Évaluation RGPD : la grille d'auto-évaluation du dirigeant

Quelle différence entre auto-évaluation, audit et certification ?

L'auto-évaluation est un état des lieux réalisé par l'organisation elle-même. L'audit est une vérification méthodique menée par un tiers ou un DPO. La certification est une attestation délivrée par un organisme agréé, sur un périmètre précis et selon un référentiel approuvé.

Le RGPD n'impose aucune de ces démarches, mais un résultat : l'article 5, paragraphe 2, prévoit que le responsable du traitement « est en mesure de démontrer » le respect des principes, et l'article 24 lui demande des mesures « pour s'assurer et être en mesure de démontrer » la conformité (chapitre II et chapitre IV du RGPD). Une évaluation RGPD documentée est une première pièce de cette démonstration.

L'article 42 du RGPD précise que la certification « est volontaire et accessible via un processus transparent ». La CNIL approuve les référentiels et agrée les organismes certificateurs ; elle ne délivre plus de labels (CNIL, certification). Elle propose par ailleurs, depuis 2021, un modèle d'autoévaluation de maturité en cinq niveaux, portant sur huit activités, en précisant que cette méthode « n'a pas pour objet d'assurer de fait la conformité » (CNIL, autoévaluation de maturité). Pour un audit complet, consultez le guide Réussir son audit RGPD.

Comment coter chaque question ?

Chaque question appelle une réponse fermée, notée de 0 à 2. Le total par domaine, sur 6, donne un niveau et une priorité. Une pratique non documentée ne vaut jamais 2.

Un domaine à 5 ou 6 est tenu ; entre 3 et 4, il demande une formalisation ; à 2 ou moins, il est prioritaire. Faites répondre la personne qui tient le sujet, documents sous les yeux, et notez qui a répondu et quand : c'est ce qui distingue une évaluation RGPD exploitable d'une impression générale.

Les huit domaines de la grille

Les domaines suivent les premières étapes recommandées par la CNIL dans « RGPD : par où commencer ». Cochez ce qui est en place et documenté.

Pour trancher, appuyez-vous sur les textes. Le registre concerne tout organisme : la dérogation de l'article 30, paragraphe 5, pour les structures de moins de 250 employés ne couvre pas les traitements non occasionnels (CNIL, le registre). Une demande de droit se traite sous un mois, prolongeable de deux mois (article 12, paragraphe 3, chapitre III). Une violation se notifie à la CNIL « si possible, 72 heures au plus tard » après sa découverte (article 33). Une AIPD est requise dès que le traitement remplit deux des neuf critères du CEPD ou figure sur la liste de la CNIL (CNIL, AIPD). Sans texte fixant une durée, « il appartient au responsable du fichier de la déterminer en fonction de la finalité du traitement » (CNIL, durées de conservation). Cette évaluation RGPD par domaine débouche sur une première action.

Comment documenter le résultat de votre évaluation ?

Un score sans trace écrite ne prouve rien. Pour devenir une preuve de responsabilité, l'évaluation RGPD doit laisser un document daté et signé, assorti d'un plan d'action suivi. La CNIL en fait la dernière étape de son parcours : « Votre documentation doit démontrer que vous respectez les obligations prévues par le règlement européen » (CNIL, documenter la conformité).

1. 1Consigner — Enregistrez la grille remplie avec, pour chaque question, la note, le répondant, la date et la pièce consultée.
2. 2Prioriser — Classez les domaines par score croissant, puis par exposition (données sensibles, volume de personnes).
3. 3Planifier — Pour chaque domaine à 4 ou moins, inscrivez une action, un responsable et une échéance, validés par la direction.
4. 4Suivre — Fixez une date de réévaluation et conservez les versions successives.

Rangez le résultat avec les pièces que la CNIL recommande de regrouper : registre, AIPD, mentions d'information, contrats de sous-traitance, procédure de violation. Si les scores restent bas sur plusieurs domaines, un audit RGPD prend le relais, avec un périmètre déjà cadré. Le détail des obligations figure dans le guide Obligations RGPD des entreprises.

À retenir

• Auto-évaluation : état des lieux interne ; audit : regard extérieur ; certification : volontaire, délivrée par un organisme agréé.
• Huit domaines, trois questions notées de 0 à 2 : un domaine à 2 ou moins passe en tête du plan d'action.
• Une pratique sans preuve écrite ne vaut jamais la note maximale (articles 5.2 et 24 du RGPD).
• Le résultat se conserve daté et signé, avec un plan d'action validé et une date de réévaluation.