Audit RGPD : évaluer votre conformité et obtenir un plan d’action
Un audit RGPD mesure l’écart entre vos pratiques et le règlement, puis vous donne les actions à mener, classées par priorité. Cette page explique ce qu’est un audit RGPD, comment il se déroule étape par étape, et comment nous le menons pour les PME, les associations et les collectivités, à partir de 1 199 € HT, sur site ou à distance.
Réserver un appel découverte Voir les 6 étapes de l’audit
Plus de 200 audits réalisés en France et en Suisse · DPO depuis 2018 · Réponse sous 48 h
Qu’est-ce qu’un audit RGPD ?
Un audit RGPD est un état des lieux méthodique de la façon dont votre organisation collecte, utilise, conserve et protège les données personnelles, comparé aux exigences du Règlement général sur la protection des données.
Concrètement, l’audit passe en revue chaque traitement de données personnelles : les fichiers clients, la paie, le recrutement, le site web, la vidéosurveillance, les outils de prospection ou encore les logiciels confiés à des sous-traitants. Pour chacun, l’auditeur vérifie la finalité, la base légale, l’information des personnes, les durées de conservation, les mesures de sécurité et les contrats signés avec les prestataires.
Le RGPD ne décrit pas l’audit en tant que tel, mais il impose au responsable de traitement de pouvoir démontrer sa conformité à tout moment, selon le principe de responsabilité posé par l’article 5.2 et l’article 24 du règlement (UE) 2016/679. L’audit est l’outil qui produit cette démonstration, sous la forme d’un dossier daté et argumenté.
Évaluer le niveau de conformité
L’audit situe votre organisation par rapport aux obligations du règlement et de la loi Informatique et Libertés, point par point, avec les preuves correspondantes.
Identifier les risques
Il met en évidence les traitements exposés : données sensibles, sous-traitants sans contrat, conservation illimitée, absence de procédure en cas de violation de données.
Construire le plan d’action
Il transforme les écarts en actions concrètes, avec un responsable, une priorité et une échéance, pour engager la mise en conformité RGPD sans dispersion.
Pourquoi réaliser un audit RGPD ?
Parce que la conformité RGPD se prouve avec des documents, et que personne ne peut produire ces documents sans avoir d’abord mesuré sa situation.
Les organisations qui nous contactent pour un audit RGPD le font rarement par curiosité. Elles répondent à un appel d’offres qui exige un registre des traitements, elles ont reçu un questionnaire de conformité d’un client grand compte, elles préparent une certification ISO ou une levée de fonds, ou elles viennent de vivre un incident de sécurité et veulent savoir où elles en sont réellement.
du chiffre d’affaires mondial : plafond des amendes prévues par le RGPD. En pratique, la CNIL commence par une mise en demeure publique, qui coûte en réputation.
d’amendes RGPD cumulées en Europe en mai 2026, pour plus de 2 800 sanctions (Enforcement Tracker). Les PME représentent une part croissante des décisions.
pour répondre à une demande de droit d’accès. Sans procédure, c’est la première source de plaintes auprès de la CNIL.
Le niveau de conformité est devenu un critère de sélection dans les appels d’offres publics, les partenariats et les certifications. Un audit documenté est la preuve la plus simple à produire, et il vous évite de découvrir vos écarts au moment d’un contrôle de la CNIL.
Les 6 étapes d’un audit RGPD
Voici la méthode que nous appliquons à chaque mission. Elle s’adapte à la taille de l’organisation et au nombre de services à interroger, sur site ou à distance.
Cadrer le périmètre et préparer l’audit
Nous définissons ensemble les entités, les sites et les services concernés, puis nous rassemblons les documents existants : registre, politiques, contrats de sous-traitance, mentions d’information. Vous désignez un interlocuteur par service, qui y consacre une demi-journée.
Sensibiliser et interroger les équipes
Une session de sensibilisation pour la direction et les référents ouvre la mission. Les entretiens par service permettent ensuite de cartographier les traitements de données personnelles, les outils utilisés, les accès et les sous-traitants.
