En bref
Un audit RGPD est un état des lieux documenté de la conformité d'un organisme au règlement (UE) 2016/679. Il n'est pas obligatoire en tant que tel, mais le principe de responsabilité de l'article 5.2 impose de pouvoir démontrer sa conformité — et l'audit est la pièce que la CNIL demande en premier lors d'un contrôle. Compter 3 000 à 7 000 € pour un audit organisationnel de PME ; le périmètre du site web seul peut être audité de façon automatisée pour un coût très inférieur.
1. Qu'est-ce qu'un audit RGPD ?
Un audit RGPD confronte ce que fait réellement un organisme à ce que lui impose le règlement général sur la protection des données. Il ne s'agit pas d'un questionnaire déclaratif : un audit sérieux va chercher les preuves — les cookies effectivement déposés, les scripts effectivement chargés, les mentions effectivement publiées.
L'écart entre le déclaratif et le réel est précisément ce que l'audit doit faire apparaître. Une politique de confidentialité peut annoncer qu'aucun cookie publicitaire n'est déposé sans consentement, pendant que le site charge une régie dès la première visite. C'est ce type de contradiction qui fonde les mises en demeure.
Un audit couvre classiquement six familles d'obligations : la licéité des traitements et leur base légale, l'information des personnes, le recueil du consentement, la sécurité, la gestion des sous-traitants et des transferts, et l'exercice des droits.
2. L'audit RGPD est-il obligatoire ?
Non, pas sous ce nom. Le RGPD ne contient aucun article intitulé « audit ». Ce qu'il impose, c'est le principe de responsabilité (accountability) posé par l'article 5.2 : le responsable de traitement doit être en mesure de démontrer que les principes du règlement sont respectés.
La nuance est importante et souvent mal comprise : l'obligation ne porte pas sur la procédure, elle porte sur la capacité à prouver. Un organisme qui ne peut rien produire lors d'un contrôle est en situation de manquement, même si ses pratiques sont par ailleurs correctes.
Plusieurs obligations connexes sont, elles, explicites : le registre des activités de traitement (article 30), l'analyse d'impact lorsque le traitement est susceptible d'engendrer un risque élevé (article 35), et la désignation d'un délégué à la protection des données dans les cas énumérés à l'article 37.
3. Comment réaliser un audit RGPD en 5 étapes
Cartographier les traitements
Recenser qui traite quoi, pour quelle finalité, sur quelle base légale, avec quelle durée de conservation. C'est la matière du registre des traitements imposé par l'article 30 du RGPD.
Auditer les points de collecte
Formulaires, bandeau cookies, comptes clients, newsletters, chatbots. Chaque point de collecte doit porter une information claire et, quand la base légale est le consentement, un recueil libre et univoque.
Analyser les services tiers
Analytics, régies publicitaires, cartes, vidéos, tests A/B, outils de support. Chaque script chargé est un transfert de données à qualifier, et parfois un transfert hors Union européenne à encadrer.
Vérifier les documents opposables
Politique de confidentialité, politique cookies, mentions légales, CGV. L'audit contrôle qu'ils existent, qu'ils sont accessibles, et surtout qu'ils décrivent la réalité de ce que fait le site.
Formaliser le rapport et le plan d'action
Un audit qui ne débouche pas sur des actions datées et hiérarchisées n'a aucune valeur probatoire. Le livrable doit distinguer ce qui est bloquant de ce qui est perfectible.
4. Combien coûte un audit RGPD ?
Le prix dépend d'abord du périmètre. Auditer une organisation entière — ses traitements RH, sa relation client, ses sous-traitants, sa sécurité — n'a pas grand-chose à voir avec auditer les obligations qui pèsent sur un site web. Les ordres de grandeur constatés sur le marché français :
| Périmètre | Ordre de prix | Délai |
|---|---|---|
| Audit organisationnel TPE / PME | 3 000 – 7 000 € | 3 à 6 semaines |
| Audit organisationnel ETI | 7 000 – 20 000 € et plus | 6 à 12 semaines |
| DPO externalisé (forfait mensuel) | 500 – 2 500 € / mois | engagement récurrent |
| Audit automatisé du site web (Complio) | 106,80 € TTC | 5 à 10 minutes |
Fourchettes indicatives observées sur le marché français, à titre de repère. Elles varient fortement selon le nombre de traitements, la présence de données sensibles et l'étendue du parc de sous-traitants.
