Un audit RGPD mesure l’écart entre vos pratiques réelles et les exigences du règlement général sur la protection des données (RGPD). Ensuite, il classe les corrections selon le risque pour les personnes.
Le besoin vient du texte lui-même. En effet, l’article 5, paragraphe 2, oblige le responsable du traitement à être « en mesure de démontrer » le respect des principes. Sans état des lieux daté, cette démonstration repose sur des déclarations.
DPO PARTAGE exerce la fonction de délégué à la protection des données (DPO) à temps partagé depuis 2018. Nous intervenons partout en France, à distance et sur site. Nous accompagnons aussi bien des entreprises et des CSE que des collectivités, des établissements de santé et médico-sociaux et des services de prévention et de santé au travail (SPST). Cette page décrit notre audit de conformité RGPD, ce que vous recevez et sa place à côté de l’Audit Flash gratuit et de l’auto-audit.
Ce qu’un audit RGPD vérifie concrètement
L’audit confronte vos documents à la réalité du terrain. Par exemple, un registre peut décrire un traitement avec soin et ignorer le fichier tableur que le service des ressources humaines ouvre chaque matin.
Le périmètre suit donc le texte. D’abord, l’auditeur vérifie le registre des activités de traitement prévu par l’article 30, les bases légales, les durées de conservation et l’information des personnes. Ensuite, il contrôle la réponse aux demandes de droits, l’encadrement des sous-traitants, la gestion des violations et les analyses d’impact (AIPD). Enfin, il examine la sécurité. L’article 32 exige en effet une procédure visant à « tester, à analyser et à évaluer régulièrement l’efficacité » des mesures techniques et organisationnelles. Le guide de la sécurité des données personnelles de la CNIL sert de grille de lecture pour ce volet.
Un audit ne vaut pas certification. En effet, le rapport décrit un état à une date donnée. Sa valeur tient donc à la preuve : il montre qu’un contrôle a eu lieu, ce qu’il a trouvé et ce que la direction a décidé ensuite. Lors d’un contrôle de la Commission nationale de l’informatique et des libertés (CNIL), cette trace compte.
Demandez donc à tout auditeur la liste des points contrôlés avant de signer.
Pour qui : les organismes que nous auditons
Tout organisme qui traite des données personnelles peut faire auditer sa conformité. Nos missions d’audit couvrent les secteurs où nous exerçons déjà comme DPO.
Services de prévention et de santé au travail
Plus de 40 SPST ont désigné DPO PARTAGE comme délégué à la protection des données. Dans ces services, l’audit porte d’abord sur le dossier médical en santé au travail (DMST). Il vérifie ainsi l’analyse d’impact, les habilitations dans le logiciel métier, l’information des travailleurs, le registre et le contrat avec l’éditeur. De plus, le référentiel AFNOR SPEC 2217 de certification des SPST comporte des exigences de protection des données. Notre offre de DPO pour les SPST détaille la méthode.
Santé, collectivités, CSE et entreprises
Les établissements de santé et médico-sociaux traitent des données de santé, une catégorie particulière au sens de l’article 9 du RGPD. L’audit insiste donc sur les analyses d’impact et le contrôle des accès.
Pour une mairie ou une intercommunalité, l’audit vérifie le registre, les mentions d’information des formulaires et du site, les procédures et les contrats avec les prestataires. Notre page DPO des collectivités précise cet accompagnement. Pour un CSE, l’audit porte sur les données des salariés, les activités sociales et les prestataires. Enfin, une entreprise ou une PME reçoit une démarche à la taille de son activité : registre, contrats et sécurité.
Indiquez donc votre secteur dès la demande : il oriente le choix du DPO qui mène l’audit.
Comment se déroule un audit RGPD chez DPO PARTAGE
L’audit RGPD suit une procédure fixe. Le DPO l’adapte ensuite au périmètre de chaque organisme.
- Audit Flash. Un premier échange gratuit mesure où vous en êtes et repère les sujets à approfondir.
- Cadrage. Nous fixons avec vous le périmètre, l’organisme entier ou un service, puis les objectifs, le calendrier et les interlocuteurs.
- Entretiens et documents. Le DPO rencontre les responsables de service et examine le registre, la politique de confidentialité, les contrats de sous-traitance et les procédures internes.
- Vérifications. Il teste ensuite les mécanismes, par exemple le parcours d’une demande d’accès ou les mesures de sécurité déclarées.
- Analyse des écarts. Ensuite, chaque écart reçoit un niveau de risque, selon sa gravité pour les personnes et sa probabilité.
- Restitution. Enfin, le DPO présente les constats et le plan d’actions priorisé à la direction.
