Le Règlement général sur la protection des données (RGPD) est venu renforcer la législation encadrant les données à caractère personnel. Désormais, un défaut de conformité peut coûter très cher aux organismes.
En effet, les organismes s'exposent à des sanctions de l'autorité de contrôle, la CNIL en France, mais surtout à une violation de données personnelles. Or, une violation de données personnelles peut avoir des conséquences considérables pour les organismes et pour les personnes concernées.
Où en êtes-vous de votre conformité RGPD ? Pour évaluer le niveau de conformité de l'organisme et connaître les actions à mettre en place, il est indispensable de commencer par mener un audit RGPD.
Ainsi, la réalisation de cet audit RGPD constitue la première étape de tout projet de mise en conformité.
L'audit RGPD s'inscrit dans une démarche plus large : pour le replacer dans son contexte, nous avons rédigé un livre blanc sur les 10 étapes pour se mettre en conformité avec le RGPD.
Audit RGPD : qu'est-ce que c'est ?
Audit RGPD : une définition
Un audit RGPD consiste en un contrôle de l'ensemble des processus et des mesures de conformité d'un organisme au regard du RGPD. Il s'agit d'une vérification complète des pratiques de traitement des données personnelles d'un organisme.
L'audit RGPD a pour objectif de dresser un état des lieux exhaustif des pratiques de traitement des données personnelles d'un organisme.
À noter que le RGPD lui-même n'impose pas formellement de réaliser un audit RGPD. Cependant, la CNIL recommande fortement d'effectuer cet audit dès le lancement d'un projet de conformité.
Audit RGPD : à quoi ça sert ?
L'audit de conformité au RGPD sert notamment à :
- Établir un bilan de conformité RGPD à date, qui présente les non-conformités détectées lors de l'audit ;
- Évaluer les risques en matière de protection des données et les traiter ;
- Définir les priorités de mise en conformité et construire un plan d'action adapté.
En somme, l'audit RGPD est indispensable pour lancer et piloter un programme de mise en conformité.
Audit RGPD : qui est concerné ?
Tout organisme entrant dans le champ d'application du RGPD est incité à procéder à un audit RGPD. Il s'agit donc de toute entité (entreprise, association, administration...) qui traite des données personnelles de personnes se trouvant dans l'UE, quel que soit le lieu d'établissement de l'organisme.
Qui réalise un audit RGPD ?
L'audit peut être réalisé par le DPO (s'il en dispose), par une équipe interne dédiée, ou par un prestataire externe spécialisé en conformité RGPD. Le choix dépend des ressources et de la maturité de l'organisme. Nous détaillerons ce point plus bas dans cet article.
5 étapes pour réaliser un audit RGPD
1- Audit de l'ensemble des outils de l'organisme
La première étape consiste à auditer l'ensemble des outils utilisés par l'organisme. En pratique, cela consiste à recenser et analyser :
✅ L'ensemble des systèmes d'information et des flux de données
Qui sont les destinataires des données de l'organisme ? Vers quels tiers les données sont-elles transférées ? Dans quels pays les données transitent-elles ? Y a-t-il des transferts hors UE ? Si oui, quelles sont les garanties mises en place ?
✅ Les types de données se trouvant dans ces outils
Quelles catégories de données personnelles sont traitées ? Y a-t-il des données particulièrement sensibles (santé, convictions, données judiciaires...) qui appellent des mesures renforcées ?
La liste des sous-traitants doit également être auditée : sous-traitants IA compris (voir section suivante).
2- Audit des mécanismes de collecte des données personnelles
La deuxième étape consiste à auditer tous les points d'entrée des données personnelles dans l'organisme. Pour chacun de ces points d'entrée, l'audit doit vérifier que les personnes concernées ont bien été informées, conformément aux exigences du RGPD (article 13 du RGPD pour les données collectées directement auprès des personnes).
En pratique, l'audit RGPD doit vérifier les points suivants :
- La validité des bases légales utilisées (consentement, contrat, intérêt légitime, obligation légale, etc.) pour chaque traitement ;
- La validité des mentions d'information (formulaires, mentions légales, politique de confidentialité, bannière cookies...) ;
- La validité du recueil du consentement, s'il est utilisé comme base légale ;
- La qualité des procédures de gestion des droits des personnes (accès, rectification, effacement, opposition...).
3- Audit des traitements de données personnelles
La troisième étape est l'audit des traitements de données personnelles. L'objectif est de construire un registre des traitements de données personnelles, ou de mettre à jour l'existant.