5. Audit organisationnel ou audit de site web ?
Les deux répondent à des besoins différents et ne se substituent pas l'un à l'autre. L'audit organisationnel couvre l'ensemble des traitements de l'organisme ; l'audit de site web se concentre sur la partie visible, publique et — c'est le point décisif — contrôlable à distance.
Cette différence explique pourquoi le site web est le périmètre le plus exposé. La CNIL peut constater un manquement sur un bandeau cookies ou une politique de confidentialité sans mettre un pied dans vos locaux, depuis un simple contrôle en ligne. C'est le seul périmètre où un écart est visible par n'importe qui, y compris par un plaignant.
En pratique, beaucoup d'organismes commencent par le web pour cette raison : c'est là que le risque est le plus immédiat, et là que les correctifs sont les plus rapides à déployer.
6. Ce que doit contenir le rapport
Un rapport d'audit exploitable se reconnaît à sa capacité à être transmis tel quel à une direction, puis à un contrôleur. Il doit contenir :
- Un résumé exécutif lisible par un non-juriste : ce qui bloque, ce qui peut attendre.
- Un score global et un détail par thème, pour objectiver la progression entre deux audits.
- La liste des constats, chacun rattaché à une obligation précise du RGPD ou de la loi Informatique et Libertés.
- Un inventaire factuel : cookies observés, services tiers détectés, mentions présentes ou absentes.
- Des recommandations opérationnelles : quoi changer, où, et pourquoi.
- Une hiérarchisation par gravité, et non un pourcentage global qui masque les points bloquants.
Le dernier point mérite d'être souligné. Un score exprimé en pourcentage plat — « votre site est conforme à 78 % » — n'a aucun sens juridique : un unique manquement bloquant, comme le dépôt de cookies publicitaires avant consentement, pèse plus lourd que dix imprécisions rédactionnelles. La pondération par gravité n'est pas un détail de présentation.
7. Questions fréquentes
- C'est quoi un audit RGPD ?
- Un audit RGPD est un état des lieux documenté de la conformité d'un organisme au règlement (UE) 2016/679. Il compare les pratiques réelles — traitements, collectes, sous-traitants, sécurité, documentation — aux obligations du règlement, puis restitue les écarts sous forme de constats hiérarchisés et d'un plan d'action.
- L'audit RGPD est-il obligatoire ?
- Le RGPD n'impose nulle part un « audit » sous ce nom. Il impose en revanche le principe de responsabilité (article 5.2) : vous devez être en mesure de démontrer votre conformité. L'audit est le moyen le plus courant de produire cette démonstration, et c'est la première pièce demandée lors d'un contrôle de la CNIL.
- Quel est le prix d'un audit RGPD ?
- Un audit organisationnel complet mené par un cabinet se situe le plus souvent entre 3 000 et 7 000 € pour une TPE ou PME, et bien au-delà pour une ETI. Un audit limité au périmètre du site web est beaucoup moins coûteux : Complio le réalise de façon automatisée pour 106,80 € TTC, sans abonnement.
- Combien de temps prend un audit RGPD ?
- Un audit organisationnel s'étale généralement sur plusieurs semaines, le temps de conduire les entretiens métier et de collecter la documentation. Un audit automatisé du périmètre web ne nécessite aucun entretien : Complio livre son rapport en 5 à 10 minutes.
- Que risque-t-on en cas de non-conformité ?
- Le RGPD prévoit deux plafonds de sanction administrative : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les manquements visés à l'article 83.4, et jusqu'à 20 millions d'euros ou 4 % pour ceux de l'article 83.5. En pratique, la CNIL prononce aussi des mises en demeure, souvent publiques, et des injonctions sous astreinte.
- Faut-il refaire un audit RGPD régulièrement ?
- Oui. Un audit décrit un état à une date donnée. Un nouveau tag marketing, un changement de CMP, une refonte de formulaire suffisent à créer un écart. Sur le périmètre web, où les changements sont fréquents, un contrôle au moins semestriel est raisonnable.