Audit RGPD : étapes, checklist et contrôle de la CNIL

Un audit RGPD est un examen méthodique et documenté qui compare les traitements de données personnelles d'un organisme, et la façon dont ils sont réellement menés, aux exigences du règlement général sur la protection des données (RGPD) et de la loi Informatique et Libertés. Il produit des constats appuyés sur des preuves et des recommandations, que l'organisme transforme en plan d'action.

Il se distingue de la mise en conformité : la mise en conformité construit le dispositif, l'audit vérifie qu'il tient. Il se distingue aussi du contrôle de la CNIL, qui est mené par l'autorité, avec des pouvoirs d'enquête, et peut déboucher sur une sanction.

Pourquoi auditer sa conformité RGPD ?

Le règlement ne prévoit pas d'audit obligatoire à date fixe, mais plusieurs articles supposent qu'on vérifie régulièrement son dispositif :

• l'article 24 demande au responsable du traitement de réexaminer et d'actualiser ses mesures si nécessaire ;
• l'article 32 exige une procédure pour tester, analyser et évaluer régulièrement l'efficacité des mesures de sécurité ;
• l'article 39 charge le DPO de contrôler le respect du règlement et des règles internes, y compris par des audits ;
• l'article 28 oblige le sous-traitant à permettre des audits, y compris des inspections, menés par le responsable du traitement ou un auditeur qu'il mandate.

En pratique, un audit RGPD sert aussi à faire le point avant un événement : prise de fonction d'un nouveau DPO, rachat d'une société, lancement d'un projet sensible, ou annonce par la CNIL d'une thématique de contrôle qui concerne l'organisme.

Aucun agrément n'est exigé pour auditer la conformité RGPD. Le choix de l'auditeur dépend surtout de l'indépendance recherchée et des compétences nécessaires, juridiques et techniques à la fois.

L'audit d'un sous-traitant est un cas particulier : le responsable du traitement l'organise sur le fondement du contrat de l'article 28, souvent sous la forme d'un questionnaire et d'une revue de preuves, parfois d'une visite. Notre article sur les questionnaires de sécurité fournisseurs détaille cette pratique.

Les trois types d'audit

La norme ISO 19011 distingue trois types d'audit selon la relation entre l'auditeur et l'audité. Ils s'appliquent tels quels au RGPD :

• l'audit de première partie, ou audit interne : l'organisme s'audite lui-même, par son audit interne, son DPO ou un cabinet qu'il mandate ;
• l'audit de seconde partie : un organisme audite un partenaire avec lequel il est lié, typiquement le responsable du traitement qui audite son sous-traitant au titre de l'article 28 ;
• l'audit de tierce partie : un organisme indépendant évalue l'audité en vue d'une certification. Le RGPD prévoit des mécanismes de certification approuvés par les autorités (article 42), mais ils restent volontaires et peu nombreux ; il n'existe pas de « certificat de conformité RGPD » général.

Sur le fond, on distingue aussi le volet organisationnel et juridique (registre, bases légales, information, contrats, droits) et le volet technique (habilitations, journaux, chiffrement, sauvegardes, purges), qui recoupe un audit de cybersécurité. Un audit RGPD complet couvre les deux.

Un audit RGPD suit les principes communs à tous les audits de systèmes de management, décrits par la norme ISO 19011 : des objectifs et un périmètre fixés à l'avance, des constats fondés sur des preuves vérifiables, un rapport, puis un suivi. Le chapitre sur l'audit ISO 27001 applique la même logique à la sécurité de l'information.

1. Cadrage : objectifs, périmètre (tout l'organisme, une direction, un traitement ou un prestataire), référentiel (RGPD, loi Informatique et Libertés, référentiels et recommandations de la CNIL, politique interne), auditeurs, calendrier et personnes à rencontrer.
2. Revue documentaire : registre des traitements, analyses d'impact, mentions d'information, contrats de sous-traitance, procédures d'exercice des droits et de gestion des violations, politique de sécurité, rapports précédents.
3. Vérifications sur le terrain : entretiens avec les métiers, le DPO, le RSSI et la direction des systèmes d'information ; échantillons (demandes d'exercice des droits, contrats, fiches du registre) ; constats techniques (formulaires et cookies d'un site, comptes et habilitations, journaux, sauvegardes, purges).
4. Constats et cotation : pour chaque point de contrôle, conforme, écart mineur ou écart majeur, avec la preuve qui fonde la cote et le risque pour les personnes.
5. Restitution et rapport : présentation des constats aux personnes auditées, qui peuvent les compléter, puis rapport final remis à la direction.
6. Plan d'action et suivi : chaque écart reçoit une action, un responsable et une échéance ; l'audit suivant vérifie qu'elles sont closes.

