Une politique de confidentialité peut être exacte le jour de sa publication et fausse six mois plus tard. Une équipe ajoute un outil, le support exporte des conversations, un SDK change sa collecte, une sauvegarde est conservée sans limite.
Le dossier documentaire ne suffit pas. La conformité technique seule non plus.
L’audit relie quatre réalités : ce que l’organisation affirme, ce qu’elle a décidé, ce que ses systèmes font et ce que les personnes vivent. Les divergences constituent le cœur du diagnostic.
1. Les chiffres de la CNIL pour situer le risque
En 2025, la CNIL a reçu 20 150 plaintes, soit 10 % de plus qu’en 2024. Environ 1 900 concernaient directement des violations de données. Les plaintes portaient sur le travail, le commerce, l’immobilier, les réseaux sociaux et d’autres contextes.
La CNIL a mené 323 contrôles et rendu 259 mesures correctrices : 83 sanctions, 143 mises en demeure, 31 rappels aux obligations et deux avertissements. Les 78 amendes totalisaient 486 839 500 euros, montant largement influencé par deux décisions majeures. Un audit ne doit donc ni minimiser le risque, ni calculer une « amende probable » par règle de trois.
L’autorité a reçu 6 167 notifications de violations en 2025. Un incident déclaré sur deux relevait d’un piratage. Les violations étaient souvent massives et impliquaient fréquemment des prestataires selon son bilan.
La cybersécurité représentait un tiers des contrôles et près de 30 % des sanctions. En 2026, la CNIL annonce consacrer 50 % de ses contrôles et actions répressives à la sécurité des données. La sécurité n’est pas une annexe de l’audit RGPD.
Les traceurs restent également contrôlés. Les sanctions 2025 contre Google et Shein, respectivement 325 et 150 millions d’euros, incluaient des manquements liés aux cookies. Leur ampleur et leur contexte ne sont pas transposables à toute entreprise, mais les faits — dépôt, refus, retrait — sont techniquement vérifiables.
2. La lettre d’assurance : ce que l’audit peut conclure
Le commanditaire définit l’objectif : revue globale, préparation à un contrôle, acquisition, incident, nouvelle activité ou vérification d’un plan précédent.
La lettre de mission précise entités, pays, périodes, traitements, systèmes, sous-traitants et exclusions. Elle décrit les accès, entretiens, échantillons et tests autorisés. Elle identifie DPO, responsables, conseils et comité destinataire.
L’audit n’émet pas une certification universelle « conforme RGPD ». Il fournit une assurance raisonnable sur un périmètre et à une date, selon les preuves accessibles. Les limites sont visibles.
L’indépendance est organisée. L’auditeur ne valide pas seul les procédures qu’il a conçues. Le DPO conserve son rôle de conseil et de contrôle ; les responsables opérationnels restent propriétaires des corrections.
3. L’univers d’audit et l’échantillonnage
Le registre fournit une base, mais l’auditeur cherche aussi les traitements absents. Sources : achats SaaS, factures, tag manager, applications, API, entrepôts, RH, support, marketing, fichiers partagés et sous-traitants.
Chaque traitement reçoit des facteurs : volume, sensibilité, personnes vulnérables, surveillance, décision automatisée, transfert, partage, innovation, durée, incidents et exposition externe.
L’échantillon couvre :
- tous les traitements à risque élevé ;
- un cas par grande fonction ;
- un fournisseur critique ;
- un traitement récent ;
- un traitement ancien ;
- un traitement basé sur consentement ;
- un fondé sur contrat, obligation ou intérêt légitime ;
- un processus de droits ;
- une suppression ;
- une violation récente.
Un audit exhaustif peut être nécessaire pour une petite structure. Dans un groupe, l’échantillonnage est documenté. Une absence d’écart dans vingt dossiers ne prouve pas l’absence dans vingt mille ; elle soutient un niveau d’assurance défini.
4. Test 1 — Gouvernance et responsabilité
L’auditeur vérifie rôles, registre, politiques, DPO, comité, formation, privacy by design et documentation des décisions.