Cartographier les traitements et constituer le registre
Chaque traitement est décrit avec sa finalité, sa base légale, les catégories de données et de personnes, les destinataires, les durées de conservation et les transferts éventuels. Ce travail alimente directement le registre des activités de traitement exigé par l’article 30.
Analyser les écarts de conformité
Nous contrôlons le site web et les cookies, les mentions d’information, la gestion des demandes de droits, les contrats avec les sous-traitants, les mesures de sécurité techniques et organisationnelles et la procédure de violation de données. Chaque écart est qualifié par son niveau de risque et l’effort nécessaire pour le corriger.
Rédiger le plan d’action et les documents
Le plan d’action classe les actions par priorité et désigne un responsable pour chacune. Nous rédigeons en parallèle les politiques et procédures manquantes, pour que vous n’ayez pas à repartir d’une page blanche.
Restituer et organiser le suivi
Une restitution d’une heure à la direction présente les cinq priorités, le calendrier et les décisions à prendre. Nous fixons ensuite la façon dont la conformité sera maintenue : revue annuelle, référent interne ou DPO externalisé.
Pour une version pédagogique de cette méthode, applicable en interne, lisez notre article comment faire un audit RGPD en 5 étapes.
La checklist de l’audit RGPD
Ces dix points de contrôle structurent nos entretiens et nos analyses. Ils vous donnent aussi une première idée de votre niveau de conformité RGPD avant même de nous contacter.
Gouvernance et documentation
- Un registre des activités de traitement existe, et quelqu’un le met à jour.
- Chaque traitement repose sur une base légale identifiée : contrat, obligation légale, intérêt légitime ou consentement.
- Les personnes concernées sont informées de façon claire, sur le site web, dans les contrats et dans les formulaires.
- Une procédure permet de répondre aux demandes de droits dans le délai d’un mois.
- Les durées de conservation sont définies, appliquées et justifiées pour chaque traitement.
Sécurité et tiers
- Les mesures de sécurité couvrent les accès, les mots de passe, les sauvegardes, le chiffrement et la sensibilisation des équipes.
- Chaque sous-traitant a signé un contrat conforme à l’article 28 du RGPD.
- Les transferts de données hors de l’Union européenne sont identifiés et encadrés.
- Une procédure de gestion des violations de données précise qui décide de la notification à la CNIL sous 72 heures.
- Les traitements à risque élevé ont fait l’objet d’une analyse d’impact (AIPD), et un DPO est désigné lorsque la loi l’impose.
Les outils et les documents de l’audit RGPD
Un audit RGPD ne demande pas de logiciel particulier. Il demande une méthode, des modèles éprouvés et les bons documents au bon moment.
Les référentiels
Nous nous appuyons sur le texte du règlement, sur la loi Informatique et Libertés et sur les guides et référentiels publiés par la CNIL, notamment le modèle de registre et le guide de la sécurité des données personnelles.
Les documents à rassembler
Organigramme, liste des logiciels et des prestataires, contrats de sous-traitance, politique de confidentialité, règlement intérieur, charte informatique, formulaires de collecte et contrats de travail. Nous vous fournissons la liste exacte lors du cadrage.
Les modèles que nous livrons
Trame de registre, grille d’analyse des écarts, modèle de plan d’action, clauses de sous-traitance, procédure de réponse aux demandes de droits, registre des violations. Vous pouvez aussi générer dès maintenant votre politique de confidentialité avec notre outil gratuit.
Ce que vous recevez à la fin de l’audit RGPD
Un dossier de conformité complet, que vous pouvez présenter à la CNIL, à un client grand compte ou dans un appel d’offres.
Cartographie des traitements
Chaque activité qui touche des données personnelles : finalités, données, outils, accès, durées de conservation, sous-traitants.
Registre des traitements
Le document exigé par l’article 30 du RGPD, rempli à partir des entretiens, au format que vous pourrez maintenir seul.
État des lieux et plan d’action
Les écarts constatés, classés par risque et par effort, avec une recommandation et un responsable pour chacun.
