Questionnaire Audit RGPD

🏛️

Gouvernance & Organisation

3 questions

—

Q1 Un responsable de la protection des données (DPO ou référent RGPD) est-il désigné au sein de votre entreprise ?

Oui, un DPO désigné officiellement ✓ Oui, un référent interne informel ✓ Non ✓

Q2 Vos collaborateurs ont-ils reçu une formation ou une sensibilisation au RGPD ?

Oui, formation formelle régulière ✓ Oui, sensibilisation ponctuelle ✓ Non ✓

Q3 Disposez-vous d'une politique interne de protection des données formalisée ?

Oui, document écrit et diffusé ✓ En cours de rédaction ✓ Non ✓

📋

Registre des traitements

3 questions

—

Q1 Tenez-vous un registre des activités de traitement (Article 30 RGPD) ?

Oui, registre complet et à jour ✓ Registre partiel ou non mis à jour ✓ Non ✓

Q2 Avez-vous défini des durées de conservation pour chaque catégorie de données personnelles ?

Oui, durées documentées et appliquées ✓ Partiellement défini ✓ Non ✓

Q3 Réalisez-vous des Analyses d'Impact (AIPD/DPIA) pour les traitements à risque élevé ?

Oui, systématiquement ✓ Ponctuellement ✓ Non / Ne sais pas ✓

⚖️

Bases légales

3 questions

—

Q1 Avez-vous identifié la base légale (consentement, contrat, obligation légale, intérêt légitime…) pour chacun de vos traitements ?

Oui, pour tous les traitements ✓ Pour la plupart des traitements ✓ Non ✓

Q2 Lorsque vous recueillez le consentement, est-il libre, spécifique, éclairé et univoque ?

Oui, cases à cocher non pré-cochées, granulaire ✓ Partiellement (mention groupée ou vague) ✓ Non / Non applicable ✓

Q3 Envoyez-vous des emails marketing ? Si oui, disposez-vous d'un opt-in conforme ?

Oui, opt-in explicite + désinscription facile ✓ Opt-in approximatif ou opt-out uniquement ✓ Non applicable ✓

🙋

Droits des personnes

3 questions

—

Q1 Vos mentions légales / politique de confidentialité informent-elles les personnes de leurs droits ?

Oui, complète et accessible ✓ Incomplète ou difficile à trouver ✓ Non ✓

Q2 Avez-vous mis en place une procédure pour répondre aux demandes d'exercice des droits (accès, rectification, suppression...) dans un délai d'1 mois ?

Oui, procédure écrite et opérationnelle ✓ Informellement géré ✓ Non ✓

Q3 Disposez-vous d'un contact dédié (email ou formulaire) pour les demandes RGPD des personnes concernées ?

Oui, clairement identifié et fonctionnel ✓ Un email générique est utilisé ✓ Non ✓

🔒

Sécurité des données

4 questions

—

Q1 Vos données personnelles sont-elles chiffrées (au repos et en transit) ?

Oui, chiffrement complet (HTTPS, chiffrement BDD) ✓ Partiellement (HTTPS uniquement) ✓ Non ✓

Q2 Appliquez-vous le principe du moindre privilège (accès restreints selon le rôle) ?

Oui, gestion des droits par rôle ✓ Partiellement ✓ Non, accès larges par défaut ✓

Q3 Réalisez-vous des sauvegardes régulières et testez-vous leur restauration ?

Oui, sauvegardes automatiques + tests réguliers ✓ Sauvegardes sans tests ✓ Non ou rare ✓

Q4 Utilisez-vous des mots de passe forts et une authentification à deux facteurs (2FA) pour les accès sensibles ?

Oui, 2FA activé + gestionnaire de mots de passe ✓ Mots de passe complexes sans 2FA ✓ Non ✓

🤝

Sous-traitants & Transferts

3 questions

—

Q1 Avez-vous signé des Accords de Traitement des Données (DPA) avec tous vos sous-traitants traitant des données personnelles ?

Oui, tous les sous-traitants couverts ✓ Pour certains sous-traitants seulement ✓ Non ✓

Q2 Avez-vous vérifié que vos sous-traitants clés sont conformes au RGPD ?

Oui, vérification documentée (audit, certifications) ✓ Vérification informelle ✓ Non ✓

Q3 Utilisez-vous des services cloud basés hors UE (ex: AWS USA, Google, Microsoft) ? Si oui, des garanties de transfert sont-elles en place (SCC, décision d'adéquation) ?

Oui, garanties formelles en place ✓ Incertain / en cours de vérification ✓ Non, aucune garantie identifiée ✓

🚨

Violations de données

3 questions

—

Q1 Disposez-vous d'une procédure de gestion des violations de données (notification CNIL sous 72h) ?

Oui, procédure écrite et testée ✓ Procédure informelle ✓ Non ✓

Q2 Tenez-vous un registre des violations de données (même mineures) ?

Oui, registre tenu à jour ✓ Partiellement ✓ Non ✓

Q3 Vos collaborateurs savent-ils à qui signaler un incident de sécurité ou une fuite de données ?

Oui, canal de signalement clair et connu ✓ Vaguement ✓ Non ✓

Questionnaire d'audit RGPD

Gouvernance & Organisation

Registre des traitements

Bases légales

Droits des personnes

Sécurité des données

Sous-traitants & Transferts

Violations de données