Le registre des traitements est le document central de la conformité RGPD d'un organisme (article 30 du RGPD). Il recense l'ensemble des traitements de données mis en oeuvre par l'organisme.
Pour chaque traitement, le registre indique notamment la finalité du traitement, les catégories de données traitées, les destinataires des données, les durées de conservation des données, et les mesures de sécurité mises en oeuvre.
La construction d'un registre des traitements exhaustif est souvent la tâche la plus longue de l'audit RGPD.
Certains organismes utilisent pour cela des outils dédiés, comme Leto, qui permet notamment de générer automatiquement des traitements depuis un catalogue de modèles, d'utiliser l'IA pour compléter les traitements, et de générer automatiquement le registre des traitements.
4- Audit de la sécurité des données
La quatrième étape consiste à auditer les mesures de sécurité des données. L'audit de sécurité vise à identifier les vulnérabilités et les risques de sécurité des données. Cela inclut notamment :
- Les mesures techniques : chiffrement des données, contrôle des accès, journalisation des accès, sauvegardes, etc. ;
- Les mesures organisationnelles : politiques de sécurité, formations des employés, procédures de réponse aux incidents, etc.
Il n'existe pas de liste exhaustive et figée des mesures de sécurité à mettre en place : chaque organisme doit mettre en oeuvre des mesures adaptées à ses risques propres (article 32 du RGPD). Cependant, la CNIL publie des guides pratiques sur la sécurité des données qui permettent d'orienter l'audit.
Selon le résultat de cet audit de sécurité, une analyse d'impact relative à la protection des données (AIPD) pourra s'avérer obligatoire ou souhaitable.
5- Le rapport d'audit RGPD
La cinquième et dernière étape de l'audit RGPD consiste à synthétiser les résultats dans un rapport d'audit. Ce rapport présente :
- Un état des lieux des pratiques de l'organisme ;
- Les non-conformités identifiées ;
- Les risques associés à ces non-conformités ;
- Un plan d'action priorisé pour atteindre la conformité.
Ce rapport constitue la base du programme de mise en conformité RGPD de l'organisme. Il est généralement présenté à la direction de l'organisme pour validation et engagement.
Étendre l'audit RGPD à vos sous-traitants IA
L'essor des outils d'intelligence artificielle (IA) dans les organisations a créé une nouvelle catégorie de sous-traitants à intégrer systématiquement dans l'audit RGPD : les sous-traitants IA.
Un sous-traitant IA est tout prestataire utilisant des modèles d'IA pour traiter des données personnelles pour le compte de l'organisme. Cela inclut notamment :
- Les LLM (GPT, Gemini, Claude...) utilisés via API ou intégrés dans des outils métier ;
- Les outils d'analyse prédictive ou de scoring ;
- Les assistants IA intégrés dans les logiciels RH, CRM, support client, etc.
Ces sous-traitants IA présentent des risques spécifiques qui doivent être couverts par l'audit RGPD :
- Transferts hors UE : la majorité des LLM grand public sont opérés par des entreprises américaines. Chaque appel API peut constituer un transfert hors UE soumis au chapitre V du RGPD.
- Opacité algorithmique : les modèles d'IA sont souvent des boîtes noires. L'audit doit vérifier que des garanties contractuelles suffisantes encadrent l'utilisation des données.
- Rétention et réutilisation des données : certains prestataires IA utilisent les données transmises pour ré-entraîner leurs modèles. L'audit doit vérifier les clauses contractuelles à ce sujet.
Pour chaque sous-traitant IA identifié, l'audit doit vérifier :
- L'existence d'un Data Processing Agreement (DPA) conforme à l'article 28 du RGPD ;
- La base légale du transfert si le prestataire est établi hors UE (Standard Contractual Clauses, adéquation...) ;
- La finalité déclarée du traitement par le sous-traitant IA et son adéquation avec l'usage effectif ;
- Les mesures techniques de sécurité mises en oeuvre (chiffrement, pseudonymisation, contrôle des accès).
L'outil Leto AITD permet d'automatiser cet audit des sous-traitants IA et de générer les DPA conformes.
Qui peut réaliser un audit RGPD ? Le profil de l'auditeur
L'audit RGPD peut être réalisé par différents profils selon la maturité et les ressources de l'organisme.
En interne : Le DPO (Délégué à la Protection des Données), s'il a été désigné, est le profil naturel pour piloter l'audit. Il dispose de la connaissance du RGPD et de l'organisme. À défaut de DPO, un responsable juridique ou un responsable IT peuvent prendre en charge l'audit, à condition d'avoir une formation suffisante en protection des données.
