Audit RGPD gratuit : 40 vérifications utiles

Un auto-audit gratuit peut fournir un état des lieux utile si vous vérifiez des faits et conservez les preuves. Sa valeur ne dépend pas de son prix, mais de son périmètre, de la méthode et de la compétence de ceux qui l’exécutent. La grille ci-dessous aide à préparer un premier examen ; elle ne certifie pas la conformité.

Définir le périmètre avant de répondre

Indiquez les entités, traitements, outils et périodes examinés. Désignez la personne qui collecte les éléments et celle qui valide les conclusions. Si une partie du système n’a pas été examinée, inscrivez-la comme telle.

Pour chaque point, utilisez quatre réponses : vérifié, écart constaté, non applicable avec justification, à vérifier. Une réponse inconnue n’est pas une conformité ; une obligation non applicable n’est pas un échec. L’Art. 5(2) exige de démontrer le respect des principes, tandis que l’Art. 24 prévoit des mesures adaptées et leur réexamen. Il n’impose pas à toute organisation un audit portant un nom ou un format unique. Sources : chapitre II et chapitre IV du RGPD.

La grille des 40 vérifications

Les questions mélangent des obligations et des contrôles pratiques destinés à en vérifier l’application. Elles ne constituent pas quarante obligations autonomes et universelles.

Gouvernance et périmètre

1. Les entités et leurs rôles sont-ils identifiés pour les traitements examinés ?
2. Les décisions et actions de conformité ont-elles des responsables clairement désignés ?
3. Le caractère obligatoire du DPO a-t-il été examiné selon l’Art. 37(1) ?
4. Les personnes qui manipulent les données connaissent-elles les consignes nécessaires à leur fonction ?

Inventaire et registre

5. Les traitements réels sont-ils recensés, y compris fichiers locaux et papier ?
6. L’obligation de registre et l’éventuelle dérogation de l’Art. 30(5) ont-elles été examinées ?
7. Le registre comporte-t-il les rubriques applicables au rôle de responsable ou de sous-traitant ?
8. Un changement récent de finalité, d’outil ou de destinataire a-t-il été répercuté ?

Licéité et données particulières

9. Chaque finalité est-elle déterminée et justifiée ?
10. La base légale retenue correspond-elle effectivement à l’opération ?
11. Les conditions de cette base sont-elles démontrables, notamment pour le consentement ou l’intérêt légitime ?
12. Les données des Art. 9 et 10 disposent-elles, le cas échéant, du fondement supplémentaire requis ?

Minimisation et conservation

13. Les champs et pièces demandés sont-ils nécessaires ?
14. Les durées et leurs points de départ sont-ils justifiés ?
15. L’usage courant est-il distingué des archives encore nécessaires ?
16. Une échéance réelle de suppression ou d’anonymisation a-t-elle été vérifiée dans les outils et copies concernés ?

Information

17. Les personnes reçoivent-elles les informations des Art. 13 ou 14 applicables ?
18. Le moment de l’information correspond-il à la collecte directe ou indirecte ?
19. Les notices sont-elles claires, accessibles et cohérentes avec les usages ?
20. Les coordonnées et modalités d’exercice des droits permettent-elles un contact effectif ?

Droits des personnes

21. Les demandes sont-elles reçues, attribuées et suivies dans les délais ?
22. L’identité est-elle vérifiée seulement dans la mesure nécessaire ?
23. La recherche des données couvre-t-elle les systèmes et prestataires pertinents ?
24. Les conditions et exceptions propres au droit demandé sont-elles examinées avant la réponse ?

Les délais, informations et droits doivent être appréciés selon les dispositions du chapitre III du RGPD. Une procédure qui promet tous les droits sans leurs conditions peut être aussi trompeuse qu’une absence de procédure.

Sécurité

25. Les habilitations correspondent-elles aux fonctions et aux départs ?
26. L’authentification et la protection des accès sont-elles adaptées aux risques ?
27. La sauvegarde, la restauration et la protection des échanges sont-elles organisées selon le besoin ?
28. L’efficacité des mesures fait-elle l’objet de vérifications et de corrections documentées ?