Politiques et procédures
Politique de confidentialité, mentions d’information, procédure de réponse aux demandes de droits, procédure de violation de données.
Modèles prêts à l’emploi
Formulaires, clauses pour vos contrats de sous-traitance, fiches de gestion des droits, trame de registre des violations.
Équipes sensibilisées
Une session de formation pour la direction et les référents, avec les supports, pour que la conformité tienne dans la durée.
Pour qui ?
Vous répondez à un appel d’offres
Le questionnaire RGPD du donneur d’ordre exige un registre, des procédures et un interlocuteur. L’audit vous donne les trois, documentés et prêts à transmettre.
Vous n’avez jamais formalisé
Vous avez un site, des clients, des salariés et des logiciels, mais aucun document. L’audit part de zéro et vous laisse un socle complet.
Vous avez fait le RGPD en 2018
Vos outils ont changé depuis. L’audit de suivi remet le registre à jour et vérifie les nouveaux prestataires.
Secteurs les plus fréquents en mission : cabinets d’expertise comptable et de gestion de patrimoine, tourisme et hôtellerie, éducation, santé, éditeurs SaaS, collectivités et offices de tourisme.
Tarif de l’audit RGPD
Devis personnalisé selon l’effectif, le nombre de sites et la sensibilité des données. Prix ferme annoncé avant de commencer, sans frais cachés.
Réserver un appel découverteCe qui est inclus
- La préparation et les journées d’intervention
- L’ensemble des livrables listés plus haut
- La session de sensibilisation et ses supports
- La restitution à la direction
- Un accord de confidentialité signé avant la mission
- Les réponses à vos questions après la mission, par e-mail ou WhatsApp
Pour comprendre ce qui fait varier le prix, lisez combien coûte une mise en conformité RGPD. Si vous préférez un suivi dans la durée, l’audit est inclus dans l’abonnement DPO externalisé.
Structurer la gouvernance des données après l’audit
L’audit RGPD photographie votre conformité à une date donnée. La gouvernance des données personnelles est ce qui empêche cette photographie de jaunir.
Dans les PME, la conformité se dégrade surtout par oubli : un nouveau logiciel arrive sans contrat de sous-traitance, un formulaire est ajouté au site sans mention d’information, un salarié part avec ses accès. Une gouvernance simple suffit à l’éviter, à condition de désigner clairement qui fait quoi.
Un responsable identifié
Un référent interne, ou un DPO lorsque votre activité l’exige, tient le registre, reçoit les demandes de droits et valide chaque nouveau traitement avant son lancement.
Des rituels courts
Une revue annuelle du registre et des sous-traitants, un point à chaque nouveau projet, et un exercice de simulation de violation de données pour vérifier que la procédure fonctionne.
Des preuves conservées
Les consentements, les contrats signés, les formations suivies et les décisions prises sont archivés au même endroit, prêts à être présentés en cas de contrôle ou de question d’un client.
Lorsque la structure n’a pas de référent disponible, la mission de DPO externalisé prend ce rôle à partir de 180 € HT par mois, avec l’audit RGPD inclus dans la première année.
Comment choisir un prestataire pour votre audit RGPD ?
Les offres d’audit RGPD varient beaucoup dans leur contenu. Avant de signer, posez ces questions à chaque cabinet.
- Qui mène l’audit ? Demandez le nom de l’auditeur, son ancienneté comme DPO et les secteurs dans lesquels il est déjà intervenu.
- Quels livrables recevrez-vous ? Un rapport sans registre, sans plan d’action priorisé et sans documents prêts à l’emploi vous laisse tout le travail à faire.
- Les équipes sont-elles interrogées ? Un audit mené uniquement sur questionnaire passe à côté des pratiques réelles, qui sont justement ce que la CNIL contrôle.
- Le prix est-il ferme ? Exigez un devis fixé avant le démarrage, avec le temps attendu de vos équipes.
- Le cabinet est-il assuré ? Une responsabilité civile professionnelle dédiée à l’activité de DPO protège votre organisation en cas d’erreur.