En externe : Un cabinet de conseil spécialisé en protection des données peut réaliser l'audit. L'avantage d'un prestataire externe est l'indépendance du regard et l'expertise pointue. L'inconvénient est le coût, plus élevé qu'un audit interne.
Quelle que soit la configuration choisie, l'auditeur doit :
- Avoir une connaissance approfondie du RGPD et des recommandations de la CNIL ;
- Être en mesure d'accéder à l'ensemble des systèmes, processus et documents nécessaires ;
- Travailler en coordination avec les équipes IT, juridiques et métier de l'organisme.
Quel est le prix d'un audit RGPD ?
Le coût d'un audit RGPD varie considérablement selon la taille de l'organisme, la complexité de ses traitements et le type d'auditeur choisi.
Audit interne : Le coût direct est limité au temps passé par les équipes internes. Pour un organisme de taille moyenne, comptez entre 5 et 20 jours de travail selon la complexité.
Audit externe : Les cabinets spécialisés facturent généralement entre 3 000 et 20 000 euros HT pour un audit complet, selon la taille de l'organisme et le périmètre de l'audit.
Des outils comme Leto permettent de réduire significativement le temps nécessaire à l'audit en automatisant certaines tâches (cartographie des traitements, génération du registre, etc.), et donc de réduire le coût global de la mise en conformité. Pour évaluer où en est votre conformité et gagner du temps sur la cartographie et le registre, vous pouvez demander une démo de Leto.
Questions fréquentes sur l'audit RGPD
Qu'est-ce qu'un audit RGPD et pourquoi le réaliser ?
Un audit RGPD est un examen complet des pratiques de traitement des données personnelles d'un organisme. Il sert à évaluer le niveau de conformité, identifier les non-conformités et définir un plan d'action. C'est la première étape indispensable de tout projet de mise en conformité RGPD.
Quelles sont les étapes principales d'un audit RGPD ?
Un audit RGPD comprend généralement 5 étapes : (1) l'audit des outils et systèmes d'information, (2) l'audit des mécanismes de collecte, (3) l'audit des traitements de données (construction du registre), (4) l'audit de la sécurité, et (5) la rédaction du rapport d'audit avec plan d'action.
L'audit RGPD est-il obligatoire pour toutes les entreprises ?
Non, le RGPD n'impose pas formellement de réaliser un audit. Mais il est fortement recommandé par la CNIL, car il est la base de tout programme de conformité sérieux. En pratique, toute organisation traitant des données personnelles a intérêt à réaliser un audit pour identifier ses risques et s'y conformer.
Combien coûte un audit RGPD ?
Le coût dépend du type d'audit : interne (coût en temps humain, de 5 à 20 jours selon la taille) ou externe (de 3 000 à 20 000 euros HT pour un cabinet spécialisé). Des outils comme Leto permettent de réduire ce coût en automatisant une partie du travail.
Faut-il faire appel à un prestataire externe pour l'audit RGPD ?
Pas nécessairement. Un audit interne piloté par le DPO ou une équipe formée peut être suffisant. Le recours à un prestataire externe apporte un regard indépendant et une expertise pointue, mais à un coût plus élevé. Le choix dépend des ressources et de la maturité de l'organisme.
À quelle fréquence réaliser un audit RGPD ?
Il n'y a pas de fréquence imposée par le RGPD. En pratique, un audit complet tous les 2 à 3 ans est recommandé, complété par des revues partielles à chaque changement significatif (nouveau traitement, nouveau sous-traitant, incident de sécurité, évolution réglementaire).
Faut-il auditer les sous-traitants IA dans le cadre du RGPD ?
Oui. Les outils d'IA qui traitent des données personnelles pour le compte de l'organisme sont des sous-traitants au sens du RGPD (article 4 et article 28). À ce titre, ils doivent être inclus dans l'audit RGPD : vérification du DPA, de la base légale des transferts éventuels hors UE, des mesures de sécurité, et de la finalité déclarée du traitement.
Comment intégrer un audit des sous-traitants IA à un audit RGPD existant ?
L'intégration se fait en 3 temps : (1) Un recensement exhaustif de tous les outils IA utilisés dans l'organisme (LLM, outils d'analyse prédictive, assistants IA intégrés dans les logiciels métier). (2) Pour chaque outil : vérification du DPA, de la localisation des données, du mécanisme de transfert si hors UE, notification d'évolution majeure du modèle. (3) Une revue de la supervision humaine effective et de la traçabilité (article 22). Le guide audit IA des sous-traitants détaille la méthodologie.