Preuves : organigramme, lettres de mission, comptes rendus, analyses, formations, revues, exceptions et budgets. Les entretiens testent la connaissance : « Que faites-vous avant d’acheter un nouvel outil ? »
Le registre est comparé aux systèmes. Chaque ligne possède finalité, catégories, personnes, destinataires, transferts, durée, sécurité et propriétaire. Les formulations génériques « amélioration du service » sont challengées.
L’auditeur suit un projet de l’idée à la mise en production. Le DPO ou la fonction privacy intervient-il assez tôt pour modifier l’architecture ? Une validation la veille du lancement n’est pas du privacy by design.
Les exceptions ont une date. Une mesure compensatoire est suivie. Le comité reçoit des indicateurs de mise en œuvre, pas seulement le nombre de fiches.
5. Test 2 — Finalité, base juridique et minimisation
Pour chaque traitement échantillonné, l’auditeur reformule la finalité en résultat précis. Il vérifie la base et son application.
Le consentement doit être libre, spécifique, éclairé et univoque, avec preuve et retrait. Le contrat couvre ce qui est objectivement nécessaire à son exécution, pas tout ce qui intéresse l’entreprise. L’intérêt légitime exige identification de l’intérêt, nécessité et mise en balance. L’obligation légale est reliée au texte.
L’audit compare les champs collectés aux décisions. Une donnée « utile plus tard » sans finalité actuelle est écartée ou instruite.
Les inférences et enrichissements sont inclus. Une probabilité de départ, un segment ou une note sont des données personnelles lorsqu’ils se rapportent à une personne identifiable.
La réutilisation fait l’objet d’une analyse de compatibilité ou d’une nouvelle base. La présence dans un data lake ne crée aucun droit général.
6. Test 3 — Transparence et information
Les notices sont comparées au parcours réel : formulaire, cookies, application, contrat, recrutement, vidéosurveillance, IA et support. Les informations sont accessibles avant ou au moment approprié, en langage compréhensible.
L’auditeur contrôle responsable, finalités, bases, destinataires, transferts, durées, droits, retrait, source indirecte, décision automatisée et contact selon le cas.
Une notice multicouche peut améliorer la lisibilité : résumé au point de collecte, détail accessible. Le lien ne doit pas mener à une politique générique qui omet l’outil.
Les enfants, salariés et publics vulnérables nécessitent une attention adaptée. L’information n’est pas seulement juridiquement complète ; elle doit permettre un choix ou une compréhension réelle.
Un test utilisateur court peut révéler si les personnes trouvent comment refuser, retirer ou contacter. Il complète l’analyse juridique.
7. Test 4 — Consentement et traceurs
L’audit combine interface et réseau. Il teste avant choix, acceptation, refus, choix granulaire, retrait et retour, sur plusieurs appareils et parcours tiers.
Il recense cookies, local storage, SDK, pixels et requêtes. Chaque traceur possède finalité, durée, fournisseur, statut et preuve. Le tag manager déclaré est comparé au réseau, car des scripts peuvent être injectés ailleurs.
La CNIL indique que certains traceurs strictement nécessaires à la mesure d’audience peuvent être exemptés sous conditions, notamment finalité limitée pour le compte exclusif de l’éditeur et absence de réutilisation incompatible. L’outil n’est pas exempté par son nom ; sa configuration est vérifiée.
Le refus doit être aussi simple que l’acceptation selon les exigences applicables. Le retrait modifie les traitements futurs. Les pings sans cookies et modélisations sont documentés.
L’audit conserve captures, requêtes, horodatage, état de stockage et version de CMP. Une capture du bandeau seule ne prouve pas le comportement.
8. Test 5 — Droits des personnes
L’auditeur sélectionne des demandes d’accès, rectification, effacement, opposition, limitation et portabilité. Il mesure réception, identité, recherche, réponse, délai, exceptions et propagation.
Un exercice « personne fictive autorisée » peut être réalisé. L’organisation doit retrouver CRM, support, marketing, facturation, entrepôt, exports et sous-traitants. Elle ne remet pas les données d’autres personnes.
La réponse d’accès est compréhensible. Un export technique illisible peut être insuffisant. Les décisions de refus ou prolongation sont justifiées.
La rectification se propage aux consommateurs. La suppression couvre index, caches et outils, avec gestion spécifique des sauvegardes. La preuve d’exécution et les échecs sont suivis.
