Audit RGPD d’un site internet : méthode, livrable et prix
Un audit RGPD de site internet consiste à vérifier, page par page et outil par outil, ce que le site collecte, ce qu’il dépose dans le navigateur, ce qu’il transmet à des tiers et ce qu’il annonce aux visiteurs. C’est le point de départ le plus concret d’une mise en conformité, parce que le site est aussi la partie la plus visible — pour les visiteurs comme pour la CNIL, qui peut le contrôler en ligne sans prévenir.
Pourquoi auditer son site en priorité
Pour la plupart des TPE et PME, le site internet concentre les traitements les plus exposés : formulaires de contact ou de devis, cookies publicitaires et de mesure d’audience, outils de chat, vidéos intégrées, polices et scripts chargés depuis des serveurs tiers. Tout cela est observable depuis l’extérieur, ce qui en fait la cible naturelle des contrôles en ligne de la CNIL et des signalements de visiteurs.
L’audit sert aussi le principe de responsabilité (accountability) : le RGPD ne demande pas seulement d’être conforme, il demande de pouvoir le démontrer. Un rapport daté, des constats précis et la trace des corrections constituent une base documentaire utile en cas de demande d’explication.
Ce qu’un audit de site contrôle
1. Cookies et traceurs
- les traceurs déposés avant toute action du visiteur (ce qui ne devrait concerner que les traceurs exemptés) ;
- la présence d’un bouton « Tout refuser » aussi visible et accessible que « Tout accepter » ;
- le respect effectif du refus, vérifié techniquement et non sur simple déclaration ;
- la possibilité de retirer son consentement à tout moment, aussi simplement qu’on l’a donné.
Le détail des règles est expliqué dans notre guide bandeau cookies conforme CNIL.
2. Formulaires
- les champs demandés sont-ils nécessaires à la finalité (minimisation) ;
- l’information affichée au moment de la collecte (voir mention RGPD sous un formulaire) ;
- la séparation entre la réponse à la demande et l’éventuelle prospection commerciale ;
- la destination réelle des données : boîte mail, CRM, outil d’e-mailing, prestataire.
3. Pages juridiques
Mentions légales, politique de confidentialité, politique cookies : présentes, accessibles depuis toutes les pages, cohérentes entre elles et surtout fidèles à ce que fait réellement le site. Une politique copiée d’un modèle qui cite des outils absents — ou oublie ceux qui sont présents — est un constat fréquent. Voir mentions légales et politique de confidentialité.
4. Outils tiers et transferts
Mesure d’audience, pixels publicitaires, vidéos, cartes, polices, chat, captcha : chaque service tiers reçoit au minimum l’adresse IP du visiteur. L’audit identifie ces flux, leur pays de destination et l’encadrement prévu (voir transferts hors UE et outils tiers).
5. Sécurité apparente
HTTPS sur tout le site, en-têtes de sécurité, formulaires protégés contre les abus, absence de fichiers sensibles exposés, versions de CMS et d’extensions visibles. L’article 32 du RGPD impose une sécurité adaptée au risque ; les défauts visibles de l’extérieur sont les premiers exploités.
Exemple de constats et de livrable
Un rapport utile ne se contente pas d’une liste de non-conformités. Il classe chaque constat selon son niveau de risque et indique la correction attendue. Exemple de constats typiques sur un site vitrine :
| Constat | Priorité | Correction |
|---|---|---|
| Google Analytics chargé avant le choix du visiteur | Haute | Conditionner le script au consentement ou passer sur une mesure d’audience exemptée |
| Bandeau sans bouton « Tout refuser » au premier niveau | Haute | Ajouter un refus aussi visible que l’acceptation |
| Formulaire de devis sans information sur l’usage des données | Moyenne | Ajouter une mention courte avec lien vers la politique |
| Politique de confidentialité citant un ancien prestataire | Moyenne | Mettre à jour la liste des destinataires |
| Mentions légales sans hébergeur | Basse | Compléter l’identité et les coordonnées de l’hébergeur |
Prix d’un audit RGPD
Le prix suit le périmètre, pas une grille universelle. Trois niveaux couvrent l’essentiel des besoins :
- Audit du site public — lecture de la partie visible : cookies, formulaires, pages juridiques, outils tiers, sécurité apparente. C’est notre audit express à 149 € HT dans le cadre de l’offre en cours.
- Audit site + documents — le site, plus la lecture croisée des documents : registre, contrats de sous-traitance, procédures. Voir l’audit renforcé.
- Audit 360 — outils internes, rôles, flux principaux et organisation. Voir l’audit RGPD 360.
Le comparatif des audits et la page tarifs détaillent ce qui est inclus dans chaque formule.
Après l’audit : corriger dans le bon ordre
- Traiter d’abord ce qui est visible et sanctionné : traceurs déposés sans consentement, refus impossible ou non respecté.
- Corriger ensuite l’information des personnes : formulaires, politique de confidentialité, mentions légales.
- Encadrer les outils tiers et les sous-traitants, puis documenter : registre, contrats, procédure de réponse aux demandes de droits.
Ces corrections peuvent être réalisées en interne, par votre agence web, ou dans le cadre d’une mise en conformité du site. Pour la suite, la checklist de mise en conformité RGPD donne la vue d’ensemble.
Questions fréquentes
Un audit RGPD est-il obligatoire ?
Aucun texte n’impose un « audit » sous ce nom. En revanche, le RGPD oblige le responsable de traitement à être en conformité et à pouvoir le démontrer (principe de responsabilité, articles 5.2 et 24). L’audit est le moyen le plus direct de vérifier où en est un site et de documenter les corrections.
Combien coûte un audit RGPD de site internet ?
Le prix dépend du périmètre. Une lecture de la partie publique d’un site vitrine se situe généralement dans une fourchette basse ; un audit qui inclut les documents internes, les sous-traitants et les flux de données coûte nettement plus. Chez RGPDIT, l’audit du site public est proposé à 149 € HT dans le cadre de l’offre en cours, l’audit site + documents à 799 € HT et l’audit 360 à 2 499 € HT.
Combien de temps dure un audit de site ?
Pour un site vitrine ou un petit site e-commerce, la lecture de la partie publique demande quelques jours ouvrés entre la commande et la remise du rapport. Un audit plus large dépend surtout de la disponibilité des documents et des interlocuteurs.
Faut-il refaire un audit RGPD chaque année ?
Ce n’est pas une obligation, mais un site évolue : nouveaux outils marketing, nouveaux formulaires, changement de prestataire. Un contrôle annuel, ou à chaque refonte, évite qu’un écart réintroduit passe inaperçu.
Faire vérifier votre site
Un audit du site public relève les écarts visibles (cookies, formulaires, pages juridiques, outils tiers, sécurité apparente) et les classe par priorité, avec les corrections à appliquer.