Le Règlement général sur la protection des données (RGPD) est venu renforcer la législation encadrant les données à caractère personnel. Désormais, un défaut de conformité peut coûter très cher aux organismes.
En effet, les organismes s'exposent à des sanctions de l'autorité de contrôle, la CNIL en France, mais surtout à une violation de données personnelles. Or, une violation de données personnelles peut avoir des conséquences considérables pour les organismes et pour les personnes concernées.
Où en êtes-vous de votre conformité RGPD ? Pour évaluer le niveau de conformité de l'organisme et connaître les actions à mettre en place, il est indispensable de commencer par mener un audit RGPD. Pour une première photographie avant l'audit complet, vous pouvez passer notre test de maturité RGPD.
Ainsi, la réalisation de cet audit RGPD constitue la première étape de tout projet de mise en conformité.
L'audit RGPD s'inscrit dans une démarche plus large : pour le replacer dans son contexte, nous avons rédigé un livre blanc sur les 10 étapes pour se mettre en conformité avec le RGPD.
Audit RGPD : qu'est-ce que c'est ?
Audit RGPD : une définition
Un audit RGPD consiste en un contrôle de l'ensemble des processus et des mesures de conformité d'un organisme au regard du RGPD. Il s'agit d'une vérification complète des pratiques de traitement des données personnelles d'un organisme.
L'audit RGPD a pour objectif de dresser un état des lieux exhaustif des pratiques de traitement des données personnelles d'un organisme.
À noter que le RGPD lui-même n'impose pas formellement de réaliser un audit RGPD. En revanche, il impose au responsable du traitement d'être en mesure de démontrer sa conformité (article 5.2, principe de responsabilité, et article 24), et il exige une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures de sécurité (article 32.1.d). L'audit est le moyen le plus direct de produire cette preuve.
Audit RGPD : à quoi ça sert ?
L'audit de conformité au RGPD sert notamment à :
- Établir un bilan de conformité RGPD à date, qui présente les non-conformités détectées lors de l'audit ;
- Évaluer les risques en matière de protection des données et les traiter ;
- Définir les priorités de mise en conformité et construire un plan d'action adapté.
En somme, l'audit RGPD est indispensable pour lancer et piloter un programme de mise en conformité.
Audit RGPD : qui est concerné ?
Tout organisme entrant dans le champ d'application du RGPD est incité à procéder à un audit RGPD. Il s'agit donc de toute entité (entreprise, association, administration...) qui traite des données personnelles de personnes se trouvant dans l'UE, quel que soit le lieu d'établissement de l'organisme.
L'audit lui-même peut être mené par le DPO, par une équipe interne ou par un prestataire externe : ce choix est détaillé plus bas, dans la section consacrée au profil de l'auditeur.
Pour une autre lecture de la méthode, calée sur la démarche de la CNIL (cartographier, vérifier chaque traitement, évaluer les risques, contrôler les sous-traitants et les transferts, tester les processus internes), voici l'audit RGPD en 5 étapes, en 2 minutes 47.
5 étapes pour réaliser un audit RGPD
1- Audit de l'ensemble des outils de l'organisme
La première étape consiste à auditer l'ensemble des outils utilisés par l'organisme. En pratique, cela consiste à recenser et analyser :
✅ L'ensemble des systèmes d'information et des flux de données
Qui sont les destinataires des données de l'organisme ? Vers quels tiers les données sont-elles transférées ? Dans quels pays les données transitent-elles ? Y a-t-il des transferts hors UE ? Si oui, quelles sont les garanties mises en place ?
✅ Les types de données se trouvant dans ces outils
Quelles catégories de données personnelles sont traitées ? Y a-t-il des données particulièrement sensibles (santé, convictions, données judiciaires...) qui appellent des mesures renforcées ?
La liste des sous-traitants doit également être auditée, sous-traitants IA compris (voir section suivante). Le contrat de sous-traitance doit d'ailleurs permettre la réalisation d'audits, y compris des inspections, par le responsable du traitement (article 28.3.h) : la méthode est détaillée dans notre guide sur l'audit des sous-traitants RGPD.
