu qui transforme l’audit ponctuel en système de gestion de la conformité.

Qui pilote l’audit, et comment documenter les preuves ?

Un audit crédible désigne un pilote unique — le DPO lorsqu’il existe, à défaut un responsable conformité ou un consultant — qui coordonne les contributions des métiers (RH, marketing, IT, achats). Chaque direction reste garante de ses propres traitements ; le pilote consolide et arbitre. Surtout, un audit ne vaut que par les preuves qu’il accumule : pour chaque point de contrôle, conservez l’élément justificatif correspondant (capture d’un formulaire, contrat de sous-traitance signé, extrait du registre, procédure écrite, journal de purge). C’est cette base documentaire, et non le rapport final, qui vous permettra de démontrer votre conformité si la CNIL vous adresse un questionnaire ou diligente un contrôle sur place. Un audit sans preuves n’est qu’une déclaration d’intention de plus.

Quel outil utiliser pour un audit RGPD ?

Trois approches, adaptées à des niveaux de maturité différents.

Approche	Avantages	Limites	Pour qui
Audit manuel (checklist + entretiens)	Analyse approfondie, prise en compte du contexte	Chronophage (plusieurs semaines), coûteux si externalisé	DPO interne expérimenté, ou budget consultant
Outil de diagnostic gratuit (auto-évaluation CNIL)	Gratuit, rapide, bonne sensibilisation	Superficiel, déclaratif, pas de suivi	Premier état des lieux, TPE qui démarrent
Logiciel de conformité	Audit outillé, mis à jour en continu, rapport structuré	Coût d’abonnement	PME/ETI qui veulent industrialiser

La CNIL met à disposition un outil d’auto-évaluation et plusieurs guides gratuits : un excellent point de départ pour un premier diagnostic, mais qui reste déclaratif. En pratique, la combinaison la plus efficace associe un outil pour le gros du travail et un regard humain (DPO ou consultant) pour les arbitrages juridiques complexes.

Combien coûte un audit RGPD en 2026 ?

Le coût dépend de la taille de l’organisation, du nombre de traitements et de la méthode.

Approche	Coût indicatif	Périmètre
Auto-évaluation (checklist CNIL)	Gratuit	Diagnostic de surface, déclaratif
Logiciel de conformité	À partir de quelques centaines d’euros/mois	Audit outillé, suivi continu, rapports
Consultant / DPO externalisé	800 à 1 200 € / jour	Audit personnalisé, accompagnement
Cabinet d’audit spécialisé	5 000 à 20 000 € et plus	Audit exhaustif, rapport formel, plan d’action détaillé

Fourchettes indicatives constatées sur le marché français à la date de rédaction (juillet 2026) ; à confirmer selon le périmètre.

Trois points à garder en tête :

• Un consultant junior prendra deux à quatre fois plus de temps qu’un senior sur le même dossier — le tarif journalier ne fait pas tout.
• Une partie des tâches (cartographie, vérification des formulaires, analyse des sous-traitants) peut être largement automatisée, ce qui réduit le coût global.
• Le coût de la non-conformité est autrement plus élevé : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial pour les sanctions les plus lourdes.

Les manquements les plus fréquemment sanctionnés

Concentrez votre audit sur les points où la CNIL sanctionne le plus. Sans surprise, ils recoupent la checklist :

• Information insuffisante : mentions d’information incomplètes ou illisibles, absence d’information sur les durées de conservation ou les transferts.
• Durées de conservation excessives : données conservées bien au-delà du nécessaire, sans purge — un grief récurrent, y compris contre de grands groupes.
• Droits des personnes mal gérés : absence de procédure de réponse aux demandes d’accès ou d’opposition, réponses hors délai. La CNIL a fait du droit d’accès une priorité de contrôle.
• Sécurité insuffisante : mots de passe faibles, absence de chiffrement, défaut de notification de violation.
• Sous-traitance non encadrée : absence de contrat conforme à l’article 28.

Ce qu’il faut retenir

• L’audit RGPD est la seule façon crédible de satisfaire l’obligation d’accountability (art. 5.2) et de se défendre en cas de contrôle.
• Il se déroule en quatre étapes : cartographier, évaluer, planifier, suivre.
• La checklist de 30 points couvre gouvernance, information, droits, sous-traitance, sécurité, transferts et AIPD.
• Les coûts vont de zéro (CNIL) à plusieurs dizaines de milliers d’euros — mais restent sans commune mesure avec le risque de sanction.
• Priorisez les manquements les plus sanctionnés : information, durées de conservation, droits des personnes, sécurité, sous-traitance.

FAQ

Un audit RGPD est-il obligatoire ?

Le RGPD n’impose pas formellement un « audit » à toutes les organisations. En revanche, le principe de responsabilité (art. 5.2) impose de pouvoir démontrer sa conformité à tout moment. En pratique, l’audit est la seule façon crédible de satisfaire cette exigence et de se défendre lors d’un contrôle.

À quelle fréquence faut-il faire un audit RGPD ?

Au minimum une fois par an, et à chaque changement significatif : nouveau traitement, nouveau sous-traitant, changement d’activité, incident de sécurité, évolution réglementaire. Les outils de conformité permettent un suivi continu plutôt qu’un audit ponctuel.

Un audit RGPD gratuit suffit-il ?

Un diagnostic gratuit est un bon point de départ pour repérer les lacunes les plus visibles. Mais il reste déclaratif : il ne vérifie pas la réalité de vos pratiques, ne teste pas vos formulaires et n’évalue pas la conformité de vos contrats de sous-traitance. Pour une conformité réelle et défendable, il faut aller plus loin.

Quelle est la différence entre un audit RGPD et un audit de sécurité informatique ?

L’audit de sécurité porte sur l’infrastructure technique (tests d’intrusion, configuration). L’audit RGPD est plus large : il couvre la sécurité, mais aussi la gouvernance, les bases légales, les contrats, les mentions d’information, les droits des personnes et les transferts. Les deux sont complémentaires.

Peut-on réaliser un audit RGPD en interne ?

Oui, à condition de disposer des compétences juridiques et techniques nécessaires. Un DPO interne peut piloter l’audit. Pour les organisations sans expertise dédiée, un logiciel de conformité ou un consultant externe est recommandé.

Combien de temps dure un audit RGPD ?

Pour une PME, comptez de quelques jours (audit outillé) à plusieurs semaines (audit manuel approfondi avec entretiens). La durée dépend surtout du nombre de traitements et de la disponibilité des interlocuteurs métiers pour la phase de cartographie.