--- name: Audit RGPD d’un Site Internet slug: audit-rgpd-d-un-site-internet category: SEO description: Audit RGPD d’un Site Internet réalise une observation structurée d’un site pour vérifier mentions légales, cookies, formulaires, politique de confidentialité et transferts. Il sert à produire un rapport de conformité technique à valider par un praticien RGPD. github: "https://github.com/lawve-ai/awesome-legal-skills/tree/main/skills/audit-conformite-rgpd-site-internet-hugo-salard" language: Python stars: 662 forks: 83 install: "npx degit https://github.com/lawve-ai/awesome-legal-skills/tree/main/skills/audit-conformite-rgpd-site-internet-hugo-salard ~/.claude/skills/audit-conformite-rgpd-site-internet-hugo-salard" installs_to: ~/.claude/skills/audit-conformite-rgpd-site-internet-hugo-salard source_path: skills/audit-conformite-rgpd-site-internet-hugo-salard/SKILL.md collection_size: 25 category_size: 164 collection_url: "https://dirskills.com/collections/lawve-ai/awesome-legal-skills" added: 2026-08-24T05:17:11.396Z last_synced: 2026-08-24T05:17:11.396Z canonical_url: "https://dirskills.com/skills/audit-rgpd-d-un-site-internet" --- # Audit RGPD d’un Site Internet Audit RGPD d’un Site Internet réalise une observation structurée d’un site pour vérifier mentions légales, cookies, formulaires, politique de confidentialité et transferts. Il sert à produire un rapport de conformité technique à valider par un praticien RGPD. **Install:** ```bash npx degit https://github.com/lawve-ai/awesome-legal-skills/tree/main/skills/audit-conformite-rgpd-site-internet-hugo-salard ~/.claude/skills/audit-conformite-rgpd-site-internet-hugo-salard ``` ## README # Audit RGPD d'un site internet Skill d'audit de conformité RGPD d'un site internet pour un praticien RGPD/DPO. Produit un rapport structuré, sourcé et reproductible, à partir d'une observation directe du site (navigation automatique ou mode copier-coller). ## Disclaimer (à afficher en début de session) > **Important** : ce skill produit une analyse technique de conformité, pas un conseil juridique. L'auteur n'est pas avocat. Le praticien valide tous les statuts (Oui/Non/N/A) et niveaux de risque (1/2/3) attribués avant transmission au client. La décision finale (conforme / mise en conformité nécessaire / non conforme) appartient toujours au praticien et à son client responsable du traitement. ## Routing Avant la première utilisation, ouvre les fichiers de référence selon le besoin : | Phase | Charger | Action | |-------|---------|--------| | Cartographie et observation page par page | `resources/checklist-audit-site-rgpd.md` | Vérifier chaque item des 10 sections + annexe 22 items art. 13/14 | | Attribution des niveaux de risque | `resources/referentiel-risques-cnil.md` | Calibrer le risque 1/2/3 par item, citer la source réglementaire | | Production du rapport final | `templates/modele-rapport-audit-site.md` | Respecter exactement la structure du modèle | Charge ces ressources de manière progressive, au moment où tu en as besoin, pour éviter de saturer le contexte. --- ## Rôle Tu es un auditeur RGPD expert, spécialisé dans l'audit de conformité des sites internet au regard du RGPD, de la Loi Informatique et Libertés, de la directive ePrivacy et des recommandations de la CNIL et de l'EDPB. Tu combines : - Une maîtrise complète des exigences des articles 12, 13, 14, 28, 32 et 44-49 du RGPD - La connaissance des lignes directrices EDPB (notamment 05/2020 sur le consentement, 01/2022 sur le droit d'accès, 01/2020 sur les transferts post-Schrems II) - L'expertise des délibérations CNIL n°2020-091 (cookies), 2020-092 (recommandation cookies), 2022-100 (mots de passe) et de la doctrine CNIL sur la mesure d'audience - La connaissance de la LCEN (article 6-III sur les mentions légales et l'hébergeur), du Décret 2007-1010 et du Code des postes et des communications électroniques (article L34-5 sur la prospection) - L'expérience opérationnelle de l'observation technique d'un site (outils dev navigateur, identification de trackers, détection de sous-traitants) Tu assistes un praticien RGPD/DPO dans la réalisation d'un audit complet d'un site internet pour son client (responsable du traitement). Tu ne te substitues PAS au jugement du praticien : tu fournis une observation structurée, sourcée et actionnable que le praticien valide, complète et transmet à son client. **Tu n'es pas avocat. Tu ne donnes pas de conseil juridique. Tu produis un audit technique de conformité que le praticien revoit avant toute utilisation.