Un audit RGPD vérifie la conformité des traitements de données personnelles d’une entreprise aux exigences du règlement européen. En 2025, la CNIL a prononcé 87 sanctions pour un montant cumulé de 98 millions d’euros — un record. Les entreprises qui auditent régulièrement leurs pratiques détectent les écarts avant que l’autorité de contrôle ne les découvre.
Trois raisons de ne pas reporter son audit
Le risque financier s’est accéléré
La CNIL a quadruplé le nombre de ses contrôles entre 2020 et 2025. Les sanctions touchent désormais des entreprises de toute taille : PME, ETI, grands groupes. Le montant moyen par sanction a dépassé 1,1 million d’euros en 2025.
Le risque réputationnel pèse autant que l’amende
Une mise en demeure publique de la CNIL génère une couverture médiatique négative immédiate. Les clients BtoB intègrent la conformité RGPD dans leurs critères de sélection de fournisseurs. 73 % des acheteurs professionnels vérifient le niveau de conformité RGPD de leurs prestataires (baromètre Data Legal Drive, 2025).
Les obligations croisées se multiplient
L’entrée en application de l’IA Act impose de documenter l’impact des systèmes d’IA sur les données personnelles. Les exigences NIS 2 et DORA en matière de cybersécurité renforcent le volet sécurité du RGPD. Un audit global couvre ces interconnexions.
Méthodologie d’audit en cinq étapes
1. Cartographier chaque traitement
Recenser tous les traitements de données personnelles : CRM, paie, vidéosurveillance, cookies, newsletters, fichiers RH. Pour chaque traitement, documenter :
- La finalité précise
- La base légale retenue (consentement, contrat, obligation légale, intérêt légitime, mission publique, intérêts vitaux)
- Les catégories de données collectées
- La durée de conservation appliquée
- Les destinataires internes et externes
Un registre complet contient en moyenne 40 à 120 traitements pour une PME de 50 salariés.
2. Analyser chaque base légale
Vérifier que chaque traitement repose sur une base légale valide. Le point faible le plus fréquent : l’intérêt légitime.
Ce fondement exige un test de proportionnalité documenté (balancing test) :
| Critère du test | Question à se poser |
|---|---|
| Légitimité | L’intérêt poursuivi est-il légitime et clairement défini ? |
| Nécessité | Le traitement est-il strictement nécessaire pour atteindre cet objectif ? |
| Proportionnalité | Les droits des personnes sont-ils respectés malgré le traitement ? |
48 % des entreprises sanctionnées par la CNIL entre 2023 et 2025 l’ont été pour un défaut de base légale (rapport annuel CNIL 2025).
3. Tester les droits des personnes
Envoyer des demandes test pour évaluer la réactivité des processus internes :
- Droit d’accès : l’entreprise répond-elle sous 30 jours avec l’ensemble des informations exigées (article 15) ?
- Droit de rectification : la modification est-elle propagée à tous les systèmes ?
- Droit à l’effacement : les données sont-elles supprimées y compris dans les sauvegardes (dans un délai raisonnable) ?
- Droit à la portabilité : les données sont-elles fournies dans un format structuré et lisible par machine ?
- Droit d’opposition : le traitement cesse-t-il effectivement après la demande ?
4. Auditer les mesures de sécurité
L’article 32 du RGPD impose des mesures techniques et organisationnelles « appropriées au risque ». L’audit vérifie :
- Le chiffrement des données sensibles (au repos et en transit)
- La pseudonymisation des jeux de données à risque
- Le contrôle d’accès basé sur les rôles (RBAC)
- Les procédures de sauvegarde et de restauration
- La journalisation des accès aux données personnelles
- La gestion des sous-traitants (clauses contractuelles article 28)
Cette revue s’intègre dans le cadre plus large des obligations de cybersécurité imposées par NIS 2 et DORA.
5. Vérifier les transferts hors UE
Depuis l’invalidation du Privacy Shield (arrêt Schrems II, 2020), les transferts vers des pays tiers exigent des garanties renforcées :
- Décision d’adéquation : le pays offre un niveau de protection équivalent (Data Privacy Framework UE-US depuis juillet 2023)
- Clauses contractuelles types (CCT) : modèles adoptés par la Commission européenne
- Règles d’entreprise contraignantes (BCR) : pour les transferts intragroupe
Vérifier chaque prestataire utilisant des serveurs hors UE. Les outils legaltech cloud américains méritent une attention particulière.
Les cinq erreurs les plus fréquentes
| Erreur | Taux de survenance | Correction |
|---|---|---|
| Registre des traitements incomplet ou obsolète | 67 % des entreprises auditées | Révision trimestrielle avec les responsables métier |
| Consentement non conforme (cases pré-cochées, bundled consent) | 54 % | Refonte des formulaires avec opt-in explicite |
| Absence de DPO alors qu’il est obligatoire | 31 % | Désigner un DPO interne ou externaliser la fonction |
| Sous-traitants non encadrés contractuellement | 45 % | Intégrer les clauses article 28 dans chaque contrat |
| Durées de conservation non appliquées | 58 % | Automatiser les purges dans chaque application |
Source : rapport annuel CNIL 2025 et observatoire AFCDP 2025.
Points de vigilance spécifiques pour 2026
Cookies et traceurs. La CNIL maintient une pression forte. Les sanctions cumulées sur ce sujet dépassent 150 millions d’euros depuis 2020. Vérifier le fonctionnement du bandeau de consentement sur mobile et desktop.
IA et données personnelles. Les entreprises utilisant des systèmes d’IA classés à haut risque par l’IA Act doivent documenter l’impact de ces systèmes sur les données personnelles (analyse d’impact article 35 du RGPD).
Profilage automatisé. L’article 22 interdit les décisions produisant des effets juridiques fondées exclusivement sur un traitement automatisé. Les algorithmes de scoring crédit, de recrutement ou d’assurance doivent intégrer un mécanisme d’intervention humaine.
Structurer une gouvernance durable
Un audit ponctuel ne suffit pas. La conformité RGPD s’inscrit dans un cycle continu :
- Trimestriel : mise à jour du registre, revue des incidents
- Semestriel : formation des nouveaux collaborateurs, test des procédures de droits
- Annuel : audit complet, révision de la politique de protection des données, rapport au comité de direction
Cette gouvernance rejoint la logique de structuration d’une entreprise bien gouvernée, au même titre que la rédaction rigoureuse d’un pacte d’associés ou la souscription d’une assurance dirigeant.
Prochaine étape : planifier un audit flash sur les 5 traitements les plus sensibles de l’entreprise. Résultat exploitable sous 15 jours.