Les points de contrôle reprennent les étapes de la mise en conformité. Le tableau ci-dessous donne, pour chaque thème, la question à se poser et les preuves à examiner.

Pour la sécurité, la liste de mesures du guide de la sécurité des données personnelles de la CNIL se prête bien à un usage de grille d'audit : chaque fiche distingue les précautions élémentaires des mesures plus avancées.

Il n'existe pas de tarif réglementé ni de durée type : un audit RGPD se dimensionne comme tout audit, à partir de son cadrage. Les facteurs qui font varier la charge sont toujours les mêmes :

• le périmètre : un traitement, une direction ou l'organisme entier, avec le nombre de sites et de filiales ;
• le nombre et la sensibilité des traitements : données de santé, données de mineurs, surveillance des salariés, profilage ;
• la maturité de la documentation : un registre à jour et des contrats rassemblés réduisent la revue documentaire ;
• la profondeur technique : simple revue des mesures de sécurité, ou vérifications dans les systèmes, voire tests d'intrusion ;
• le choix de l'auditeur : un audit interne mobilise surtout du temps des équipes, un audit externe s'ajoute au budget sous forme de jours de prestation.

Pour maîtriser la charge, le plus efficace est de découper : auditer chaque année quelques traitements à risque et les principaux sous-traitants, plutôt que tout l'organisme d'un coup tous les cinq ans. Une cartographie des risques aide à choisir les traitements à auditer en priorité.

Un audit RGPD utile se termine par deux documents :

• un rapport d'audit : objectifs, périmètre et référentiel, méthode et personnes rencontrées, constats appuyés sur des preuves, cotation des écarts et recommandations, avec une synthèse lisible par la direction ;
• un plan d'action priorisé selon le risque pour les personnes, avec pour chaque action un responsable, une échéance et la preuve attendue de sa réalisation.

Les suites comptent plus que le rapport. Le plan d'action est présenté à la direction, qui arbitre les moyens ; le DPO suit son avancement et le registre est mis à jour au fil des corrections. Le rapport et le suivi des actions rejoignent la documentation de conformité : en cas de contrôle, ils montrent que l'organisme vérifie lui-même son dispositif et corrige ce qu'il trouve. Le chapitre registre des traitements rappelle comment tenir le registre à jour.

Le RGPD donne aux autorités de contrôle le pouvoir de mener des enquêtes, notamment sous forme d'audits sur la protection des données (article 58), et oblige les organismes à coopérer avec elles (article 31). En France, ces contrôles sont menés par la CNIL.

Pourquoi la CNIL contrôle-t-elle un organisme ?

Un contrôle peut faire suite à une plainte, à un signalement, à l'actualité (une violation de données médiatisée, par exemple) ou à une décision de la CNIL de se saisir d'un sujet. Une partie des contrôles suit aussi des thématiques prioritaires annoncées chaque année : pour 2026, la CNIL a retenu le recrutement, le répertoire électoral unique et les fédérations sportives. Dans son rapport annuel 2025, elle indique aussi qu'elle consacrera en 2026 la moitié de ses contrôles et procédures répressives à la sécurité des données.

Les quatre formes de contrôle

Sauf pour le contrôle sur pièces, les agents dressent un procès-verbal de leurs constatations. Lors d'un contrôle sur place, le représentant de l'organisme peut y ajouter ses observations, et peut encore en adresser après le contrôle. Faire obstacle à l'action de la CNIL (refuser l'accès sans droit, dissimuler des documents, fournir des informations inexactes) constitue un délit d'entrave, puni d'un an d'emprisonnement et de 15 000 euros d'amende.

Les suites d'un contrôle

Si aucun manquement n'est relevé, la procédure est clôturée par un courrier. En cas de manquements, la présidence de la CNIL peut adresser une mise en demeure de se mettre en conformité dans un délai fixé, ou engager une procédure de sanction devant la formation restreinte. Pour les dossiers simples, une procédure simplifiée permet de prononcer notamment une amende d'au plus 20 000 euros, sans publicité. Dans la procédure ordinaire, les amendes suivent les plafonds de l'article 83 du RGPD et la sanction peut être rendue publique.

En 2025, la CNIL a mené 323 contrôles, dont 165 sur place et 125 en ligne, adressé 143 mises en demeure et prononcé 83 sanctions. La cybersécurité représentait environ un tiers de ces contrôles. Notre article sur la cyberattaque d'un hôpital sanctionnée par la CNIL montre comment des failles de sécurité se traduisent en manquements.