Audit RGPD d'un site internet : guide et checklist.Vingt points à vérifier, dont la moitié de l'extérieur.

1. Aucun traceur non exempté avant l'accord du visiteur, et un refus aussi simple que l'acceptation.
2. Une politique de confidentialité à jour avec les outils que le site utilise vraiment.
3. Des formulaires sobres, sans case pré-cochée, avec une durée de conservation appliquée.
4. Un contrat de sous-traitance avec chaque prestataire qui touche aux données.
5. Un registre des traitements, même court.
6. Un site à jour et protégé, et une procédure écrite en cas de fuite.

Dans ce guide

• Ce qu'un audit RGPD de site regarde
• La checklist en vingt points
• Faire la partie visible vous-même, en une heure
• Consultant RGPD, expert ou délégué : qui fait quoi
• Ce que nous ferions à votre place
• Questions fréquentes

Un audit RGPD de site internet compare deux choses : ce que le site fait réellement des données de ses visiteurs, et ce que la loi lui demande. Il se mène en deux temps.

• L'extérieur, visible par n'importe qui : les cookies et traceurs déposés, le bandeau de consentement, les mentions légales, la politique de confidentialité, les formulaires, le chiffrement des pages. Une bonne moitié de la checklist se vérifie ainsi, sans aucun accès.
• L'intérieur, qui demande vos accès et vos réponses : le registre des traitements, les contrats avec vos prestataires, les durées de conservation réellement appliquées, les comptes qui ont accès aux données, les sauvegardes, la sécurité, et ce qui est prévu en cas de fuite ou de demande d'un client.

Nous ne sommes pas avocats. Ce guide dit ce qu'on vérifie et comment, pas ce que vaut votre situation devant un juge : pour une activité qui traite des données sensibles (santé, enfants, données bancaires), faites relire par un juriste ou un délégué à la protection des données.

Cookies et traceurs

1. Aucun traceur non exempté avant l'accord du visiteur : ni publicité, ni réseau social, ni mesure d'audience qui ne remplit pas les conditions de la CNIL. Tant que la personne n'a pas donné son accord, ces traceurs ne doivent être ni déposés ni lus.
2. Refuser aussi simplement qu'accepter : un bouton « Tout refuser » au même niveau que « Tout accepter », pas caché derrière des réglages.
3. Un choix qu'on peut changer à tout moment, par un lien permanent, en pied de page par exemple. Retirer son accord doit être aussi simple que le donner.
4. Les finalités et les partenaires nommés dans le bandeau ou juste derrière : qui dépose quoi, et pour quoi faire.
5. Les contenus embarqués sous contrôle : une vidéo YouTube, une carte Google Maps, un bouton de réseau social ou des polices chargées depuis les serveurs de Google transmettent des informations sur le visiteur à un tiers dès l'ouverture de la page. Bloquez-les jusqu'à l'accord, ou hébergez vous-même ce qui peut l'être, comme les polices.

Information des visiteurs

6. Des mentions légales complètes : éditeur, responsable de la publication, hébergeur, contact. Notre guide des mentions légales d'un site internet donne la liste et des modèles.
7. Une politique de confidentialité exacte : quelles données, pourquoi, sur quelle base légale, combien de temps, transmises à qui, transférées ou non hors de l'Union européenne, quels droits et comment les exercer, et le droit de saisir la CNIL (article 13 du RGPD).
8. Accessible depuis chaque page, en un clic.
9. À jour avec les outils réels : la politique doit citer les services que le site utilise aujourd'hui, pas ceux d'il y a trois ans. C'est l'écart le plus fréquent.

Formulaires

10. Ne demander que ce qui sert : un formulaire de contact n'a pas besoin d'une date de naissance.
11. Une information courte sous chaque formulaire, avec un lien vers la politique de confidentialité.
12. Aucune case pré-cochée pour la lettre d'information ou la prospection.
13. Une durée de conservation fixée et appliquée : pour un prospect, la référence courante de la CNIL est de trois ans après le dernier contact venu de lui. Les messages reçus par le site ne doivent pas s'accumuler sans fin dans la base de données ou dans une extension de formulaire.

