Votre organisme est-il en conformité avec le RGPD ?

Comment utiliser la checklist ?

Cette checklist RGPD reprend les points que la CNIL vérifie le plus souvent lors de ses contrôles et qui figurent dans ses guides pratiques. Elle s'adresse aux entreprises, associations et collectivités de toutes tailles. Cochez uniquement ce qui est effectivement en place et documenté ; une jauge calcule votre score par rubrique. Vos réponses ne sont ni enregistrées ni transmises : elles disparaissent quand vous quittez la page, et vous pouvez imprimer le résultat. Pour progresser, appuyez-vous sur la méthode de mise en conformité RGPD.

Comment interpréter le score ?

En dessous de 15 points, les fondations manquent : commencez par désigner un pilote, établir le registre et traiter la sécurité de base. Entre 15 et 24 points, l'essentiel est en place mais certaines rubriques sont fragiles ; concentrez-vous sur celles où vous avez le moins de cases cochées. Au-delà de 25 points, votre organisation est solide : il s'agit désormais de faire vivre la conformité, de documenter vos choix et de revoir chaque année le registre des traitements. Dans tous les cas, cette auto-évaluation ne remplace pas un audit approfondi lorsque vos traitements sont sensibles ou volumineux.

Rubrique par rubrique : ce que vérifie chaque point

Les trente points de la checklist sont regroupés en sept rubriques, qui correspondent aux grands axes de la conformité. Pour chacune, les explications ci-dessous précisent ce qu'il faut entendre par un point « en place » et renvoient aux guides détaillés du site.

Organisation

Un pilote est désigné lorsqu'une personne identifiée, délégué à la protection des données ou référent, suit effectivement le sujet et dispose de temps pour le faire. Le plan d'action est validé lorsque la direction a approuvé des priorités et des moyens, même modestes. La sensibilisation est en place lorsque les salariés qui manipulent des données ont reçu une information au cours des deux dernières années. L'étape « protection des données » dans les projets existe lorsque tout nouvel outil ou traitement est examiné avant sa mise en œuvre, par exemple au moyen d'une fiche projet. Ces quatre points conditionnent tous les autres : sans pilote ni soutien de la direction, la conformité s'essouffle vite.

Registre et documentation

Le registre est à jour lorsqu'il a été relu et complété au cours des douze derniers mois et qu'il couvre l'ensemble des activités. Chaque fiche doit identifier une finalité précise et une base légale parmi les six de l'article 6. Une durée de conservation est fixée lorsqu'elle est chiffrée, et non remplacée par « le temps nécessaire ». Les données échues sont supprimées lorsqu'une purge est effectivement réalisée, au moins une fois par an. L'analyse d'impact est en place lorsque tous les traitements répondant à au moins deux critères de risque, ou figurant dans la liste de la CNIL, en ont fait l'objet.

Information et droits

Une mention d'information figure sous chaque formulaire, papier ou en ligne, et indique au minimum le responsable, la finalité, la durée et le moyen d'exercer ses droits. La politique de confidentialité est fidèle lorsqu'elle correspond aux traitements réels décrits dans le registre, et datée lorsqu'elle mentionne sa dernière mise à jour. Les salariés ont reçu une notice lorsqu'ils ont été informés individuellement des traitements les concernant, notamment les dispositifs de contrôle. Une adresse dédiée permet d'exercer ses droits lorsqu'elle est indiquée dans les mentions et effectivement suivie. Les demandes sont tracées lorsqu'un journal enregistre la date de réception, la réponse et son délai.

Sécurité

La rubrique sécurité comporte sept points, car c'est le terrain des manquements les plus graves. Les comptes sont individuels lorsque personne ne partage d'identifiant, et les mots de passe robustes lorsqu'ils respectent les recommandations de la CNIL, idéalement avec un gestionnaire de mots de passe. La double authentification doit protéger au minimum la messagerie et les accès à distance. Les accès sont limités lorsque chacun n'accède qu'aux données nécessaires à ses missions. Les mises à jour sont régulières lorsqu'elles sont automatiques ou appliquées sans délai. Les sauvegardes sont conformes lorsqu'une copie est déconnectée et qu'une restauration a été testée récemment. Le chiffrement couvre les ordinateurs portables et les clés USB. Enfin, une procédure de gestion des violations est connue des équipes et un registre des incidents est tenu.