De plus, les entretiens comptent autant que les documents. En pratique, les traitements oubliés échappent souvent au registre : vidéoprotection, badges d’accès, géolocalisation des véhicules ou fichier tableur isolé. C’est pourquoi la méthode croise les deux sources.
Sur site ou à distance, partout en France
Nous intervenons sur tout le territoire, à distance comme sur site. Choisissez la visite sur site quand l’audit doit vérifier des archives papier ou le contrôle d’accès aux locaux. Pour une revue documentaire, en revanche, des entretiens à distance suffisent.
Ce que vous recevez à l’issue de l’audit de conformité
D’abord, vous recevez le rapport d’audit. Il présente les constats de façon factuelle et mentionne aussi les points conformes. Pour chaque écart, il formule une recommandation avec un niveau de priorité.
Le plan d’actions traduit ensuite ces recommandations en tâches. Ainsi, chaque action reçoit un responsable et un délai. Les actions critiques passent d’abord : un traitement sans base légale ou une faille de sécurité précède une mention d’information à reformuler.
Le suivi du plan d’actions dans DPO Suite
Nous suivons ce plan dans DPO Suite, notre application de conformité. Elle réunit le registre, les violations, les demandes de droits, les sous-traitants, les AIPD et les audits AI Act et NIS2. L’AIPD y est guidée par l’intelligence artificielle, et le DPO valide chaque étape. Ainsi, une action terminée laisse une trace datée, utile le jour d’un contrôle.
Exigez un plan d’actions daté. En effet, sans calendrier, un rapport finit dans un tiroir.
Audit RGPD, Audit Flash ou auto-audit : quelle formule choisir
Ces formules ne répondent pas à la même question. L’auto-audit dit ce que vous savez déjà. L’Audit Flash donne un premier regard extérieur. Enfin, l’audit complet documente les écarts et leur traitement.
| Formule | Qui la mène | Ce qui est examiné | Ce que vous obtenez |
|---|---|---|---|
| Auto-audit | Vous-même, avec une grille de questions | Les thèmes de la grille, selon vos réponses | Une première idée de vos écarts, sans regard extérieur |
| Audit Flash | Un DPO de DPO PARTAGE, gratuitement et sans engagement | Processus de traitement, mesures de sécurité, sensibilisation du personnel | Vos points forts, vos points faibles et des recommandations pratiques |
| Audit RGPD | Un DPO, sur un périmètre cadré avec vous | Registre, bases légales, durées, droits, sous-traitants, violations, AIPD, sécurité | Un rapport d’audit et un plan d’actions priorisé |
L’Audit Flash est gratuit et sans engagement. Selon notre page de présentation, il dure de 30 à 60 minutes, sur site ou à distance. Vous transmettez d’abord des informations de base sur vos traitements, puis un DPO examine vos pratiques clés.
L’auto-audit reste utile pour préparer cet échange. Notre méthode pour réaliser son premier auto-audit RGPD propose une grille par thème. Toutefois, vous notez alors votre propre travail, et personne ne vérifie les réponses.
Commencez par l’Audit Flash si vous ne savez pas quel périmètre auditer.
Quand lancer un audit de conformité RGPD
Le RGPD ne fixe aucune fréquence d’audit. L’article 32 demande d’évaluer « régulièrement » l’efficacité des mesures de sécurité. De son côté, l’article 24 prévoit de réexaminer et d’actualiser les mesures « si nécessaire ». La bonne date dépend donc des événements.
Nous recommandons un audit à la désignation d’un DPO, à l’arrivée d’un nouveau logiciel métier ou d’un nouvel hébergeur, après une violation de données ou une plainte. La préparation d’une certification sectorielle, comme l’AFNOR SPEC 2217 pour les SPST, justifie aussi un audit. Enfin, la direction peut le demander à tout moment.
Un incident ne doit pas servir de seul déclencheur. Après une violation, l’audit arrive tard : il explique la faille au lieu de la prévenir.
Planifiez donc le prochain audit avant le prochain changement d’outil.
Comment choisir l’auditeur de votre conformité RGPD
La CNIL a adopté deux référentiels pour la certification des compétences du DPO. Le premier liste les 17 compétences et savoir-faire attendus. Le second fixe les critères d’agrément des organismes certificateurs. En effet, la CNIL ne certifie pas elle-même les personnes : des organismes qu’elle agrée délivrent la certification, valable trois ans.
Cette certification reste toutefois volontaire. Un DPO peut exercer et être désigné auprès de la CNIL sans elle. Elle donne néanmoins un repère vérifiable sur la personne qui mène votre audit.