2- Audit des mécanismes de collecte des données personnelles
La deuxième étape consiste à auditer tous les points d'entrée des données personnelles dans l'organisme. Pour chacun de ces points d'entrée, l'audit doit vérifier que les personnes concernées ont bien été informées, conformément aux exigences du RGPD (article 13 du RGPD pour les données collectées directement auprès des personnes).
En pratique, l'audit RGPD doit vérifier les points suivants :
- La validité des bases légales utilisées (consentement, contrat, intérêt légitime, obligation légale, etc.) pour chaque traitement ;
- La validité des mentions d'information (formulaires, mentions légales, politique de confidentialité, bannière cookies...) ;
- La validité du recueil du consentement, s'il est utilisé comme base légale ;
- La qualité des procédures de gestion des droits des personnes (accès, rectification, effacement, opposition...).
3- Audit des traitements de données personnelles
La troisième étape est l'audit des traitements de données personnelles. L'objectif est de construire un registre des traitements de données personnelles, ou de mettre à jour l'existant.
Le registre des traitements est le document central de la conformité RGPD d'un organisme (article 30 du RGPD). Il recense l'ensemble des traitements de données mis en oeuvre par l'organisme.
Pour chaque traitement, le registre indique notamment la finalité du traitement, les catégories de données traitées, les destinataires des données, les durées de conservation des données, et les mesures de sécurité mises en oeuvre.
La construction d'un registre des traitements exhaustif est souvent la tâche la plus longue de l'audit RGPD.
Certains organismes utilisent pour cela des outils dédiés, comme Leto, qui permet notamment de générer automatiquement des traitements depuis un catalogue de modèles, d'utiliser l'IA pour compléter les traitements, et de générer automatiquement le registre des traitements.
4- Audit de la sécurité des données
La quatrième étape consiste à auditer les mesures de sécurité des données. L'audit de sécurité vise à identifier les vulnérabilités et les risques de sécurité des données. Cela inclut notamment :
- Les mesures techniques : chiffrement des données, contrôle des accès, journalisation des accès, sauvegardes, etc. ;
- Les mesures organisationnelles : politiques de sécurité, formations des employés, procédures de réponse aux incidents, etc.
Il n'existe pas de liste exhaustive et figée des mesures de sécurité à mettre en place : chaque organisme doit mettre en oeuvre des mesures adaptées à ses risques propres (article 32 du RGPD). Cependant, la CNIL publie des guides pratiques sur la sécurité des données qui permettent d'orienter l'audit.
Selon le résultat de cet audit de sécurité, une analyse d'impact relative à la protection des données (AIPD) pourra s'avérer obligatoire ou souhaitable.
5- Le rapport d'audit RGPD
La cinquième et dernière étape de l'audit RGPD consiste à synthétiser les résultats dans un rapport d'audit. Ce rapport présente :
- Un état des lieux des pratiques de l'organisme ;
- Les non-conformités identifiées ;
- Les risques associés à ces non-conformités ;
- Un plan d'action priorisé pour atteindre la conformité.
Ce rapport constitue la base du programme de mise en conformité RGPD de l'organisme. Il est généralement présenté à la direction de l'organisme pour validation et engagement.
Checklist de l'audit RGPD en 10 points
Les cinq étapes ci-dessus se résument en dix contrôles, à cocher un par un :
- Cartographier les systèmes d'information, les flux de données et les transferts hors UE, avec leurs garanties ;
- Recenser les catégories de données traitées, dont les données sensibles et les données relatives aux infractions (articles 9 et 10) ;
- Lister les sous-traitants, IA compris, et vérifier que chaque contrat couvre les clauses de l'article 28 ;
- Vérifier la base légale de chaque traitement (article 6) ;
- Contrôler les mentions d'information à chaque point de collecte (articles 13 et 14) ;
- Tester les procédures d'exercice des droits : accès, rectification, effacement, opposition ;
- Construire ou mettre à jour le registre des traitements (article 30) ;
- Évaluer les mesures de sécurité techniques et organisationnelles (article 32) ;
- Identifier les traitements qui exigent une analyse d'impact (article 35) ;
- Rédiger le rapport : état des lieux, non-conformités, risques et plan d'action priorisé.