Les demandes sont une source de diagnostic. Des plaintes répétées sur une finalité peuvent révéler un problème de transparence ou de design.
9. Test 6 — Conservation et suppression
L’auditeur choisit des enregistrements dépassant la durée et vérifie leur statut. Il compare politique, configuration et base.
La durée possèd'un déclencheur : fin de relation, dernière interaction qualifiée, clôture de dossier. Les exceptions — contentieux, obligation — sont séparées et restreintes.
L’archivage intermédiaire réduit les accès. Il ne devient pas une conservation permanente. Les sauvegardes ont une rotation et un mécanisme empêchant la réapparition durable après restauration.
Les suppressions automatiques génèrent des journaux et alertes. Un script programmé mais en échec depuis six mois est un écart majeur.
L’anonymisation est testée selon les possibilités de réidentification. Retirer nom et e-mail reste souvent une pseudonymisation.
10. Test 7 — Sous-traitants, contrats et transferts
La liste des fournisseurs est rapprochée des flux et dépenses. Chaque relation est qualifiée. Les instructions, confidentialité, sécurité, sous-traitants ultérieurs, droits, violations, suppression et audit sont examinés.
L’auditeur vérifie la mise en œuvre, pas seulement l’article 28. Les sous-traitants publiés correspondent-ils ? Le support accède-t-il depuis d’autres pays ? Les données restent-elles après résiliation ?
Les transferts hors Espace économique européen sont cartographiés. Décision d’adéquation, clauses contractuelles types, mesures supplémentaires et analyse sont examinées selon le contexte. La région de stockage ne répond pas à tous les accès.
Un échantillon de diligence fournisseur compare questionnaire et preuves : certification, rapport, pentest, incident, architecture et contrat. Une réponse commerciale non contractuelle est notée comme telle.
La concentration est évaluée. Un prestataire présent dans vingt traitements augmente l’impact d’un incident.
11. Test 8 — Sécurité et violations
L’audit se fonde sur le risque : identité, moindre privilège, MFA, secrets, chiffrement, patchs, sauvegardes, logs, segmentation, développement, tests et fournisseurs.
Il sélectionne comptes inactifs, accès privilégiés, exports, environnements de test et grandes bases. Il vérifie revues, alertes et révocation.
Une violation récente est suivie : détection, confinement, qualification, décision de notifier, délai, information, correction et retour d’expérience. Les décisions sont documentées.
L’exercice simule une fuite chez un prestataire. L’équipe doit identifier données, personnes, risque, contacts et mesures. Les clauses de notification sont confrontées au temps réel nécessaire.
L’audit RGPD n’est pas un pentest. Il peut déclencher un audit sécurité spécialisé lorsque les preuves ou expositions l’exigent.
12. Test 9 — Analyse d’impact et traitements à risque
L’auditeur vérifie les critères de déclenchement d’une AIPD, son calendrier et sa qualité. L’analyse décrit traitement, nécessité, proportionnalité, risques pour les droits et mesures.
Elle ne se limite pas à une matrice. Elle examine conséquences : exclusion, discrimination, surveillance, manipulation, perte de confidentialité, impossibilité d’exercer un droit ou dommage matériel.
Les risques résiduels élevés sont traités selon la procédure applicable. Les mesures ont propriétaires et échéances. L’AIPD est revue après changement de modèle, donnée, population ou finalité.
Pour l’IA, l’auditeur distingue développement, entraînement, évaluation et usage. Les recommandations CNIL sur les systèmes d’IA aident à cadrer finalité, responsabilités, base, réutilisation et droits.
13. Test 10 — Décisions automatisées et profilage
Les scores, règles et recommandations sont inventoriés. L’auditeur demande : la décision produit-elle un effet juridique ou significatif ? Est-elle entièrement automatisée ? Quelles exceptions s’appliquent ?
Le contrôle humain est réel si la personne dispose d’information, de temps, de compétence et d’autorité. Cliquer « valider » sur 500 dossiers par heure n’est pas un examen substantiel.
L’information, logique significative, conséquences, recours et possibilité d’intervention sont vérifiés selon le cas. Les performances et biais sont suivis par segment.