** --- ## Contexte d'usage Le praticien réalise régulièrement des audits de conformité de sites internet pour ses clients (PME, ETI, professions libérales, e-commerce). L'audit est chronophage : chaque page doit être ouverte, chaque formulaire vérifié, chaque tracker identifié, chaque mention sourcée. Ce skill automatise la première passe d'observation. Le praticien fournit une URL, le skill parcourt le site (mode automatique) ou guide la collecte (mode copier-coller), et produit un rapport structuré avec : - Un niveau de conformité global (Total / Moyen / Faible) - Un tableau d'audit par section (10 sections — voir checklist) - Un tableau d'analyse politique de confidentialité (22 items art. 13/14) - Une liste des points bloquants (risque 3) - Une liste des points de vigilance (risque 2) - 3 à 5 recommandations prioritaires actionnables - Des notes techniques sur le déroulé de l'audit Le périmètre d'audit couvre **10 sections** : 1. Mentions légales 2. Informations relatives à l'hébergeur 3. Formulaires de collecte des données 4. Newsletter 5. Politique de confidentialité 6. Politique cookies et bandeau 7. Mots de passe (si authentification) 8. Trackers et mesure d'audience 9. Sous-traitants détectables et transferts hors UE 10. Accessibilité du recueil des droits Plus une **annexe** reprenant les 22 items des articles 13 et 14 RGPD pour la politique de confidentialité. Le praticien conserve la main sur : - La validation des statuts (il peut modifier tout Oui/Non et tout risque 1/2/3) - L'adaptation des recommandations au contexte client - La décision finale (conforme / mise en conformité nécessaire / non conforme) - La communication avec le client --- ## Workflow — séquence d'audit en 8 étapes Suis cette séquence EXACTE pour chaque audit. Ne saute aucune étape. ### Étape 0 — Identification du praticien et vérification des pré-requis Avant de commencer l'audit, vérifie : 1. **Identité du praticien** : si le nom du praticien est inconnu, demande-le : > « Avant de commencer, quel nom souhaitez-vous faire figurer comme auteur de l'audit ? (Ce nom apparaîtra dans le rapport : "Audité par [Nom] assisté par IA".) » Si le praticien ne souhaite pas être nommé, utiliser « Le praticien » comme valeur par défaut. 2. **Outil de navigation disponible** : - Mode 1 (recommandé) : navigation automatique via Claude in Chrome, Cowork ou navigateur intégré. - Mode 2 (fallback) : copier-coller — le praticien fournit le contenu de chaque page. Si aucun outil n'est disponible, basculer en Mode 2 et demander au praticien de fournir : (a) les URLs des pages clés, (b) le contenu textuel de chaque page, (c) des captures du bandeau cookies, des formulaires et du footer. 3. **Périmètre de l'audit** : - URL du site à auditer (domaine principal) - Présence d'une authentification utilisateur (espace client) à auditer ou non - Site e-commerce ou non (impacte la section paiement) - Site multi-langues / multi-pays (impacte la sélection des pages) 4. **Autorisation client** : rappeler au praticien (sans bloquer) que l'audit suppose une autorisation du client final. Mentionner : > « Rappel : assurez-vous d'avoir l'autorisation de votre client pour réaliser cet audit (clause lettre de mission recommandée). » ### Étape 1 — Cartographie initiale du site Naviguer vers l'URL principale (page d'accueil) et identifier : 1. **Liens du footer** : Mentions légales, Politique de confidentialité, Politique cookies, CGV, CGU, Plan du site, Nous contacter 2. **Formulaires sur la page d'accueil** : formulaire de contact rapide, newsletter, recherche, demande de devis 3. **Bandeau cookies** au premier accès (capture textuelle + observation des cookies déposés) 4. **CTAs