Audit RGPD : définition

Ce qu'il faut comprendre

Le RGPD n'emploie pas l'expression « audit RGPD », mais il en pose les fondements. Le responsable de traitement doit pouvoir démontrer sa conformité. Il doit tester et évaluer régulièrement l'efficacité de ses mesures de sécurité. Le DPO contrôle le respect du règlement, y compris par des audits. Le contrat de sous-traitance prévoit un droit d'audit sur le prestataire.

Un audit couvre généralement la gouvernance, le registre, les bases légales, l'information des personnes, la gestion des droits, les durées de conservation, les contrats avec les sous-traitants, la sécurité et la gestion des violations. Il s'appuie sur des entretiens, des documents et des vérifications techniques. Il peut être mené par le DPO, par un service interne indépendant ou par un prestataire extérieur.

Il se distingue de l'auto-évaluation, réalisée en interne à partir d'un questionnaire, et du contrôle de la CNIL, qui est une procédure officielle pouvant aboutir à une sanction. Un audit n'est pas une certification : il produit un constat et des recommandations, pas un label. Erreur fréquente : réaliser l'audit sans plan d'actions ni suivi. Sa valeur tient aux corrections qu'il déclenche.

Exemple concret

Une communauté de communes commande un audit avant de renouveler ses marchés informatiques. L'auditeur constate que le registre ne mentionne pas la vidéoprotection, que plusieurs contrats d'éditeurs n'ont pas de clauses de sous-traitance et que les comptes d'anciens agents restent actifs. Le rapport classe ces écarts par niveau de risque et fixe un calendrier de correction.

Textes de référence

• RGPD, art. 24
• RGPD, art. 32, 1, d)
• RGPD, art. 39, 1, b)

Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.