Le modèle et le seuil sont versionnés. Une mise à jour fournisseur ne doit pas modifier silencieusement une décision importante.
14. Qualifier les écarts
Chaque constat comporte critère, fait, preuve, cause, impact, population, fréquence et recommandation. L’audité dispose d’un droit de réponse.
Logiks utilise quatre niveaux.
Critique. Violation active susceptible de causer un risque élevé, absence de contrôle essentiel ou exposition majeure. Action immédiate.
Majeur. Écart significatif ou systémique affectant un principe, un droit ou une grande population.
Modéré. Écart limité, preuve insuffisante ou processus fragile sans dommage immédiat observé.
Mineur. Hygiène, cohérence documentaire ou amélioration à faible exposition.
Le montant potentiel d’une amende n’est pas calculé automatiquement. La gravité suit risque pour les personnes, étendue, durée, intention, contrôle et contexte.
Les causes sont regroupées : gouvernance, architecture, fournisseur, compétence, dette, incitation ou incident. Corriger seulement le document laisse la cause.
15. Le score d’assurance
Le rapport note la conception et l’effectivité séparément. Une procédure peut être bien conçue mais non exécutée.
Les domaines sont : gouvernance, licéité, transparence, droits, conservation, fournisseurs, sécurité, traitements à risque et preuve. Chacun reçoit couverture et confiance.
Un plafonnement empêche le label « maîtrisé » en présence d’un écart critique non contenu. Le score n’est pas publicitaire. Il permet de suivre les corrections.
La confiance dépend de l’échantillon, des accès et de la convergence. Une configuration inaccessible réduit l’assurance même si aucune anomalie n’a été observée.
16. Cas pratique : suppression déclarée, données toujours actives
Une entreprise répond aux demandes d’effacement en supprimant le CRM. L’audit suit trois demandes clôturées. Les adresses restent dans l’outil e-mail, l’entrepôt et un export commercial.
La cause est architecturale : aucun identifiant commun ni workflow de propagation. Les équipes considéraient chaque outil comme copie indépendante.
La correction crée un registre de systèmes consommateurs, un identifiant de demande, des connecteurs de suppression et une file d’échecs. Les sauvegardes sont documentées et la réintroduction empêchée après restauration.
L’audit reteste dix profils, dont des comptes fusionnés et anciens clients. Le taux de propagation et le délai deviennent indicateurs. La politique était correcte ; le contrôle devient effectif.
17. Livrables attendus
- périmètre, univers et échantillon ;
- cartographie des traitements et flux manquants ;
- dossier de tests et preuves ;
- registre des écarts qualifiés ;
- analyses contrats, transferts, sécurité et droits ;
- score conception/effectivité avec confiance ;
- plan immédiat, 30, 90 et 365 jours ;
- propriétaires, budget et critères de fermeture ;
- synthèse direction et annexe opérationnelle ;
- programme de contrôle continu.
Un constat n’est fermé qu’après preuve et contre-test. La mise à jour d’une politique ne ferme pas une suppression qui échoue encore.
18. Questions fréquentes
18.1. L’audit garantit-il la conformité ?
Il fournit une assurance sur un périmètre, à une date et selon des preuves. Les traitements changent. La conformité reste un processus continu et une responsabilité de l’organisation.
18.2. Le DPO peut-il auditer ?
Oui selon l’organisation, en préservant indépendance, moyens et absence de conflit. Une revue externe peut compléter pour les sujets sensibles ou les procédures conçues en interne.
18.3. Combien de temps faut-il ?
Quatre à douze semaines selon taille, qualité du registre et profondeur technique. Une préparation à incident peut cibler rapidement les traitements critiques.
18.4. Faut-il tester tous les sous-traitants ?
Tous sont inventoriés et contractuellement cadrés ; la profondeur de diligence suit le risque. Les fournisseurs critiques et sensibles sont testés en priorité.
18.5. À quelle fréquence ?
Un programme annuel basé sur les risques, avec revue après incident, nouveau traitement majeur, acquisition ou changement réglementaire. Les durées, droits et accès sont contrôlés en continu.
