Numerique
Votre conformité RGPD a été construite il y a trois ans et personne ne sait ce qu'un contrôleur trouverait aujourd'hui. Un audit RGPD mesure l'écart réel et le hiérarchise.
Contexte
Le RGPD ne demande pas d'être conforme, il demande de le prouver. L'article 5, paragraphe 2 impose au responsable de traitement d'être en mesure de démontrer le respect des principes, et l'article 24 lui impose des mesures techniques et organisationnelles appropriées pour s'en assurer et le démontrer. La différence est opérationnelle : une conformité qui existe dans les têtes mais pas dans les pièces ne vaut rien le jour d'un contrôle. Un audit RGPD sert à cela, rassembler les pièces ou constater qu'elles n'existent pas.
Le périmètre d'un diagnostic sérieux suit les obligations qui se contrôlent. Le registre des activités de traitement de l'article 30, dont la dispense pour les organisations de moins de 250 employés tombe dès lors que le traitement présente un risque, n'est pas occasionnel ou porte sur des données sensibles. Les mesures de sécurité de l'article 32, qui cite la pseudonymisation, le chiffrement et une procédure de test régulier de leur efficacité. Les analyses d'impact de l'article 35, obligatoires dans les trois cas de son paragraphe 3 et dans les quatorze types de traitements retenus par la délibération CNIL n° 2018-327 du 11 octobre 2018. La désignation d'un délégué à la protection des données de l'article 37. Et, pour chaque traitement, une base légale identifiée et documentée.
L'exigence s'est durcie sur trois fronts. La CNIL a mené 323 contrôles en 2025 et rendu 83 sanctions pour 486,8 millions d'euros, dont 67 par la procédure simplifiée, et annonce consacrer la moitié de ses contrôles de 2026 à la sécurité des données. Depuis le 28 mai 2026, l'article 22-1 de la loi du 6 janvier 1978 porte le plafond de cette procédure simplifiée à 100 000 euros d'amende et 500 euros par jour d'astreinte pour les responsables de traitement dont le chiffre d'affaires mondial dépasse 50 millions d'euros. Enfin, les clauses RGPD des appels d'offres et les vérifications d'investisseurs réclament des preuves, pas des attestations.
Problematique
Le cas le plus fréquent n'est pas l'entreprise qui n'a rien fait. C'est celle qui a traité son RGPD il y a trois ans, avec un registre en tableur, une politique de confidentialité et un bandeau cookies. Depuis, elle a changé de CRM, ajouté quatre outils SaaS, externalisé la paie et branché un agent conversationnel sur son support client. Rien de cela ne figure au registre. Les écarts se ressemblent d'un dossier à l'autre : sous-traitants sans contrat au sens de l'article 28, durées de conservation écrites mais jamais appliquées en base, formulaires sans base légale documentée, dépôt de traceurs avant le choix de l'internaute.
La découverte tardive coûte cher parce que le contrôle ne laisse pas le temps de corriger. L'article 19 de la loi du 6 janvier 1978 autorise les agents de la CNIL à accéder aux locaux de six heures à vingt et une heures, à demander communication de tout document quel qu'en soit le support, à accéder aux programmes informatiques et aux données, et à constater en ligne sous une identité d'emprunt. Le secret ne leur est pas opposable, sauf celui qui couvre les échanges entre un avocat et son client. Le procès-verbal est dressé contradictoirement : ce qui est constaté ce jour-là fixe le dossier.
Les suites sont chiffrées. L'article 20 de la même loi permet une injonction de mise en conformité assortie d'une astreinte pouvant atteindre 100 000 euros par jour de retard, et une amende plafonnée à 10 millions d'euros ou 2 % du chiffre d'affaires mondial, portée à 20 millions ou 4 % pour les manquements les plus graves. Les délibérations du 8 janvier 2026 l'illustrent : 27 millions d'euros contre Free Mobile et 15 millions contre Free, pour des mesures de sécurité inadaptées et une information incomplète des personnes après une violation touchant 24 millions de contrats. S'y ajoute un volet pénal : l'article 226-17 du code pénal punit de cinq ans d'emprisonnement et de 300 000 euros d'amende le fait de traiter des données sans mettre en oeuvre les mesures prescrites aux articles 24, 25, 30 et 32 du RGPD. Évaluer son niveau de conformité avant d'y être contraint reste le moins coûteux.