Prestataires et transferts

Les sous-traitants sont identifiés lorsque chaque prestataire qui traite des données pour le compte de l'organisme figure dans le registre, y compris les éditeurs de logiciels en ligne. Les contrats sont conformes lorsqu'ils comportent les mentions de l'article 28, dans le contrat principal ou un accord de traitement des données annexé. Les transferts sont encadrés lorsque, pour chaque prestataire, la localisation des données est connue et que les transferts hors de l'Union reposent sur une décision d'adéquation, le Data Privacy Framework pour les entreprises américaines adhérentes, ou des clauses contractuelles types.

Site internet et prospection

Aucun traceur non essentiel n'est déposé avant le consentement lorsqu'une visite en navigation privée, sans cliquer sur le bandeau, ne fait apparaître que des cookies techniques ou de mesure d'audience exemptée. Le refus est aussi simple que l'acceptation lorsque les deux boutons sont présentés au même niveau, avec la même visibilité. La prospection électronique des particuliers repose sur leur consentement, recueilli par une case non pré-cochée, sauf exception des clients pour des produits analogues. Le lien de désinscription est efficace lorsqu'un test montre que la désinscription est prise en compte rapidement et sans démarche supplémentaire.

Salariés

Les dispositifs de contrôle sont proportionnés lorsque les caméras ne filment pas en permanence les postes de travail, que la géolocalisation est désactivable hors temps de travail et qu'aucun logiciel ne surveille en continu l'activité. Ils sont connus des salariés lorsque le comité social et économique a été consulté et que chacun a été informé. Les dossiers du personnel sont protégés lorsque seules les personnes habilitées y ont accès, en version papier comme numérique.

Transformer le résultat en plan d'action

Une fois la checklist remplie, chaque case non cochée devient une action à planifier. Il est conseillé de les classer en trois groupes. Les actions urgentes concernent la sécurité et les manquements visibles de l'extérieur, comme le bandeau cookies ou l'absence de mention d'information, car ce sont les plus exposés au risque d'incident ou de plainte. Les actions importantes concernent la documentation, comme le registre, les contrats et les durées de conservation. Les actions d'amélioration concernent l'organisation durable, comme la sensibilisation régulière ou l'étape de protection des données dans les projets. Pour chaque action, on désigne un responsable et une échéance réaliste. Refaire la checklist tous les six mois permet de mesurer les progrès.

Les limites d'une auto-évaluation

Une checklist donne une vision rapide et utile, mais elle reste déclarative. Elle ne vérifie pas la qualité des documents, la réalité des pratiques ni les traitements spécifiques à certains secteurs. Un organisme qui traite des données sensibles, comme un cabinet médical, une association d'aide sociale ou un éditeur d'application de santé, ou des volumes importants de données, doit compléter cette évaluation par un audit approfondi, réalisé par son délégué ou un prestataire spécialisé. La checklist reste néanmoins un excellent point de départ pour engager la démarche et sensibiliser la direction, en rendant visible en quelques minutes l'état de la conformité.

Les priorités selon le type d'organisme

Toutes les rubriques n'ont pas la même importance pour tous les organismes. Pour une boutique en ligne, le site internet, la prospection, les prestataires et la sécurité des comptes clients sont prioritaires. Pour un cabinet médical ou paramédical, la sécurité des dossiers, l'hébergement certifié et les droits des patients passent en premier. Pour une PME industrielle, les ressources humaines, la vidéosurveillance et la sécurité du système d'information concentrent les risques. Pour une association, le fichier des adhérents, les photos et les outils gratuits utilisés par les bénévoles méritent une attention particulière. Pour une collectivité, la sécurité, la désignation du délégué et les services en ligne aux habitants sont essentiels. Adapter l'ordre de traitement des actions à son activité permet de concentrer les efforts là où les risques sont les plus élevés.

