RCM
Contrôles essentiels
CHECKLIST · AUDIT RGPDChecklist d’audit RGPD.
Checklist d’audit RGPD.
Les preuves à préparer.
Une checklist utile ne demande pas seulement si un document existe. Elle vérifie si le document correspond aux pratiques, si les décisions sont traçables et si les mesures annoncées sont réellement appliquées.
Un audit RGPD crédible commence par un périmètre défini, relie chaque traitement à une finalité et une base juridique, contrôle l’information des personnes, les contrats, les transferts, la sécurité et les procédures, puis transforme les écarts en actions hiérarchisées.
Écarts hiérarchisés
Checklist téléchargeable
Périmètre et gouvernance
Entités et activités
Lister les entités, produits, sites, équipes et systèmes compris dans l’audit.
Responsabilités
Identifier les responsables métiers, IT, sécurité, RH, marketing, juridique et direction.
Décisions antérieures
Réunir audits, incidents, AIPD, échanges d’autorités et plans d’action existants.
Traitements, bases et transparence
Inventaire
Comparer le registre aux applications, fichiers, formulaires et pratiques réellement utilisés.
Bases légales
Documenter la base de chaque finalité sans utiliser le consentement par défaut.
Information
Vérifier les mentions destinées aux clients, candidats, salariés, utilisateurs et prospects.
Fournisseurs, transferts et sécurité
Sous-traitants
Contrôler le rôle, le contrat, les instructions, les sous-traitants ultérieurs et la restitution des données.
Transferts
Identifier hébergement, support et accès hors EEE, puis documenter le mécanisme et l’évaluation nécessaires.
Sécurité
Relier les mesures organisationnelles et techniques aux risques : accès, sauvegardes, chiffrement, journalisation et continuité.
Droits, incidents et amélioration
Demandes
Tester réception, vérification d’identité, recherche, décision, réponse et preuve du respect des délais.
Violations
Vérifier le registre, l’escalade, l’analyse du risque et la préparation des notifications.
Plan d’action
Attribuer priorité, responsable, échéance, dépendances et preuve de clôture à chaque écart.
MISE EN PRATIQUE
Passer de la checklist à une décision documentée
Définir un périmètre d’audit exploitable
Un audit peut couvrir une entité, un produit, une fonction comme les RH, un canal numérique ou l’ensemble du programme. Le périmètre doit préciser les systèmes, périodes, pays, catégories de personnes et fournisseurs examinés. Sans cette limite, le prix et le calendrier deviennent difficiles à tenir et les conclusions risquent de rester trop générales.
Un bon cadrage identifie aussi les interlocuteurs, les échantillons, les critères de notation et les exclusions. L’audit documentaire peut vérifier la cohérence des politiques, registres, contrats et preuves. Il ne constitue pas automatiquement un test d’intrusion, une certification de sécurité ou une opinion juridique sur toutes les réglementations applicables.
Construire une salle de preuves
Préparez une arborescence simple reliant chaque contrôle à une preuve datée : registre, notices, formulaires, contrats, décisions de conservation, rapports d’accès, tickets d’incident, exercices de droits et comptes rendus de comité. Une politique non appliquée ne suffit pas; l’auditeur cherche la correspondance entre le texte, les outils et les pratiques observées.
Les preuves doivent être proportionnées et protégées. Il n’est pas nécessaire de transmettre davantage de données personnelles que l’audit n’en exige. Les accès temporaires, la confidentialité, la conservation des copies et les personnes autorisées doivent être définis avant la collecte, en particulier lorsque les documents contiennent des données RH, de santé ou de sécurité.
Transformer les constats en feuille de route
Chaque constat doit décrire le fait observé, la preuve, le risque, l’exigence concernée et l’action recommandée. La priorité combine impact potentiel, vraisemblance, urgence réglementaire, dépendances techniques et effort. Une liste de modèles de documents sans propriétaire ni échéance ne constitue pas une feuille de route opérationnelle.
Après restitution, la direction choisit les risques à traiter et attribue budgets et responsables. Les preuves de clôture doivent être définies dès le départ, puis vérifiées. Un contrôle de suivi peut confirmer l’exécution, mais il ne transforme pas l’audit en garantie permanente : les traitements, fournisseurs, technologies et règles évoluent.
PDF · RESSOURCE PRATIQUE
Recevoir la version PDF
Recevez la version structurée à utiliser pendant votre préparation.
FAQ
Questions fréquentes
Un audit RGPD est-il obligatoire ?+
Pas dans tous les cas, mais le responsable doit être capable de démontrer et contrôler sa conformité.
Combien de temps dure un audit ?+
La durée dépend du périmètre, du nombre de traitements, des entités, des fournisseurs et de la disponibilité des preuves.
Quelle différence entre audit et mise en conformité ?+
L’audit établit les constats. La mise en conformité exécute et documente les actions retenues.
Faut-il auditer la sécurité technique ?+
L’audit RGPD examine les preuves et la gouvernance de sécurité. Les tests techniques approfondis nécessitent un spécialiste cybersécurité.
Que doit contenir le rapport ?+
Périmètre, méthode, constats, niveau de risque, recommandations, priorités, responsabilités et limites.
Ce guide fournit un cadre général et ne remplace pas l’analyse de votre situation ni un conseil juridique réservé.
RCM
Voir le prix d’un audit →Besoin d’un audit avec restitution ?
RCM définit le périmètre, analyse les preuves et livre une feuille de route exploitable.