Solutions
Je commence par fixer le périmètre, parce qu'un audit sans limite ne se termine jamais. Nous arrêtons ensemble les entités, les processus métier et les systèmes couverts, ainsi que la profondeur attendue : diagnostic d'exposition en quelques jours, ou revue exhaustive traitement par traitement. Le périmètre est écrit dans la lettre de mission, avec les interlocuteurs à mobiliser et le calendrier. Vous savez dès le départ ce que l'audit couvre et ce qu'il ne couvre pas.
J'examine ensuite les pièces, pas les intentions. Registre confronté à la réalité des outils en production, contrats de sous-traitance et clauses de l'article 28, encadrement des transferts hors Union européenne, mentions d'information, parcours de consentement et configuration réelle du gestionnaire de traceurs, durées de conservation vérifiées dans les bases et non dans les tableurs, procédures de gestion des droits et des violations, analyses d'impact manquantes. Les entretiens avec la DSI, le marketing et les ressources humaines révèlent le reste : les traitements non déclarés viennent presque toujours de ces trois directions.
Le livrable est un rapport d'écarts hiérarchisés. Chaque écart est rattaché à son fondement, qualifié par sa criticité, puis assorti d'une action, d'un responsable et d'un délai. Vous obtenez un document opposable en interne pour arbitrer un budget, et exploitable en externe pour répondre au questionnaire de sécurité d'un grand compte ou aux vérifications d'un investisseur. Ce rapport est couvert par le secret professionnel de l'avocat, ce qu'un rapport de consultant n'est pas.
L'audit n'est pas une fin. Selon ce qu'il montre, il débouche sur une remédiation ciblée, sur l'externalisation de la fonction de délégué à la protection des données quand personne ne tient la conformité dans la durée, ou sur une préparation au contrôle CNIL quand une plainte est déjà déposée. J'interviens surtout auprès d'éditeurs de logiciels et de plateformes SaaS, dont l'exposition tient autant à leurs propres traitements qu'à leur qualité de sous-traitant. Décrivez-moi votre situation et je vous dirai quel périmètre est proportionné.
Je délimite le périmètre avec vous, puis je reconstitue la cartographie réelle des traitements à partir de trois sources : le registre déclaré, l'inventaire des applications et des flux fourni par la DSI, et les entretiens avec les directions métier. C'est cette confrontation qui fait apparaître les traitements orphelins, ceux que personne n'a déclarés parce que personne ne les considérait comme un traitement de données.
J'examine les pièces qui matérialisent la conformité : contrats de sous-traitance et clauses de l'article 28, encadrement des transferts hors Union européenne, mentions d'information, parcours de consentement et configuration des traceurs, procédures de gestion des droits et des violations, analyses d'impact. Chaque document est confronté à la pratique constatée, parce qu'un contrat conforme appliqué à un flux non conforme ne protège de rien.
Chaque écart constaté est rattaché à son fondement textuel, qualifié par sa criticité et son exposition réelle à une mesure correctrice, puis classé. Vous obtenez une lecture par niveau de risque plutôt qu'une liste indifférenciée de deux cents points. C'est ce classement qui permet d'arbitrer un budget de remédiation et de tenir un discours crédible face à un client ou à un investisseur qui vous interroge.
À chaque écart correspond une action, un responsable interne et un délai. Je reprends les documents à réécrire, j'assiste les négociations contractuelles avec les sous-traitants et je forme les équipes sur les points qui ont produit les écarts. Un point de contrôle à six mois vérifie que le plan a été exécuté, parce qu'un rapport d'audit non suivi d'effet aggrave la situation au lieu de l'améliorer : il prouve que vous saviez.
FAQ
Un audit RGPD est un diagnostic délimité qui mesure l'écart entre les obligations du règlement et la pratique réelle de l'entreprise. Il confronte le registre des traitements aux outils effectivement en production, examine les contrats de sous-traitance, les mentions d'information, les parcours de consentement, les durées de conservation appliquées en base et les procédures de gestion des droits. Le livrable est un rapport d'écarts rattachés à leur fondement, classés par criticité et assortis d'une action, d'un responsable et d'un délai. Ce n'est pas un programme de mise en conformité continue, c'est un état des lieux daté et opposable.
