Un audit RGPD interne est mené par vos propres équipes : il coûte surtout du temps, mais manque souvent de recul et de compétences pointues. Un audit RGPD externe, confié à un cabinet ou à un consultant spécialisé, apporte un regard indépendant, une méthode éprouvée et un rapport plus solide à présenter en cas de contrôle, pour un budget de quelques milliers d’euros selon le périmètre. Beaucoup de PME combinent les deux : un audit externe pour poser le diagnostic, puis des contrôles internes réguliers.
À quoi sert un audit RGPD ?
Le RGPD n’impose pas d’audit en tant que tel. Il impose en revanche d’être en mesure de démontrer votre conformité : c’est le principe de responsabilité. Un audit sert précisément à faire l’état des lieux et à documenter vos pratiques :
- inventaire des traitements de données (clients, prospects, salariés, candidats, visiteurs du site) ;
- vérification du registre des traitements, des bases légales et des durées de conservation ;
- contrôle de l’information des personnes et du recueil du consentement, notamment pour les cookies ;
- revue des contrats avec les sous-traitants (hébergeur, logiciel de paie, CRM, outil d’emailing) ;
- évaluation de la sécurité : accès, mots de passe, sauvegardes, chiffrement ;
- procédures en cas de demande d’exercice de droits ou de violation de données.
Le livrable est généralement un rapport d’écarts accompagné d’un plan d’action priorisé. Pour connaître le déroulé et la durée type, consultez notre article sur les étapes et la durée d’un audit RGPD en PME.
L’audit RGPD interne : avantages et limites
L’audit interne est mené par un salarié (responsable administratif, juriste, référent informatique) ou par le délégué à la protection des données s’il en existe un.
Ses avantages
- Un coût direct faible : seul le temps passé est mobilisé.
- Une bonne connaissance de l’entreprise, de ses outils et de ses habitudes.
- Une démarche continue, facile à répéter chaque année.
Ses limites
- Le manque de recul : on voit mal les dérives auxquelles on s’est habitué.
- Les compétences : le RGPD mêle droit, sécurité informatique et organisation. Rares sont les PME qui disposent des trois en interne.
- Le temps : l’audit passe souvent après les urgences et s’étire sur des mois.
- La force probante : un auto-diagnostic pèse moins qu’une évaluation indépendante face à un client exigeant ou à un contrôleur.
L’audit RGPD externe : avantages et limites
Ses avantages
- L’objectivité : l’auditeur n’a pas d’intérêt à minimiser les écarts.
- L’expertise : méthode, grilles de contrôle et connaissance de la doctrine de la CNIL.
- La rapidité : un calendrier ferme, généralement de quelques semaines pour une PME.
- Un rapport documenté, utile en cas de contrôle de la CNIL, de demande d’un grand client ou d’appel d’offres.
Ses limites
- Le coût : en ordre de grandeur, un audit externe pour une PME se situe souvent entre 2 000 et 10 000 €, selon le périmètre, le nombre de traitements et de sites.
- Une connaissance de l’entreprise à construire, qui suppose de mobiliser vos équipes pour les entretiens.
- Un diagnostic ponctuel : sans suivi, les écarts réapparaissent.
Audit RGPD externe ou interne : la comparaison
| Critère | Audit interne | Audit externe |
|---|---|---|
| Coût | Temps des équipes | Quelques milliers d’euros selon le périmètre |
| Objectivité | Limitée | Forte |
| Compétences | Variables | Juridiques et techniques |
| Délai | Souvent long | Quelques semaines |
| Valeur en cas de contrôle | Moyenne | Élevée |
Un point important : l’audit externe ne transfère pas la responsabilité. C’est toujours l’entreprise, en tant que responsable de traitement, qui répond de sa conformité. Le rapport démontre votre démarche, il ne vous en exonère pas.
Comment choisir un auditeur RGPD externe ?
- Une double compétence juridique et technique, ou une équipe qui réunit les deux profils.
- Des références dans votre secteur ou votre taille d’entreprise : les enjeux d’un cabinet médical, d’un site e-commerce ou d’une entreprise industrielle diffèrent.
- Une méthode expliquée : référentiel utilisé, entretiens prévus, documents demandés.
- Des livrables précis : rapport d’écarts, niveau de risque par point, plan d’action priorisé, modèles de documents.
- Les certifications éventuelles, comme une certification des compétences de délégué à la protection des données selon un référentiel approuvé par la CNIL.
- L’indépendance : méfiez-vous d’un auditeur qui conditionne ses conclusions à la vente d’un logiciel ou d’un abonnement.
- Un engagement de confidentialité et une assurance responsabilité civile professionnelle.
Comment traiter les écarts liés au site internet ?
Une partie des écarts relevés concerne presque toujours le site : bandeau cookies non conforme, formulaires collectant trop de données, mentions légales incomplètes, extensions obsolètes, absence de sauvegardes ou de certificat de sécurité. Ces corrections relèvent de la technique et doivent être maintenues dans le temps, car chaque mise à jour ou nouvel outil peut créer un nouvel écart. Elles s’intègrent naturellement dans un contrat de maintenance de site web qui inclut le suivi de la conformité technique.
Questions fréquentes
Un audit RGPD est-il obligatoire pour une PME ?
Non, aucun texte n’impose un audit en tant que tel. En revanche, vous devez pouvoir prouver votre conformité, ce qui suppose un registre des traitements, des procédures et une documentation à jour. L’audit est le moyen le plus simple d’y parvenir.
À quelle fréquence refaire un audit RGPD ?
Un audit complet tous les deux à trois ans est une pratique courante, avec des contrôles internes annuels plus légers. Refaites un audit en cas de changement important : nouveau logiciel, nouveau site, rachat, nouvelle activité.
Le délégué à la protection des données peut-il réaliser l’audit ?
Oui, s’il existe un DPO, interne ou externe, l’audit fait partie de ses missions de contrôle. S’il est salarié, il garde les limites d’un audit interne en termes de recul. Un regard extérieur ponctuel reste utile pour valider son travail.
Un projet ? Découvrez notre accompagnement : Maintenance de site web, ou contactez-nous pour en parler.