Comment Réaliser un Audit RGPD de votre Entreprise en Une Journée

Un audit RGPD formel conduit par un spécialiste externe est un investissement utile pour de nombreuses entreprises — mais ce n’est pas la seule façon de comprendre votre position de conformité. Une auto-évaluation structurée, réalisée honnêtement et systématiquement, révélera la majorité des lacunes significatives et vous fournira une liste d’actions claire.

Ce guide vous guide à travers un auto-audit RGPD en une journée. Bloquez une journée entière de travail, avancez dans les sections dans l’ordre et documentez vos réponses.

Avant de commencer : rassemblez ce qu’il vous faut

Bloquez la journée dans votre agenda. Collectez les éléments suivants :

• Votre notice de confidentialité actuelle (depuis votre site web)
• Les Accords de Traitement des Données avec vos prestataires logiciels
• Votre politique de conservation des données actuelle (si elle existe)
• Les 12 derniers mois de demandes de personnes concernées
• Votre registre des violations (s’il existe)
• Les registres de formation du personnel en protection des données

Si l’un de ces éléments n’existe pas, notez-le. Son absence est en elle-même un constat.

Matin (9h–12h) : Le paysage des données

9:00 — Registre des Activités de Traitement

Passez en revue chaque catégorie de données personnelles traitées par votre entreprise. Pour chacune, répondez :

• Quelles données collectons-nous ?
• Pourquoi les collectons-nous ? (la finalité)
• Quelle est notre base légale ?
• Où sont-elles stockées ?
• Qui y a accès ?
• Combien de temps les conservons-nous ?
• Avec qui les partageons-nous ?

Score : Rouge si vous ne pouvez pas répondre. Ambre si vous avez des réponses approximatives mais non documentées. Vert si vous avez des réponses documentées et à jour.

10:30 — Évaluation de la Base Légale

Pour chaque activité de traitement, la base légale est-elle correcte et documentée ?

Surveillez ces erreurs courantes :

• Utiliser le consentement là où une base plus appropriée s’applique
• Invoquer les intérêts légitimes sans test de mise en balance documenté
• Traiter des données de catégories spéciales sans condition supplémentaire de l’Article 9

11:00 — Révision de la Notice de Confidentialité

Lisez votre notice de confidentialité comme si vous ne l’aviez jamais vue. Vérifiez :

• Décrit-elle avec précision toutes les activités de traitement ?
• Nomme-t-elle tous les sous-traitants et tiers ?
• Explique-t-elle la base légale pour chaque catégorie ?
• Explique-t-elle les durées de conservation ?
• Explique-t-elle comment les personnes peuvent exercer leurs droits ?
• Est-elle rédigée dans un langage compréhensible ?
• Est-elle à jour ?

11:30 — Registre des Sous-traitants

Listez chaque entreprise qui traite des données personnelles en votre nom. Pour chacune :

• Un Accord de Traitement des Données signé est-il en place ?
• L’ATD est-il à jour ?
• Comprend-il les clauses obligatoires de l’Article 28 du RGPD ?

Déjeuner : Scorecard et priorisation

Passez en revue vos constats Rouges de la matinée. Classez-les par :

1. Risque réglementaire : les lacunes liées au consentement, à la base légale et aux accords sous-traitants attirent les amendes les plus élevées
2. Risque opérationnel : les lacunes qui empêcheraient de répondre à une violation ou une demande de droits
3. Volume : les lacunes affectant de nombreux individus sont plus lourdement pondérées

Rédigez vos cinq actions urgentes prioritaires.

Après-midi (13h–17h) : Les contrôles opérationnels

13:00 — Processus de Droits des Personnes Concernées

Testez votre processus. Demandez-vous : si un client nous envoyait un email aujourd’hui demandant une copie de toutes ses données, que se passerait-il ?

• Existe-t-il un canal désigné pour ces demandes ?
• Existe-t-il un processus documenté ?
• Qui est responsable de répondre ?
• Pouvons-nous localiser toutes les données d’un individu dans tous nos systèmes ?
• Pouvons-nous supprimer des données de tous les systèmes suite à une demande d’effacement ?

14:00 — Réponse aux Violations

Si nous découvrions demain un accès non autorisé à des données personnelles, que ferions-nous ?

• Avons-nous une procédure écrite de réponse aux violations ?
• Chaque employé sait-il comment signaler une violation suspectée ?
• Y a-t-il une personne nommée responsable des décisions d’évaluation ?
• Avons-nous un registre des violations ?

14:30 — Conservation des Données

Prélevez un échantillon de vos données — des dossiers clients d’il y a deux ans, des dossiers d’anciens employés, des listes de prospects inactifs.

• Ces données devraient-elles toujours être conservées ?
• Existe-t-il une durée de conservation définie pour chaque catégorie ?
• La conservation est-elle appliquée automatiquement ou manuellement ?

15:00 — Contrôles d’Accès

• L’accès aux données personnelles est-il limité à ceux qui en ont besoin ?
• Les comptes des anciens employés ont-ils été désactivés ?
• L’authentification multifacteur est-elle appliquée sur les systèmes contenant des données personnelles ?

15:30 — Formation

• Tous les employés qui traitent des données personnelles ont-ils reçu une formation RGPD au cours des 12 derniers mois ?
• Des registres individuels de complétion sont-ils maintenus ?

16:00 — Transferts internationaux

Si vous utilisez des logiciels qui transfèrent des données hors UE/EEE :

• Existe-t-il un mécanisme légal pour chaque transfert ?
• Une Évaluation d’Impact du Transfert est-elle en place pour les transferts vers les États-Unis ?

Fin de journée : Le résultat de l’audit

À 17h, vous devriez avoir :

1. Une évaluation Rouge/Ambre/Vert dans toutes les sections
2. Une liste priorisée des lacunes les plus urgentes
3. Une compréhension de si les lacunes sont systémiques ou opérationnelles

Les lacunes systémiques — pas de registre, pas de procédure de violation, pas d’ATD — doivent être traitées en premier. Les lacunes opérationnelles sont généralement plus rapides à corriger.

Que faire des résultats

Le résultat de l’audit est une liste d’actions, pas un rapport à classer. Assignez un responsable et une échéance à chaque constat Rouge. L’entreprise qui réalise cet audit et agit sur les résultats est substantiellement mieux positionnée que celle qui ne le fait jamais.