Presque toujours, oui. L'article 30, paragraphe 5 du RGPD dispense les organisations de moins de 250 employés de tenir un registre, mais cette dispense tombe dans trois cas : lorsque le traitement est susceptible de comporter un risque pour les droits et libertés des personnes, lorsqu'il n'est pas occasionnel, ou lorsqu'il porte sur des données sensibles ou relatives à des condamnations pénales. Une paie mensuelle, un fichier clients ou un outil de prospection sont des traitements permanents : la deuxième exception suffit à les faire entrer dans l'obligation. En pratique, la dispense ne couvre que des traitements ponctuels et isolés.
La formation restreinte peut prononcer une injonction de mise en conformité assortie d'une astreinte allant jusqu'à 100 000 euros par jour de retard, et une amende plafonnée à 10 millions d'euros ou 2 % du chiffre d'affaires mondial, portée à 20 millions ou 4 % pour les manquements les plus graves. La CNIL dispose aussi d'une procédure simplifiée, plus rapide et non publiée, dont le plafond est de 20 000 euros et, depuis le 28 mai 2026, de 100 000 euros au-delà de 50 millions d'euros de chiffre d'affaires mondial. En 2025, 67 des 83 sanctions ont été prononcées par cette voie.
Oui, et pas seulement sur le terrain administratif. L'article 226-17 du code pénal punit de cinq ans d'emprisonnement et de 300 000 euros d'amende le fait de procéder ou de faire procéder à un traitement de données sans mettre en oeuvre les mesures prescrites aux articles 24, 25, 30 et 32 du RGPD. L'absence de registre et l'insuffisance des mesures de sécurité relèvent donc aussi du pénal, et le pénal se poursuit contre des personnes physiques. Un audit documenté, suivi d'un plan d'action exécuté, reste la démonstration de diligence la plus solide dont un dirigeant dispose.
Le calendrier dépend du périmètre arrêté au cadrage. Un diagnostic d'exposition sur une entité unique, avec une dizaine de traitements et un système d'information simple, se conduit en une à deux semaines, entretiens compris. Une revue exhaustive d'un groupe multi-entités, avec des transferts hors Union européenne et une chaîne de sous-traitance étendue, demande six à dix semaines. Le facteur limitant n'est presque jamais l'analyse juridique : c'est la disponibilité de la DSI et l'état de la documentation existante. Un inventaire applicatif à jour fait gagner deux semaines à lui seul.
L'audit se déroule en quatre temps : cadrage et cartographie, analyse documentaire et contractuelle, rapport d'écarts, plan d'action. De votre côté, quatre pièces accélèrent tout : le registre des traitements dans sa dernière version, l'inventaire des applications et des prestataires avec les contrats associés, les mentions d'information et la politique de confidentialité en ligne, et l'historique des demandes d'exercice de droits et des incidents de sécurité. Comptez trois à cinq entretiens d'une heure avec la DSI, le marketing, les ressources humaines et, s'il existe, le délégué à la protection des données.
Les deux savent lire un registre. Une différence compte le jour du contrôle : l'article 19 de la loi du 6 janvier 1978 prévoit que le secret n'est pas opposable aux agents de la CNIL, sauf celui qui couvre les échanges entre un avocat et son client. Or un rapport d'audit liste noir sur blanc vos écarts, et entre les mains d'un consultant il est communicable. S'y ajoute la capacité à qualifier juridiquement un écart, à évaluer son exposition réelle à une sanction, puis à vous représenter devant la formation restreinte si une procédure CNIL s'ouvre.
Les deux sont utiles et aucun ne remplace un regard externe. Un logiciel de conformité structure un registre, il ne vérifie pas que ce registre correspond aux traitements réellement en production, ni qu'une durée de conservation écrite est appliquée en base. Un délégué à la protection des données interne connaît l'entreprise, mais il est juge et partie sur les choix qu'il a lui-même validés, et son indépendance fait précisément partie de ce que la CNIL contrôle. L'audit externe donne au délégué un état des lieux qu'il n'a pas à défendre, et au dirigeant une mesure indépendante de son exposition.
Nous accompagnons les entreprises de la tech et du commerce avec une double compétence juridique et technique, de l'analyse à la mise en œuvre.
Ressources
Un contrat à sécuriser, une mise en conformité à mener, un litige à anticiper ? Le premier rendez-vous sert à comprendre votre besoin et à vous dire clairement comment nous pouvons vous aider.
Avocat en droit du numérique et de la distribution, Barreau de Paris. Nous sécurisons vos contrats, vos données et votre activité.
Services
Secteurs
Nous contacter