Utiliser la checklist en équipe

La checklist gagne à être remplie à plusieurs. Une réunion d'une heure, réunissant le dirigeant, le référent protection des données, le responsable informatique et un représentant de chaque service, permet de répondre à chaque question de façon honnête et de confronter les points de vue. Il arrive souvent qu'une personne pense un point acquis alors qu'un autre service sait qu'il ne l'est pas, par exemple pour les sauvegardes ou les comptes des anciens salariés. Ces échanges sont en eux-mêmes une action de sensibilisation. Le résultat imprimé peut être joint au compte rendu de la réunion et servir de référence pour mesurer les progrès lors de l'évaluation suivante.

Ce que la checklist ne couvre pas

Pour rester utilisable en quelques minutes, la checklist se concentre sur les points les plus fréquemment contrôlés. Elle ne couvre pas en détail certains sujets spécialisés, comme les transferts complexes au sein d'un groupe international, le développement de systèmes d'intelligence artificielle, la recherche en santé, les dispositifs biométriques, les traitements de données de mineurs à grande échelle ou les obligations spécifiques des opérateurs de communications électroniques. Les organismes concernés par ces sujets doivent les examiner séparément, avec l'aide des guides correspondants et, le plus souvent, d'un accompagnement spécialisé. Elle ne remplace pas non plus la lecture des textes et des recommandations de la CNIL, qui précisent les exigences propres à chaque situation.

Vos réponses restent chez vous

Conformément aux principes qu'elle illustre, la checklist ne collecte aucune donnée. Les cases cochées sont traitées uniquement dans votre navigateur, ne sont transmises à aucun serveur et disparaissent lorsque vous quittez ou rechargez la page. Aucun cookie n'est déposé pour mémoriser vos réponses. Si vous souhaitez conserver le résultat, utilisez le bouton d'impression, qui permet aussi d'enregistrer un fichier PDF depuis votre navigateur. Ce fonctionnement illustre la protection des données dès la conception : un outil peut rendre service sans rien savoir de ses utilisateurs.

Les questions fréquentes sur la checklist

Un score de trente sur trente signifie-t-il que l'organisme est parfaitement conforme ? Non, il indique que les points essentiels sont en place, mais la conformité dépend aussi de la qualité des documents et de la réalité des pratiques, que seul un examen approfondi permet de vérifier. Faut-il cocher un point partiellement en place ? Mieux vaut ne pas le cocher : la checklist est utile si elle reste exigeante, et un point à moitié traité doit figurer dans le plan d'action. La checklist convient-elle aux associations et aux collectivités ? Oui, les points sont formulés pour s'appliquer à tout organisme, même si certains, comme la prospection, concernent moins le secteur public. À quelle fréquence la refaire ? Tous les six mois au début de la démarche, puis une fois par an, et après tout changement important, comme un nouveau logiciel ou une réorganisation.

Les points qui posent le plus de difficultés

Les retours d'expérience montrent que certains points sont plus souvent non cochés que d'autres. La purge effective des données échues arrive en tête : beaucoup d'organismes ont fixé des durées de conservation, mais peu les appliquent réellement. Les sauvegardes déconnectées et testées suivent de près, la plupart des structures disposant d'une sauvegarde sans jamais avoir vérifié qu'elle se restaure. Les contrats de sous-traitance conformes manquent aussi fréquemment, en particulier avec les éditeurs de logiciels en ligne. Enfin, l'étape « protection des données » dans les nouveaux projets reste rare dans les petites structures. Ces quatre points constituent souvent les premières actions à engager après la checklist, car ils réduisent fortement les risques pour un effort raisonnable.

Checklist et contrôle de la CNIL

Les points de la checklist correspondent aux premières vérifications effectuées par la CNIL lors d'un contrôle : existence du registre, information des personnes, sécurité des accès, contrats avec les prestataires, bandeau cookies, dispositifs de contrôle des salariés. Un organisme qui coche la plupart des cases et peut présenter les documents correspondants aborde un contrôle dans de bonnes conditions. À l'inverse, chaque case vide signale un point sur lequel les agents risquent de relever un manquement. Utiliser la checklist comme un contrôle blanc annuel est une manière simple de se préparer.

Un outil gratuit et sans inscription

La checklist est libre d'utilisation, sans inscription ni collecte, pour un usage personnel, en entreprise ou en formation.