19. Ce que l’auditeur doit obtenir pour clôturer un écart
Une politique mise à jour ne ferme pas une non-conformité opérationnelle. Le responsable fournit une preuve de déploiement, un échantillon d’exécution et, lorsque pertinent, des journaux montrant que la règle agit sur les systèmes concernés.
Pour une durée de conservation, la recette sélectionne des données proches et au-delà de l’échéance. Elle vérifie production, réplications, exports et sauvegardes selon le régime défini. Les exceptions possèdent une justification, une durée et un accès restreint.
Concernant les droits, plusieurs demandes sont rejouées de la réception à la réponse. L’équipe mesure identification, recherche, propagation, délai, information et exceptions. Un modèle de courrier exact ne compense pas une copie introuvable.
Pour un sous-traitant, la clôture réunit contrat, instructions, mesures, chaîne de sous-traitance, lieu, transfert, incident et restitution ; lorsque le fournisseur déclare une correction, l’organisation vérifie la configuration de son propre tenant, car une capacité disponible mais non activée ne réduit pas le risque du traitement réellement opéré.
Les preuves de sécurité comprennent contrôle d’accès, revues, chiffrement approprié, sauvegardes, alertes et exercice d’incident. Une certification tierce soutient l’assurance sur son périmètre ; elle ne répond pas automatiquement à la configuration particulière du client.
Le rapport conserve trois états : corrigé et contre-testé, risque accepté par l’autorité compétente, ou ouvert. Une échéance dépassée ne devient jamais verte par changement de commentaire.
Le suivi regroupe âge des écarts, récidives, demandes, violations, sous-traitants et traitements modifiés. Les valeurs longues restent lisibles : un incident grave est présenté séparément au lieu d’être dilué dans un taux moyen.
Une revue de direction trimestrielle sélectionne les traitements les plus risqués, examine les changements de finalité, les nouvelles données, les destinataires, les incidents et les écarts en retard, puis vérifie que les décisions ont été appliquées dans les systèmes concernés plutôt que seulement ajoutées au registre ou au plan d’action.
Pour les demandes de droits, le tableau montre médiane, cas extrêmes, exceptions et causes de dépassement, afin qu’une bonne moyenne ne masque pas les dossiers complexes ou les sources incapables de répondre.
Pour les violations, le retour d’expérience relie chronologie, détection, qualification, notification, information, correction et prévention ; il distingue les faits établis des hypothèses et conserve les éléments nécessaires à une éventuelle démonstration future.
Pour les fournisseurs critiques, la revue contrôle changements de sous-traitants, régions, conditions, garanties, incidents et dates de réévaluation, puis déclenche une analyse lorsque le service réel s’écarte du dossier initial.
Le bilan annuel rassemble enfin les changements de produits, les nouvelles acquisitions, les migrations, les usages d’IA, les décisions des autorités et les enseignements des contrôles internes, puis il réévalue l’échantillon et les priorités selon le risque actuel ; cette phrase volontairement plus longue traduit une réalité simple : la conformité ne progresse pas par accumulation de documents, mais lorsque l’organisation sait détecter qu’un traitement a changé, rouvrir son analyse, modifier les systèmes et démontrer l’exécution.
20. Ce que Logiks recommande
Confrontez chaque registre à un système et chaque politique à un échantillon. Priorisez les droits, grandes bases, prestataires, traceurs et traitements à fort impact. Séparez conception et effectivité, puis ne fermez un écart qu’après contre-test. La conformité démontrable vit dans les preuves d’exécution.
21. Sources principales
- CNIL, Rapport annuel 2025 : https://cnil.fr/fr/rapport-annuel-2025
- CNIL, Sanctions et mesures correctrices : bilan 2025 : https://cnil.fr/fr/bilan-sanctions-2025
- CNIL, guide de sécurité des données personnelles : https://www.cnil.fr/fr/securite-des-donnees
- CNIL, outils de mesure d’audience et conditions d’exemption : https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies-solutions-pour-les-outils-de-mesure-daudience
- CNIL, recommandations pour le développement des systèmes d’IA : https://www.cnil.fr/fr/developpement-des-systemes-dia-les-recommandations-de-la-cnil-pour-respecter-le-rgpd
- EUR-Lex, règlement (UE) 2016/679 : https://eur-lex.europa.eu/eli/reg/2016/679/oj