Étendre l'audit RGPD à vos sous-traitants IA
L'essor des outils d'intelligence artificielle (IA) dans les organisations a créé une nouvelle catégorie de sous-traitants à intégrer systématiquement dans l'audit RGPD : les sous-traitants IA.
Un sous-traitant IA est tout prestataire utilisant des modèles d'IA pour traiter des données personnelles pour le compte de l'organisme. Cela inclut notamment :
- Les LLM (GPT, Gemini, Claude...) utilisés via API ou intégrés dans des outils métier ;
- Les outils d'analyse prédictive ou de scoring ;
- Les assistants IA intégrés dans les logiciels RH, CRM, support client, etc.
Ces sous-traitants IA présentent des risques spécifiques qui doivent être couverts par l'audit RGPD :
- Transferts hors UE : la majorité des LLM grand public sont opérés par des entreprises américaines. Chaque appel API peut constituer un transfert hors UE soumis au chapitre V du RGPD.
- Opacité algorithmique : les modèles d'IA sont souvent des boîtes noires. L'audit doit vérifier que des garanties contractuelles suffisantes encadrent l'utilisation des données.
- Rétention et réutilisation des données : certains prestataires IA utilisent les données transmises pour ré-entraîner leurs modèles. L'audit doit vérifier les clauses contractuelles à ce sujet.
Pour chaque sous-traitant IA identifié, l'audit doit vérifier :
- L'existence d'un Data Processing Agreement (DPA) conforme à l'article 28 du RGPD ;
- La base légale du transfert si le prestataire est établi hors UE (Standard Contractual Clauses, adéquation...) ;
- La finalité déclarée du traitement par le sous-traitant IA et son adéquation avec l'usage effectif ;
- Les mesures techniques de sécurité mises en oeuvre (chiffrement, pseudonymisation, contrôle des accès).
L'outil Leto AITD permet d'automatiser cet audit des sous-traitants IA et de générer les DPA conformes. La méthode complète, RGPD et AI Act, est détaillée dans notre guide sur l'audit IA des sous-traitants.
Qui peut réaliser un audit RGPD ? Le profil de l'auditeur
L'audit RGPD peut être réalisé par différents profils selon la maturité et les ressources de l'organisme.
En interne : Le DPO (Délégué à la Protection des Données), s'il a été désigné, est le profil naturel pour piloter l'audit. Il dispose de la connaissance du RGPD et de l'organisme. À défaut de DPO, un responsable juridique ou un responsable IT peuvent prendre en charge l'audit, à condition d'avoir une formation suffisante en protection des données.
En externe : Un cabinet de conseil spécialisé en protection des données peut réaliser l'audit. L'avantage d'un prestataire externe est l'indépendance du regard et l'expertise pointue. L'inconvénient est le coût, plus élevé qu'un audit interne.
Quelle que soit la configuration choisie, l'auditeur doit :
- Avoir une connaissance approfondie du RGPD et des recommandations de la CNIL ;
- Être en mesure d'accéder à l'ensemble des systèmes, processus et documents nécessaires ;
- Travailler en coordination avec les équipes IT, juridiques et métier de l'organisme.
Quel est le prix d'un audit RGPD ?
Le coût d'un audit RGPD varie considérablement selon la taille de l'organisme, la complexité de ses traitements et le type d'auditeur choisi.
Audit interne : Le coût direct est limité au temps passé par les équipes internes. Ce temps dépend surtout du nombre de traitements, de systèmes et de sous-traitants à couvrir, et de l'état de la documentation existante (un registre à jour raccourcit nettement l'exercice).
Audit externe : Les cabinets spécialisés facturent un audit complet sur devis, selon la taille de l'organisme, le nombre de traitements et le périmètre retenu. Les tarifs publiés par les prestataires varient fortement d'un acteur à l'autre : comparez les devis à périmètre égal. Pour replacer ce poste dans le budget global, voir notre guide sur le prix d'une mise en conformité RGPD.