- Que se passe-t-il après ? Vérifiez que le prestataire reste joignable pour vos questions et peut assurer le suivi si vous le souhaitez.
Nous détaillons ces critères dans notre guide pour choisir son DPO externe, qui s’applique de la même façon au choix d’un auditeur RGPD.
Votre auditeur
Thomas Blanc, délégué à la protection des données depuis 2018, formateur RGPD et fondateur de donnees.net. Dix ans en cabinet comptable comme responsable de la transformation digitale avant de créer le cabinet, et plus de 200 audits menés auprès de PME, d’associations et de collectivités en France et en Suisse.
Chaque mission est menée avec un DPO suppléant désigné et couverte par une assurance responsabilité civile professionnelle dédiée à l’activité de DPO.
Ce qu’en disent les entreprises auditées
Note moyenne de satisfaction attribuée par les entreprises auditées : 4,6 / 5.
« Nous pensions être conformes… jusqu’à l’audit de Thomas. Grâce à son œil expert, nous avons corrigé 4 écarts de conformité majeurs et évité un refus sur un appel d’offres public. »
« La mission a été claire, structurée, fluide. Le plan d’action était prêt dès la fin de l’intervention. Notre DSI et notre RH ont particulièrement apprécié les entretiens ciblés et les livrables adaptés. »
« Je recommande vivement l’audit RGPD de donnees.net. En 3 semaines, nous avons obtenu un état des lieux complet, corrigé nos points de non-conformité, mis à jour nos durées de conservation et sécurisé nos outils de collecte. »
Questions fréquentes sur l’audit RGPD
Un audit RGPD est un état des lieux de vos traitements de données personnelles, comparé aux exigences du règlement européen et de la loi Informatique et Libertés. Il aboutit à un rapport d’écarts, à un registre des traitements et à un plan d’action priorisé pour engager la mise en conformité.
Le règlement n’impose pas l’audit en tant que tel, mais il oblige chaque organisation à démontrer sa conformité à tout moment. En pratique, l’audit est le moyen le plus direct de produire cette démonstration, et beaucoup de donneurs d’ordre l’exigent dans leurs appels d’offres.
Notre audit RGPD démarre à 1 199 € HT. Le prix dépend de l’effectif, du nombre de sites et de services à interroger et de la sensibilité des données traitées. Nous annonçons un prix ferme avant de commencer.
La durée dépend de la taille de l’organisation et du nombre de services à interroger : elle est fixée dans le devis, avec la date de remise des livrables. Comptez en général quelques semaines entre le cadrage et la restitution.
Un interlocuteur par service, disponible une demi-journée pour l’entretien, la fourniture des documents existants et la participation de la direction à la sensibilisation et à la restitution. Le temps nécessaire côté entreprise est précisé dans le devis.
Oui, partout en France et en Suisse. Tout ou partie de la mission peut aussi se dérouler en visioconférence, sans changement de méthode ni de livrables.
Vous appliquez le plan d’action avec vos équipes, et je reste joignable par e-mail ou WhatsApp pour vos questions. Si vous souhaitez un suivi dans la durée, l’abonnement DPO externalisé prend le relais : veille, audits de suivi, demandes de droits et gestion des violations.
L’audit documente votre situation à une date donnée et vous donne le plan pour corriger les écarts. La conformité dépend ensuite de la mise en œuvre des actions, que nous classons par priorité pour que les plus importantes soient traitées en premier.
L’audit part de ce qui existe. Un registre déjà constitué, même incomplet, réduit le temps d’entretien et permet de consacrer la mission aux écarts réels et aux nouveaux outils.
Nous menons les audits sur site partout en France et en Suisse, et nous connaissons le terrain à Lyon, Chambéry, Grenoble, Annecy, Marseille et Genève. Pour une structure qui veut un suivi dans la durée, l’audit est compris dans la mission de DPO externalisé.
Parlons de votre audit RGPD
Un appel de 30 minutes suffit pour cadrer le périmètre, fixer une date et vous donner un prix ferme.
Réserver un appel de 30 min Réserver un appel découverte
Réponse sous 48 h · Sans engagement · Mentions légales
