Un audit RGPD en PME suit six étapes : cartographier les traitements de données, vérifier le registre, contrôler les bases légales et l’information des personnes, évaluer la sécurité, examiner les contrats des sous-traitants, puis passer le site web au crible. Pour une TPE, l’ensemble tient souvent en quelques jours de travail ; pour une PME de cinquante à deux cents salariés, comptez plutôt deux à six semaines, selon le nombre de traitements et la disponibilité des équipes. L’audit débouche sur un état des lieux et un plan d’actions priorisé.
Les étapes d’un audit RGPD
1. Cartographier les traitements
On recense tout ce que l’entreprise fait avec des données personnelles : gestion des clients et prospects, paie et ressources humaines, recrutement, vidéosurveillance, newsletter, formulaires du site, outils de messagerie. Pour chaque traitement : quelles données, pour quelle finalité, qui y accède, où elles sont stockées, combien de temps.
Cette étape se fait par entretiens avec chaque service : direction, commercial, RH, comptabilité, informatique. C’est elle qui prend le plus de temps.
2. Vérifier le registre des traitements
Le RGPD impose de tenir un registre des activités de traitement. L’exemption prévue pour les entreprises de moins de 250 salariés est très limitée : dès qu’un traitement est régulier, comme la gestion des clients ou la paie, il doit y figurer. L’audit vérifie que ce registre existe, qu’il est complet et à jour. La CNIL propose un modèle simple.
3. Contrôler les bases légales et l’information
Chaque traitement doit reposer sur une base légale : contrat, obligation légale, intérêt légitime, consentement. L’audit vérifie aussi que les personnes sont informées (mentions sur les formulaires, politique de confidentialité, information des salariés) et que leurs droits peuvent s’exercer : accès, rectification, suppression, opposition.
4. Évaluer la sécurité
Gestion des mots de passe et des accès, sauvegardes, chiffrement des postes portables, mises à jour, procédure en cas de violation de données. La CNIL publie un guide de la sécurité des données personnelles qui sert de référence pratique.
5. Examiner les sous-traitants
Hébergeur, éditeur de logiciel de paie, outil d’e-mailing, CRM, prestataire informatique : chacun traite des données pour votre compte. Le contrat doit comporter les clauses prévues par le RGPD. On vérifie aussi les transferts de données hors de l’Union européenne.
6. Auditer le site web
Le site concentre plusieurs obligations visibles : bandeau de cookies conforme, absence de traceurs déposés avant consentement, mentions d’information sur chaque formulaire, politique de confidentialité à jour, sécurisation en HTTPS, durée de conservation des demandes de contact. Notre article sur les cookies et données personnelles pour rendre son site conforme détaille ce volet.
Combien de temps dure un audit RGPD ?
La durée dépend surtout du nombre de traitements et de la complexité des outils. Ordres de grandeur indicatifs :
| Taille de l’entreprise | Durée de l’audit | Temps mobilisé en interne |
|---|---|---|
| Indépendant ou TPE (moins de 10 salariés) | 2 à 5 jours | Quelques heures d’entretien |
| PME de 10 à 50 salariés | 1 à 3 semaines | Une à deux heures par service |
| PME de 50 à 250 salariés | 3 à 6 semaines | Entretiens par service, collecte de documents |
Les délais s’allongent quand les documents sont dispersés, quand l’entreprise utilise beaucoup d’outils en ligne ou quand elle traite des données sensibles (santé, données d’enfants). Un cabinet médical de quelques praticiens peut ainsi demander plus d’attention qu’une PME industrielle plus grande.
Quels livrables attendre d’un audit RGPD ?
- Un rapport d’état des lieux, traitement par traitement, avec les écarts constatés.
- Un registre des traitements créé ou mis à jour.
- Un plan d’actions priorisé : ce qui présente un risque fort à corriger tout de suite, ce qui peut attendre.
- Des modèles de documents : mentions d’information, politique de confidentialité, clauses sous-traitants, procédure de gestion des demandes et des violations de données.
- Une restitution à la direction, et éventuellement une sensibilisation des équipes.
Les actions correctives les plus fréquentes
- Mettre en place ou compléter le registre des traitements.
- Corriger le bandeau cookies et bloquer les traceurs avant consentement.
- Ajouter les mentions d’information sur les formulaires du site et les documents de recrutement.
- Définir des durées de conservation et supprimer les données trop anciennes : vieux CV, fichiers de prospects inactifs, exports oubliés.
- Faire signer ou mettre à jour les clauses avec les sous-traitants.
- Renforcer la sécurité : double authentification, gestion des départs de salariés, sauvegardes.
- Rédiger une procédure de gestion des demandes d’accès et des violations de données.
Une partie de ces actions porte directement sur le site : formulaires, cookies, sécurité, mises à jour. Elles s’intègrent naturellement dans une maintenance de site web suivie, qui garde le site conforme dans la durée.
Quel budget prévoir ?
Les ordres de grandeur courants du marché français vont de 1 000 à 3 000 € pour une TPE, et de 3 000 à 15 000 € ou davantage pour une PME, selon le périmètre, le nombre de traitements et le niveau d’accompagnement dans la mise en œuvre. Un audit limité au site web coûte nettement moins cher.
Questions fréquentes
Un audit RGPD est-il obligatoire ?
Le RGPD n’impose pas d’audit en tant que tel, mais il impose d’être en mesure de démontrer sa conformité. L’audit est la façon la plus directe de savoir où vous en êtes.
Faut-il nommer un délégué à la protection des données ?
C’est obligatoire seulement dans certains cas, par exemple pour les organismes publics ou les entreprises dont l’activité principale implique un suivi à grande échelle des personnes ou des données sensibles. Pour les autres PME, désigner un référent interne reste une bonne pratique.
À quelle fréquence refaire l’audit ?
Une revue annuelle légère suffit souvent, avec une mise à jour à chaque nouvel outil ou nouveau traitement. Un audit complet tous les deux à trois ans permet de repartir sur une base fiable.
Un projet ? Découvrez notre accompagnement : Maintenance de site web, ou contactez-nous pour en parler.