Comment se déroule un audit RGPD et combien coûte-t-il vraiment ?
·
Par 
Aymeric Guyard · 5 min de lecture
En bref
- Un audit RGPD mesure l'écart entre vos pratiques et le règlement en six phases : cadrage, collecte, cartographie des traitements, analyse d'écarts, priorisation des risques et plan d'action. Il dure de deux à six semaines pour une PME et produit trois livrables : un rapport d'écarts, un registre initialisé et un plan d'action priorisé. Le coût va de quelques milliers d'euros en cabinet traditionnel à une fraction de ce montant avec une plateforme outillée, et un autodiagnostic gratuit permet de calibrer le besoin avant d'engager quoi que ce soit.
L'audit RGPD est-il obligatoire ?
Le RGPD n'impose pas d'« audit » en tant que tel. Il impose mieux : le principe de responsabilité, dit accountability (article 5, paragraphe 2, et article 24), qui oblige le responsable de traitement à être conforme et à pouvoir le démontrer à tout moment. L'audit est le moyen de produire cette démonstration : état des lieux daté, écarts identifiés, plan d'action suivi. C'est aussi la première pièce que la CNIL examine en contrôle, et celle que demandent de plus en plus les clients, les assureurs cyber et les investisseurs en due diligence.
La méthode en six phases
- Cadrage (2 à 3 jours) : périmètre juridique (entités, pays), périmètre métier (processus prioritaires : RH, marketing, ventes, support, IT), interlocuteurs, calendrier, référentiel d'évaluation (articles du RGPD, référentiels et guides de la CNIL, dont le guide de la sécurité des données personnelles).
- Collecte (1 semaine) : entretiens avec les métiers, revue documentaire (politiques, contrats, mentions d'information, registre existant, AIPD, procédures de violation et de droits), revue technique (contrôle d'accès, journalisation, sauvegardes, chiffrement, sous-traitants et transferts).
- Cartographie des traitements : inventaire finalité par finalité, avec pour chacun base légale, catégories de données et de personnes, durées, destinataires, transferts, mesures de sécurité. Cette phase initialise ou fiabilise le registre de l'article 30 (voir notre guide du registre et ses 12 erreurs).
- Analyse d'écarts : chaque exigence est cotée (conforme, partiellement conforme, non conforme, non applicable), preuve à l'appui. Les familles examinées : licéité et bases légales, information des personnes, exercice des droits, durées de conservation, sous-traitance et transferts, sécurité, violations, gouvernance et documentation.
- Priorisation par le risque : croisement gravité pour les personnes x probabilité x exposition juridique. Un défaut d'information sur un site vitrine et une base de prospection sans base légale n'appellent pas la même urgence.
- Plan d'action et restitution : actions datées avec responsable, charge et quick wins à 30 jours, présenté à la direction. Sans cette restitution au bon niveau, l'audit finit dans un tiroir.
Les trois livrables à exiger
- Le rapport d'audit : synthèse pour la direction (score global, risques majeurs), détail des écarts avec références aux articles, preuves examinées.
- Le registre des traitements initialisé dans un outil maintenable, pas un classeur Excel figé.
- Le plan d'action priorisé avec jalons, charges et responsables, directement pilotable.
Méfiez-vous des audits qui livrent un rapport PDF de 80 pages sans registre ni plan actionnable : vous payez un constat, pas une trajectoire.
Combien coûte un audit RGPD ?
Le prix dépend de trois facteurs : la taille du périmètre (nombre de processus et d'entités), la sensibilité des données (santé, mineurs, biométrie) et la profondeur technique attendue. Ordres de grandeur constatés sur le marché français :
| Formule | Ordre de grandeur | Pour qui |
|---|---|---|
| Cabinet de conseil ou d'avocats, audit sur mesure | De quelques milliers à plusieurs dizaines de milliers d'euros selon le périmètre, facturé en jours | Grands comptes, situations contentieuses, secteurs très régulés |
| Plateforme de conformité avec diagnostic outillé et accompagnement expert | Une fraction du coût cabinet, en abonnement mensuel incluant l'outillage et le suivi dans la durée | PME, ETI, collectivités, groupes de PME |
| Autodiagnostic en ligne | Gratuit | Premier état des lieux en 15 minutes, avant d'engager un budget |
Le vrai comparatif ne porte pas sur le prix de l'audit mais sur le coût de la trajectoire : un audit ponctuel se périme en quelques mois si rien n'outille le suivi, alors que la conformité est une obligation continue. C'est tout l'intérêt de coupler le diagnostic à la plateforme qui portera le plan d'action, le registre et les preuves.
Interne, externe ou outillé : qui doit mener l'audit ?
- L'auto-audit interne est possible et utile en routine, à condition de disposer d'un référentiel et d'un regard indépendant des opérations ; son angle mort classique est la complaisance involontaire.
- L'audit externe apporte l'indépendance et l'expérience des contrôles ; il est recommandé pour le premier état des lieux, après un incident, avant une levée de fonds ou une certification.
- Le modèle outillé combine les deux : un diagnostic structuré par la plateforme, revu par un expert (DPO externalisé), puis des revues périodiques automatisées. C'est le meilleur rapport rigueur/coût pour une PME ou une ETI.
Passez à l’action
Pilotez votre conformité avec Data Comply One : logiciel tout-en-un et experts DPO/RSSI externalisés.
Découvrir le DPO externalisé →Tester ma conformité RGPD →Sources
- Règlement (UE) 2016/679 (RGPD), articles 5, 24, 28, 30, 32, 33, 34 et 35, EUR-Lex.
- CNIL, guide de la sécurité des données personnelles (édition 2024) et référentiels sectoriels.
- CNIL, « Les contrôles de la CNIL » : déroulé et pouvoirs de l'autorité.