Prestataires et transferts

14. La liste de vos prestataires qui touchent aux données : hébergeur, outil d'envoi d'e-mails, logiciel de gestion de la relation client, prise de rendez-vous, mesure d'audience, messagerie instantanée du site.
15. Un contrat de sous-traitance avec chacun, conforme à l'article 28 du RGPD. Pour les grands services en ligne, il se trouve souvent dans leurs conditions, à accepter dans votre compte.
16. Des transferts hors de l'Union européenne encadrés : depuis le 10 juillet 2023, une décision de la Commission européenne couvre les transferts vers les entreprises américaines adhérentes au cadre de protection des données UE-États-Unis ; pour les autres, il faut un autre encadrement, le plus souvent les clauses contractuelles types de la Commission.

Intérieur et sécurité

17. Un registre des traitements (article 30 du RGPD) : la liste de ce que vous faites des données personnelles. En pratique, presque toutes les entreprises en ont besoin.
18. Des accès maîtrisés : un compte par personne, la double authentification pour les administrateurs, les comptes des anciens prestataires supprimés.
19. Un site tenu à jour et sauvegardé : le RGPD impose une sécurité adaptée (article 32), qu'un site jamais mis à jour respecte difficilement.
20. Deux procédures écrites : répondre à une personne qui demande ses données ou leur suppression (en principe sous un mois), et réagir à une fuite (déclaration à la CNIL sous 72 heures quand elle présente un risque, personnes prévenues si le risque est élevé).

1. Ouvrez le site dans une fenêtre de navigation privée, sans cliquer sur le bandeau.
2. Ouvrez les outils de développement du navigateur (touche F12), onglet Application (Chrome, Edge) ou Stockage (Firefox), rubrique Cookies : seuls doivent apparaître des cookies techniques (session, panier, choix du bandeau). Un cookie dont le nom commence par _ga, _fbp ou _gcl avant tout clic signale un traceur déposé trop tôt.
3. Regardez l'onglet Réseau et rechargez la page : des requêtes vers google-analytics.com, googletagmanager.com, facebook.net ou doubleclick.net avant votre accord racontent la même chose.
4. Cliquez sur « Tout refuser », rechargez, et refaites les deux contrôles : rien ne doit avoir changé. Puis cherchez le lien qui permet de revenir sur votre choix.
5. Lisez vos mentions légales et votre politique de confidentialité en face de la liste de vos outils : chaque service utilisé doit y figurer.
6. Remplissez chaque formulaire en regardant ce qui est demandé, ce qui est expliqué, et s'il reste une case cochée d'avance.

Notre audit gratuit fait ces contrôles pour vous, de la même façon : il ne lit que ce que tout le monde peut voir, sans rien installer ni rien tester, et vous recevez un bilan écrit sous deux jours ouvrés. Pour l'intérieur (registre, contrats, durées, accès), il faut un accès et un échange avec vous : c'est le rôle de l'état des lieux, offert avant chaque abonnement.

Rédigé par l'équipe Boost de WS Agency, qui maintient et protège des sites WordPress, PrestaShop et Joomla. Publié le 20 octobre 2026. Textes et pages de la CNIL consultés le 20 octobre 2026.

• CNIL, cookies et traceurs : que dit la loi ? (consentement préalable, refus aussi simple que l'acceptation, traceurs exemptés).
• CNIL, les outils de mesure d'audience exemptés (conditions, 13 mois, 25 mois).
• Règlement général sur la protection des données, texte officiel (articles 5, 13, 24, 28, 30, 32, 33, 34, 37 et 83).
• Commission européenne, transferts de données vers les États-Unis (décision du 10 juillet 2023).

Une erreur, une information à compléter, un droit de réponse ? Écrivez à contact@wsagency.fr : nous corrigeons, et nous indiquons ici ce qui a changé et quand.