Des outils comme Leto permettent de réduire significativement le temps nécessaire à l'audit en automatisant certaines tâches (cartographie des traitements, génération du registre, etc.), et donc de réduire le coût global de la mise en conformité. Pour évaluer où en est votre conformité et gagner du temps sur la cartographie et le registre, vous pouvez demander une démo de Leto.
Questions fréquemment posées
Qu'est-ce qu'un audit RGPD et pourquoi le réaliser ?
Un audit RGPD est un examen complet des pratiques de traitement des données personnelles d'un organisme. Il sert à évaluer le niveau de conformité, identifier les non-conformités et définir un plan d'action. C'est la première étape indispensable de tout projet de mise en conformité RGPD.
Quelles sont les étapes principales d'un audit RGPD ?
Un audit RGPD comprend généralement 5 étapes : (1) l'audit des outils et systèmes d'information, (2) l'audit des mécanismes de collecte, (3) l'audit des traitements de données (construction du registre), (4) l'audit de la sécurité, et (5) la rédaction du rapport d'audit avec plan d'action.
L'audit RGPD est-il obligatoire pour toutes les entreprises ?
Non, le RGPD n'impose pas formellement de réaliser un audit. Mais il impose de pouvoir démontrer sa conformité (article 5.2 et article 24) et d'évaluer régulièrement l'efficacité des mesures de sécurité (article 32.1.d). En pratique, toute organisation traitant des données personnelles a intérêt à réaliser un audit pour identifier ses risques et produire cette preuve.
Combien coûte un audit RGPD ?
Le coût dépend du type d'audit : interne (coût en temps humain, qui dépend du nombre de traitements, de systèmes et de sous-traitants à couvrir) ou externe (prestation sur devis d'un cabinet spécialisé, selon la taille de l'organisme et le périmètre). Des outils comme Leto permettent de réduire ce coût en automatisant une partie du travail.
Faut-il faire appel à un prestataire externe pour l'audit RGPD ?
Pas nécessairement. Un audit interne piloté par le DPO ou une équipe formée peut être suffisant. Le recours à un prestataire externe apporte un regard indépendant et une expertise pointue, mais à un coût plus élevé. Le choix dépend des ressources et de la maturité de l'organisme.
À quelle fréquence réaliser un audit RGPD ?
Le RGPD ne fixe pas de fréquence pour un audit complet. Il exige en revanche que les mesures soient réexaminées et actualisées si nécessaire (article 24.1), et que l'efficacité des mesures de sécurité soit évaluée régulièrement (article 32.1.d). En pratique, fixez une périodicité proportionnée à vos risques et documentez-la, puis complétez-la par des revues partielles à chaque changement significatif (nouveau traitement, nouveau sous-traitant, incident de sécurité, évolution réglementaire).
Faut-il auditer les sous-traitants IA dans le cadre du RGPD ?
Oui. Les outils d'IA qui traitent des données personnelles pour le compte de l'organisme sont des sous-traitants au sens du RGPD (article 4 et article 28). À ce titre, ils doivent être inclus dans l'audit RGPD : vérification du DPA, de la base légale des transferts éventuels hors UE, des mesures de sécurité, et de la finalité déclarée du traitement.
Comment intégrer un audit des sous-traitants IA à un audit RGPD existant ?
L'intégration se fait en 3 temps : (1) Un recensement exhaustif de tous les outils IA utilisés dans l'organisme (LLM, outils d'analyse prédictive, assistants IA intégrés dans les logiciels métier). (2) Pour chaque outil : vérification du DPA, de la localisation des données, du mécanisme de transfert si hors UE, notification d'évolution majeure du modèle. (3) Une revue de la supervision humaine effective et de la traçabilité, en particulier lorsque l'outil contribue à une décision individuelle automatisée (article 22). Notre guide sur l'audit IA des sous-traitants détaille la méthodologie.