Vérifiez-la par conséquent vous-même. D’abord, demandez le nom de l’organisme certificateur. Ensuite, cherchez-le dans la liste des organismes qui délivrent la certification, publiée sur cnil.fr. Attention : tout organisme peut certifier des DPO sur son propre référentiel, non approuvé par la CNIL. Seul un organisme agréé applique le référentiel de la CNIL.
Posez ensuite des questions de méthode. L’auditeur connaît-il votre secteur ? Son rapport classe-t-il les écarts par niveau de risque ? Qui suit le plan d’actions après la restitution ?
Votre DPO peut aussi mener l’audit. L’article 39 du RGPD range le contrôle du respect du règlement, « et les audits s’y rapportant », parmi ses missions. Faites figurer ces réponses dans la proposition écrite.
Après l’audit RGPD : le suivi par un DPO à temps partagé
Un plan d’actions avance seulement quand une personne le pilote. Dans notre mission de DPO à temps partagé, l’audit sert de point de départ. Viennent ensuite la désignation auprès de la CNIL, la mise en conformité par ordre de priorité, puis le suivi dans la durée.
En pratique, le DPO tient le registre à jour et contrôle les sous-traitants. Il répond aux demandes des personnes dans les délais et gère les violations de données, notification à la CNIL comprise. De plus, vos équipes suivent des sensibilisations sur Focus RGPD, notre plateforme de 400 vidéos. Le DPO s’appuie aussi sur le réseau DPO FRANCE, qui réunit des DPO indépendants par secteur.
Chaque année, un rapport avec indicateurs de conformité mesure le chemin parcouru. Comparez-le aux écarts du premier audit : vous voyez ce qui reste ouvert. Le détail de la mission figure sur notre page DPO à temps partagé.
Sources officielles
Le texte des articles 5, 9, 24, 28, 30, 32 et 39 cités dans cette page provient du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (RGPD) sur EUR-Lex.
Les référentiels, le caractère volontaire et la durée de validité de la certification sont décrits par la CNIL dans La certification des compétences du délégué à la protection des données.
Les organismes agréés figurent dans la Liste des organismes qui délivrent la certification de la CNIL.
Le registre, l’AIPD et les autres outils de documentation sont présentés par la CNIL dans Les outils de la conformité.
Les mesures de sécurité de référence figurent dans le Guide de la sécurité des données personnelles de la CNIL.
Questions fréquentes
Qu’est-ce qu’un audit RGPD ?
Un audit RGPD compare les pratiques d’un organisme aux exigences du règlement général sur la protection des données, puis classe les écarts selon le risque. Il couvre le registre, les bases légales, les durées de conservation, l’information et les droits des personnes, les sous-traitants, les violations, les AIPD et la sécurité.
Un audit RGPD est-il obligatoire ?
Aucun article du RGPD n’impose un audit sous ce nom à une date fixe. Toutefois, l’article 5 oblige le responsable du traitement à démontrer sa conformité, et l’article 32 exige d’évaluer régulièrement l’efficacité des mesures de sécurité. Un audit fournit cette preuve.
Quelle différence entre l’Audit Flash et un audit RGPD complet ?
L’Audit Flash est un premier échange gratuit et sans engagement avec un DPO, de 30 à 60 minutes selon notre page de présentation. L’audit complet suit un périmètre cadré, avec entretiens, revue des documents et tests. Il aboutit à un rapport et à un plan d’actions priorisé.
Qui peut réaliser un audit de conformité RGPD ?
Un DPO, interne ou externe, ou un consultant spécialisé peut réaliser un audit de conformité RGPD. L’article 39 du RGPD range le contrôle du respect du règlement, et les audits s’y rapportant, parmi les missions du DPO. Vérifiez l’expérience sectorielle de l’auditeur et sa certification éventuelle.
Comment vérifier la certification d’un DPO par la CNIL ?
Demandez le nom de l’organisme certificateur, puis cherchez-le dans la liste des organismes agréés publiée sur cnil.fr. La CNIL ne délivre pas elle-même la certification. Un organisme peut aussi certifier sur son propre référentiel, non approuvé par la CNIL.
À quelle fréquence faire un audit RGPD ?
Le RGPD ne fixe aucune fréquence. Nous recommandons un audit à chaque changement important : désignation d’un DPO, nouveau logiciel métier ou hébergeur, violation de données, préparation d’une certification sectorielle.
DPO PARTAGE réalise-t-il des audits RGPD partout en France ?
Oui, DPO PARTAGE intervient partout en France, à distance et sur site. Nous accompagnons notamment des SPST, des établissements de santé et médico-sociaux, des collectivités, des CSE et des entreprises.