Checklist Audit RGPD PME — 20 points essentiels (2024-2025)

Tenu à jour, signé par le DPO ou le dirigeant. Couvre chaque traitement : finalité, base légale, catégories de données, destinataires, durée de conservation.

Consentement, contrat, obligation légale, intérêt légitime ou mission d'intérêt public. Chaque traitement doit avoir sa base légale documentée dans le registre.

Présentes sur chaque formulaire de collecte (site web, contrats, RH). Contiennent identité du responsable, finalité, durée, droits et coordonnées du DPO.

Accessible depuis le site, rédigée en langage clair. Reflète les traitements réels pratiqués et les données de contact actualisées.

Libre, spécifique, éclairé et univoque. Pas de cases pré-cochées. Preuve de consentement conservée. Retrait aussi facile que le don.

Processus formel pour répondre aux demandes d'accès, rectification, effacement, opposition, limitation et portabilité dans le délai d'un mois.

Chaque demande reçue est tracée : date, type de droit exercé, réponse apportée, délai de traitement. En cas de contrôle, la preuve doit être disponible.

Chaque catégorie de données a une durée de conservation associée dans le registre. Les purges automatiques ou manuelles sont effectivement réalisées.

Tout prestataire traitant des données pour votre compte doit avoir signé un DPA conforme art. 28. Liste exhaustive : hébergeur, CRM, logiciel RH, comptabilité SaaS, etc.

Liste de tous les sous-traitants avec coordonnées, nature du traitement, et clause permettant l'audit ou la vérification de leur conformité.

Utilisation d'outils US (Google, AWS, HubSpot, Slack…) ? Des clauses contractuelles types (SCCs) ou une décision d'adéquation doivent être en place.

Obligatoire pour les traitements à grande échelle, le profilage, les données sensibles (santé, biométrie, etc.). La CNIL publie la liste des traitements l'exigeant.

Chiffrement des données sensibles, contrôle des accès (principe du moindre privilège), sauvegardes régulières testées, gestion des mots de passe, MFA.

Plan formalisé : détection, qualification, notification interne, notification CNIL (72h) et éventuellement aux personnes concernées.

Même sans notification obligatoire, toute violation doit être documentée : faits, effets, mesures correctives. À conserver 3 ans minimum.

Obligatoire pour les organismes publics, traitements à grande échelle ou données sensibles. Coordonnées publiées sur le site et transmises à la CNIL.

Refus aussi simple que l'acceptation. Pas de cookies déposés avant consentement (hors essentiels). Preuve de consentement conservée 6 mois.

Sensibilisation initiale à l'embauche et formation continue. Personnes traitant des données personnelles conscientes de leurs obligations. Trace des formations.

Tout collaborateur accédant à des données personnelles doit être tenu à la confidentialité via le contrat de travail ou un accord séparé.

Mise à jour du registre, vérification des DPA, contrôle des durées de conservation, revue des mesures de sécurité. À documenter pour prouver la conformité dans le temps.