Quand un audit RGPD est-il utile ?
Un audit est particulièrement pertinent si :
- vous lancez ou refondez un site web, une application web ou un outil interne ;
- vous collectez des prospects avec des formulaires, une prise de rendez-vous, un chat ou une newsletter ;
- vous gérez des comptes utilisateurs, des profils ou des historiques ;
- vous traitez des données nécessitant une vigilance particulière : santé, mineurs, données sociales, géolocalisation ou documents ;
- vous utilisez plusieurs prestataires : CRM, emailing, analytics, support, paiements ou hébergement ;
- vous avez déjà subi un incident : fuite, accès non autorisé, erreur d’envoi ou perte de données ;
- vous ne savez pas exactement où partent les données.
Si vous avez déjà entendu « on a un export Excel quelque part », « c’est dans l’outil X, mais aussi dans Y » ou « on garde tout au cas où », l’audit peut vous faire gagner du temps.
Ce qu’on audite et ce qu’on n’audite pas
Un audit RGPD sérieux couvre trois dimensions. C’est leur alignement qui fait la différence.
1. Les processus et l’organisation
- Qui collecte quelles données et pour quel usage ?
- Qui y a accès et comment les droits sont-ils gérés ?
- Comment traite-t-on une demande d’accès ou de suppression ?
- Quels sont les délais de conservation ?
2. Les documents et l’information
- la politique de confidentialité ;
- les mentions d’information sur les formulaires ;
- la gestion des cookies : bannière, consentement et preuve ;
- les contrats et accords de traitement des données avec les sous-traitants, lorsque cela s’applique ;
- le registre des traitements et les responsabilités.
3. La sécurité et l’architecture technique
- la cartographie des flux entre le site, le CRM, l’emailing et les autres outils ;
- le stockage dans les bases de données, les fichiers et les sauvegardes ;
- l’hébergement, la localisation des données et les transferts hors de l’Union européenne, s’il y en a ;
- l’authentification, les permissions et les journaux d’activité ;
- la traçabilité, la suppression, l’anonymisation et la pseudonymisation ;
- la minimisation : ne collecter que ce qui est utile.
Un audit RGPD n’est pas :
- une certification automatique ;
- une garantie à 100 % contre tout risque ;
- un avis juridique exhaustif. Pour les cas complexes, il faut impliquer un délégué à la protection des données, ou DPO, ou un avocat.
Exemples concrets : où le RGPD se joue vraiment
1. Du formulaire de contact au CRM et à l’emailing
Le processus typique suit trois étapes :
- Un prospect remplit un formulaire sur le site.
- Les données partent dans un CRM, comme HubSpot, Odoo ou Pipedrive.
- Une séquence email se déclenche, par exemple avec Brevo ou Mailchimp.
Les points à vérifier concernent :
- une information claire sur la finalité, la durée de conservation et les droits ;
- la base légale, avec l’intérêt légitime ou le consentement selon l’usage ;
- la preuve du consentement pour une newsletter lorsque celui-ci est requis ;
- la durée de conservation et la purge ;
- les sous-traitants et leurs accords de traitement des données.
2. Un espace client avec des comptes et des documents
Le client se connecte puis accède à des factures, des contrats ou des dossiers. Ce parcours doit être examiné sur plusieurs points :
- les droits d’accès et l’isolation entre les comptes ou les organisations ;
- la sécurisation des liens vers les documents ;
- les journaux d’accès ;
- la politique de mot de passe et l’authentification multifacteur si nécessaire ;
- la durée de conservation et la suppression.
3. Les cookies, les outils de mesure et les pixels
Ces outils sont faciles à ajouter, mais leur comportement peut être difficile à maîtriser. L’audit vérifie :
- le déclenchement des traceurs uniquement après consentement lorsque celui-ci est requis ;
- la cohérence entre la bannière et le comportement réel du site ;
- la liste des finalités et des fournisseurs ;
- la possibilité de retirer simplement son consentement.
Comment se déroule un audit RGPD ?
Étape 1 : cadrer le périmètre et les objectifs
Nous listons les applications concernées, comme le site, l’application web, les outils internes, le CRM ou le support, ainsi que les équipes et les risques majeurs. L’objectif est de ne pas s’éparpiller.
Étape 2 : cartographier les données et les flux
Nous identifions :
- quelles données personnelles sont collectées ;
- par qui et pour qui ;
- où elles transitent ;
- où elles sont stockées ;
- combien de temps elles sont conservées.
Étape 3 : analyser les écarts
Nous comparons les documents, les processus et la technique aux exigences et aux bonnes pratiques : information, consentement, sécurité, droits, conservation et sous-traitance.
Étape 4 : établir un plan d’actions priorisé
Plutôt qu’une liste interminable, nous hiérarchisons les actions selon :
- le risque, en tenant compte de l’impact et de la probabilité ;
- l’effort, en temps et en coût ;
- les dépendances techniques et organisationnelles.
Les livrables attendus
Un audit utile vous laisse des éléments directement exploitables, par exemple :
- une cartographie des flux simple à relire ;
- un inventaire des traitements et des données ;
- une liste d’écarts avec des preuves et du contexte ;
- un plan d’actions priorisé distinguant les corrections rapides des chantiers de fond ;
- des recommandations techniques sur l’authentification, les accès, les journaux, le stockage et la purge ;
- si nécessaire, des éléments pour mettre à jour la politique de confidentialité, les formulaires et les informations sur les cookies.
Les corrections rapides que l’on rencontre souvent
Sans connaître votre contexte, voici des actions fréquentes à fort impact et souvent rapides à mettre en œuvre :
- clarifier les mentions sous chaque formulaire : finalité, durée et droits ;
- réduire les champs pour limiter la collecte ;
- mettre en place une purge automatique des prospects inactifs et des comptes inutilisés ;
- corriger une bannière cookies qui n’empêche pas réellement le déclenchement des traceurs ;
- supprimer les exports Excel partagés sans contrôle ;
- vérifier les droits d’accès dans l’administration ;
- sécuriser le stockage des documents avec des liens non publics, des permissions et une expiration.
Combien de temps prend un audit RGPD ?
La durée dépend surtout du périmètre :
- un site vitrine avec des formulaires et des outils de mesure peut être audité rapidement ;
- une application web avec des comptes, des documents et des intégrations demande un travail plus structurant ;
- un système d’information réunissant CRM, support, ERP et ressources humaines nécessite un audit plus large.
La bonne approche consiste à commencer par un périmètre prioritaire, qui collecte le plus de données ou présente le plus de risques, puis à étendre l’analyse.
Un plan clair pour mieux maîtriser vos données
Un audit RGPD bien mené n’est pas un document de plus. C’est une mise à plat utile pour savoir où sont les données, quels sont les risques et quoi faire en premier.
Chez Alba, nous privilégions des audits pilotables : des constats clairs, des preuves et un plan d’actions applicable par vos équipes ou votre prestataire.
Nous pouvons auditer votre site ou votre application web, y compris la technique et les intégrations, pour vous livrer un plan d’actions clair, priorisé et réaliste.
Cet article est informatif et ne remplace pas un conseil juridique. Selon les cas, notamment les données sensibles, les transferts hors de l’Union européenne ou les secteurs réglementés, l’implication d’un DPO ou d’un avocat est recommandée.