Sous-traitance

29. Les prestataires traitant des données pour votre compte sont-ils identifiés ?
30. Leurs garanties ont-elles été évaluées avant et pendant la prestation selon le besoin ?
31. Le contrat et les instructions couvrent-ils les exigences de l’Art. 28(3) ?
32. Les sous-traitants ultérieurs, l’assistance et la fin de prestation sont-ils encadrés ?

Transferts

33. Les transferts hors EEE, y compris certains accès distants, sont-ils recensés ?
34. Le mécanisme juridique retenu couvre-t-il le destinataire et le flux réels ?
35. Lorsque nécessaire, l’effectivité des garanties et les mesures supplémentaires ont-elles été examinées ?
36. Les changements de destinataire ou de pays déclenchent-ils une nouvelle vérification ?

Ces contrôles se rattachent au chapitre V du RGPD. Une mention générique « fournisseur conforme » ne répond pas à ces questions.

Violations, risques et suivi

37. Les incidents sont-ils qualifiés et les violations documentées, y compris lorsqu’elles ne sont pas notifiées ?
38. Les critères de notification à l’autorité et d’information des personnes sont-ils distingués ?
39. L’obligation d’AIPD a-t-elle été examinée et l’analyse réalisée avant le traitement lorsqu’elle est requise ?
40. Les écarts ont-ils une action, un responsable, une échéance et une vérification de clôture ?

Mener l’auto-audit en cinq étapes

Une grille de questions ne produit rien si elle est remplie en une heure par une seule personne. Voici une méthode réaliste pour une PME ou un service de taille moyenne.

1. Cadrer : choisissez un périmètre que vous pouvez réellement examiner (une entité, un service, un parcours client) plutôt que « toute l’entreprise ». Un périmètre étroit mais vérifié vaut mieux qu’un périmètre large rempli de « à vérifier ».
2. Collecter les faits : demandez les documents existants (registre, notices, contrats prestataires, procédure de demande de droits, journal des incidents) avant d’interroger les équipes. Écart entre document et pratique = premier constat.
3. Vérifier par échantillon : pour chaque bloc de la grille, testez un cas concret (un départ récent, un formulaire en ligne, un prestataire, une demande d’accès). Le contrôle par échantillon est l’esprit de l’Art. 32(1)(d), qui demande une procédure visant à tester, analyser et évaluer régulièrement l’efficacité des mesures de sécurité.
4. Qualifier chaque écart : obligation légale non respectée, bonne pratique non appliquée, ou simple absence de preuve. Ces trois situations ne se traitent pas avec la même urgence.
5. Planifier et rejouer : chaque écart reçoit une action, un responsable et une échéance (point 40 de la grille). Réexaminez le périmètre à intervalle régulier et après tout changement important d’outil ou de prestataire.

Par où commencer quand tout semble prioritaire

Tous les points n’ont pas le même poids. Commencez par ce qui expose le plus les personnes concernées et ce qu’une autorité de contrôle examine en premier : les violations de données non documentées, les accès non maîtrisés, l’absence d’information, les prestataires sans contrat conforme à l’Art. 28(3) et les durées de conservation jamais appliquées. Les sanctions prononcées par la CNIL portent régulièrement sur la sécurité (Art. 32), l’information (Art. 13 et 14) et la conservation (Art. 5(1)(e)) ; voir les sanctions RGPD à connaître.

Un barème utile pour classer vos écarts :

Exemple hypothétique : une PME de services de 40 personnes

Prenons une entreprise fictive de conseil en recrutement. Son auto-audit, mené sur le seul périmètre « candidatures », donne les résultats suivants : le registre mentionne bien le traitement, mais la durée de conservation des CV (« 2 ans ») n’est appliquée par aucun outil ; la notice figure sur le site mais pas dans le formulaire de dépôt par e-mail ; le prestataire de logiciel de recrutement a signé un contrat sans clause sur les sous-traitants ultérieurs. L’équipe note trois écarts, attribue chacun à un responsable et choisit comme preuve de clôture un export montrant la purge effective d’un échantillon de dossiers échus. Le point 13 de la grille (minimisation) révèle en outre que le formulaire demande une date de naissance complète, sans nécessité établie. Cet exemple est illustratif : il ne décrit pas un dossier réel.

