Aller au contenu principal
Quel logiciel RGPD

Un audit ponctuel vaut-il mieux qu’un DPO externe ?

Pour qui : Vous n’avez pas d’obligation de désigner un délégué à la protection des données et vous voulez un état des lieux sans vous engager sur un abonnement.

Oui si vous n’avez aucune obligation de désigner un DPO, qu’aucun délégué n’a besoin de tenir ce rôle dans la durée et qu’un référent nommé exécutera le plan. Dans ce cas, un achat ponctuel suffit.

Non si la désignation est obligatoire : un audit ne désigne personne, et il ne remplit pas les missions de l’article 39. Non plus s’il n’y a personne pour exécuter : l’audit reste un rapport.

Notre avis

Prenez un audit ponctuel si vous n’avez aucune obligation et qu’une personne nommée exécutera le plan, avec du temps réservé. Sans cette personne, n’achetez pas d’audit : vous paieriez une liste de choses à faire que personne ne fera.

Pourquoi

  • Un audit ne crée ni contact pour les personnes, ni suivi des nouveaux projets, ni relances dans le temps.
  • L’achat ponctuel évite un engagement de douze mois, durée lue sur plusieurs forfaits, si le rôle n’a pas besoin d’être tenu.
  • L’audit n’est pas un point de départ obligatoire : un registre commencé avec le modèle de la CNIL fait déjà apparaître vos traitements et vos prestataires.

Ce qui change le choix

Si l’audit montre un cas de l’article 37, le rôle devient obligatoire et l’audit n’y suffit plus. Si le plan n’avance pas après un trimestre, le manque porte sur une personne : changez de formule.

L’ordre à suivre

  1. Désignation obligatoire : un DPO, avec ou sans audit au départ.
  2. Sans obligation, traitements courants, référent disponible : le modèle de la CNIL d’abord, rien à acheter.
  3. Sans obligation, référent disponible, doute sur vos pratiques ou client qui demande des preuves : un audit avec plan d’action.
  4. Sans obligation, personne pour exécuter : nommez d’abord quelqu’un, ou cherchez un accompagnement dans la durée.

Le test avant d’acheter : qui exécutera le plan ?

  1. Nommez la personne qui recevra le plan. Avec un temps écrit, par exemple quelques heures par mois. Sans nom, arrêtez-vous là.
  2. Nommez le dirigeant qui tranchera. Un plan d’action demande des décisions : durée de conservation, contrats, outils.
  3. Écrivez la raison de l’audit. Préparer une réponse à un client, sortir d’un doute, reprendre un registre vieilli. Sans raison, commencez par le modèle de la CNIL.
  4. Réservez une revue après un trimestre. Plan non avancé : le problème vient du temps ou de la personne, et un second audit n’y changera rien.

Un audit ne remplace pas les missions d’un DPO

L’article 39 confie au délégué d’informer et de conseiller, de contrôler le respect des règles, de donner des conseils sur l’analyse d’impact, de coopérer avec la CNIL et d’être son point de contact. Il reste aussi le contact des personnes concernées, selon l’article 38. Un audit correspond à une partie du contrôle, à une date. Le reste continue après lui, et c’est là que le référent intervient.

Écrivez la commande

Ces lignes sont nos recommandations, à faire figurer dans le bon de commande. Plus elles sont précises, plus vous comparerez facilement deux offres.

Livrables à demander
ÉlémentÀ exiger
ÉtendueTraitements et services examinés, nommés un à un. Le reste écrit comme hors audit.
MéthodeDocuments lus, personnes rencontrées, nombre de jours.
ConstatsChaque écart avec sa preuve et la règle concernée.
Plan d’actionPriorité, responsable chez vous, délai, effort estimé.
SéparationLe plan reste réalisable sans acheter la suite auprès de l’auditeur.
PromesseAucune attestation de conformité. Un audit décrit une situation à une date.

Audit gratuit, consultation, mission complète

Les formats lus ne se valent pas. DPO Consulting annonce un audit flash gratuit, un rendez-vous de moins de 40 minutes avec une évaluation de maturité et un premier plan d’action, sur une page qui vend son abonnement. Prenez-le comme une prise de contact. Mon Expert RGPD affiche une consultation de 45 minutes en visio à 250 € HT, avec un rapport annoncé sous 24 heures : c’est un cadrage. SWIM Legal oriente vers un avocat au dossier quand le besoin se limite à un audit, un registre ou une analyse d’impact, sans désignation.

Demandez le nombre de jours : il distingue ces formats mieux que le mot audit.

Limites de cette page

Nous n’avons retenu aucun prix courant d’audit complet : la seule grille lue était trop ancienne pour servir. Le bon de commande est une proposition de notre part, et aucun audit n’a été commandé. Faites chiffrer deux offres en jours.

Prochaine action

Identifiez qui exécutera le plan et notez son temps. Si vous ne pouvez nommer personne, n’achetez pas d’audit. En cas de désignation obligatoire, traitez d’abord la désignation : l’audit peut venir ensuite.

Preuves et sources

Lu le 5 novembre 2026 : l’article 39 du RGPD dans le texte publié par la CNIL, le guide pratique de la CNIL pour les délégués, les pages de DPO Consulting, SWIM Legal, Mon Expert RGPD et Dipeeo. Aucun devis demandé. Nous n’avons retenu aucun prix courant d’audit complet.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. L’article 39 du RGPD confie au délégué les missions d’informer et conseiller, de contrôler le respect du règlement, de conseiller sur l’analyse d’impact, de coopérer avec l’autorité et de faire office de point de contact, et l’article 38 permet aux personnes concernées de le contacter.

    Portée : Articles 38 et 39.

    Réserve : Texte reproduit par la CNIL.

  • Notre calcul ou déduction. Un audit ne vaut pas désignation et ne remplit pas à lui seul ces missions.

    Portée : Déduction de l’article 37 et de l’article 39.

    Réserve : Sans doctrine lue portant spécifiquement sur ce point.

  • Déclaration de l’éditeur. DPO Consulting annonce un audit flash gratuit, sous forme d’un rendez-vous de moins de 40 minutes avec une évaluation de maturité et un premier plan d’action.

    Portée : Page de l’offre DPO as a Service.

    Réserve : Non essayé.

  • Fait lu. Mon Expert RGPD affiche une consultation RGPD en visio de 45 minutes à 250 € HT, avec un rapport annoncé sous 24 heures.

    Portée : Page d’accueil lue le 5 novembre 2026.

    Réserve : Prix publié, contenu non vérifié.

  • Déclaration de l’éditeur. SWIM Legal écrit que si le besoin se limite à un audit, un registre ou une analyse d’impact, sans désignation de DPO, un avocat en protection des données au dossier est plus adapté.

    Portée : Page DPO externalisé.

    Réserve : Page d’un vendeur.

  • Fait lu. Plusieurs forfaits de DPO externe lus affichent un engagement de 12 mois.

    Portée : Dipeeo, DPO Consulting et Mon Expert RGPD.

    Réserve : Pages lues.

  • Notre avis. Réserver l’audit aux organismes sans obligation qui ont un exécutant nommé, et le bon de commande proposé, relèvent de notre avis.

    Portée : Organismes sans désignation obligatoire.

    Réserve : Une exigence d’un client peut imposer un audit à une autre occasion.

    Daté du 5 novembre 2026.