Erreurs fréquentes dans un auto-audit gratuit

• Répondre « oui » par défaut : une réponse sans preuve doit rester « à vérifier ».
• Confondre document et pratique : une politique de conservation existe, mais les sauvegardes ou les outils métier conservent les données plus longtemps.
• Oublier les sous-traitants et accès distants : un accès depuis un pays tiers peut constituer un transfert à examiner (chapitre V).
• Chercher un score : un pourcentage rassure sans démontrer. L’Art. 5(2) impose de pouvoir démontrer, pas de présenter une note.
• Ne pas rejouer l’audit : l’Art. 24(1) prévoit un réexamen et une mise à jour des mesures, au fil des changements.

Et en cas de contrôle de la CNIL ?

Un auto-audit n’est pas une protection, mais il organise vos pièces. Lors d’une procédure, l’autorité apprécie notamment le degré de responsabilité de l’organisme compte tenu des mesures techniques et organisationnelles mises en œuvre, les mesures prises pour atténuer le dommage et le degré de coopération (Art. 83(2)(c), (d) et (f)). Pouvoir produire rapidement un registre à jour, un journal des violations (Art. 33(5)) et un plan d’actions daté facilite cet échange. Voir aussi l’article 83 du RGPD.

Associer une preuve à chaque conclusion

Un « oui » doit renvoyer à un élément vérifiable : contrat applicable, copie datée d’une notice, extrait de paramètres, résultat de contrôle ou dossier de demande de droit. La preuve doit être proportionnée ; évitez de copier inutilement des dossiers personnels dans le dossier d’audit.

Par exemple, pour la conservation, choisissez un dossier arrivé à échéance et suivez son sort. Pour les habilitations, vérifiez un départ récent. Pour les notices, comparez un formulaire réellement utilisé à l’information reçue. L’audit RGPD complet peut élargir cet examen selon les risques identifiés.

Choisir un outil ou une prestation sans se fier au score

Un questionnaire déclaratif, un examen de pièces et un contrôle technique n’observent pas les mêmes choses. Demandez ce qui est effectivement vérifié, les exclusions et le livrable remis. Le prix ne garantit ni profondeur, ni expertise, ni suivi.

Un outil gratuit peut faciliter le recensement ; une prestation payante peut rester très limitée. Un score élevé calculé sur des réponses déclarées ne permet pas de conclure que les logiciels appliquent ces réponses. Préférez une liste d’écarts justifiés à un pourcentage sans méthode explicite.

Transformer les constats en décisions

Le registre rempli, la procédure de notification des violations, la politique de conservation et le questionnaire fournisseur servent de supports selon les écarts. Un risque urgent peut demander une mesure immédiate sans attendre la fin du diagnostic.

Ce qu’il faut retenir

• Qualifiez le périmètre et les points non examinés.
• Distinguez obligation applicable, contrôle pratique et bonne pratique d’organisation.
• Recherchez des preuves au-delà des déclarations.
• Classez les écarts par urgence : exposition immédiate d’abord, amélioration de preuve ensuite.
• Fermez les écarts après vérification, puis réexaminez les changements.

FAQ

Un auto-audit gratuit peut-il être sérieux ?

Oui. Sa qualité dépend de la méthode, des compétences et des vérifications réellement menées. La gratuité ou le paiement ne permet pas, seul, de juger sa valeur.

Faut-il obtenir quarante réponses positives ?

Non. Certains points peuvent être non applicables avec une justification. D’autres peuvent rester à vérifier ; ils doivent alors être visibles dans les conclusions.

Le résultat protège-t-il automatiquement contre une sanction ?

Non. L’audit peut contribuer à démontrer le travail réalisé, mais ne supprime pas les manquements constatés. Les corrections doivent être mises en œuvre.

Par quoi commencer si je n’ai jamais fait d’audit ?

Choisissez un seul traitement à enjeu (candidatures, clients, vidéosurveillance), parcourez les blocs de la grille et vérifiez un exemple concret par bloc. Vous obtenez ainsi un premier plan d’actions sans attendre un audit complet.

À quelle fréquence refaire l’auto-audit ?

Le RGPD n’impose pas de périodicité unique : l’Art. 24(1) demande de réexaminer et d’actualiser les mesures. En pratique, rejouez la grille chaque année et après tout changement important (nouvel outil, nouveau prestataire, nouvelle finalité).

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.