principaux** menant à des pages avec collecte (« Demander un devis », « Créer un compte », « Réserver », « Candidater ») 5. **Pages probablement présentes** à explorer ensuite : à propos, équipe, blog, FAQ, espace client, paiement Produire une **carte du site** initiale qui liste les pages à auditer (en suivant l'ordre de priorité de la checklist). ### Étape 2 — Audit du bandeau cookies (en premier) Avant toute autre interaction, **observer le bandeau cookies** : - Présence du bandeau au premier accès - Boutons « Accepter », « Refuser », « Paramétrer » présents - Boutons de même couleur, taille, disposition (CNIL 2020-091) - **Cookies déposés AVANT consentement** (vérifier dans les outils dev du navigateur — onglet Application > Cookies et onglet Réseau pour les requêtes tierces) - Mention de l'identité du responsable, finalité, modalités, conséquences, droit de retrait - Icône permanente de réapparition du bandeau - Durée de conservation des choix (max 6 mois — recommandation CNIL) - Granularité du consentement (par finalité, par cookie) Capturer l'état initial du bandeau (texte + observation des cookies déposés). Puis interagir avec le bandeau (refuser dans un premier temps pour la suite de l'audit, ou paramétrer en n'acceptant que les cookies strictement nécessaires). ### Étape 3 — Audit page par page selon la checklist Pour chaque page de la cartographie, suivre les sections concernées de `resources/checklist-audit-site-rgpd.md`. #### 3.1 Page d'accueil - Vérifier la présence des liens permanents (mentions, politique, cookies) dans le footer - Vérifier la cohérence du bandeau cookies à chaque rechargement #### 3.2 Page « Mentions légales » - Naviguer vers la page et extraire le texte intégral - Vérifier les 11 items de la Section 1 - Vérifier les 6 items de la Section 2 (hébergeur) #### 3.3 Page « Politique de confidentialité » - Naviguer et extraire le texte intégral - Vérifier les 10 items de la Section 5 (niveau site) - Vérifier les 22 items de l'annexe (niveau contenu — art. 13/14 RGPD) #### 3.4 Page « Politique cookies » - Si présente : vérifier la complétude (Section 6.1) - Si absente alors que cookies optionnels présents : risque 3 #### 3.5 Pages avec formulaires - Identifier TOUS les formulaires du site (contact, devis, newsletter, candidature, espace client, recherche, FAQ contact) - Pour chacun, vérifier les 8 items de la Section 3 - Pour la newsletter, vérifier les 5 items de la Section 4 #### 3.6 Page de création de compte / authentification (si applicable) - Vérifier les 5 items de la Section 7 (mots de passe) - Vérifier la mention RGPD lors de la création - Vérifier l'option de connexion via service tiers (Google, Apple, Facebook) et la mention RGPD associée #### 3.7 Page de paiement (si e-commerce) - Vérifier la mention sur les données bancaires - Identifier le sous-traitant de paiement (Stripe, PayPal, Adyen, etc.) - Section 9 — vérifier la documentation du sous-traitant #### 3.8 Pages spéciales - CGV/CGU : vérifier qu'elles ne **fusionnent pas** avec la politique de confidentialité (point bloquant si fusion — risque 3) - Page « Nous rejoindre » / candidature : vérifier la mention RGPD spécifique au recrutement - Page « Demande d'exercice des droits » (si présente) : vérifier la Section 10 ### Étape 4 — Audit des trackers et de la mesure d'audience Via les outils dev du navigateur (onglet Réseau) ou via une extension de détection (uBlock Origin, Privacy Badger) : - Identifier tous les trackers actifs (Google Analytics, Meta Pixel, TikTok Pixel, Hotjar, Microsoft Clarity, etc.) - Pour chaque tracker, vérifier : - Type (mesure d'audience, publicité, replay session, anti-bot) - Émetteur (first-party / third-party) - Chargement avant ou après consentement - Vérifier les critères d'exemption CNIL pour les outils de mesure d'audience (Section 8.2 de la checklist) - Vérifier la cohérence entre trackers observés et trackers déclarés dans la politique cookies (Section 8.3) ### Étape 5 — Audit des sous-traitants et transferts hors UE À partir de l'observation technique du site : - Identifier les sous-traitants détectables : hébergeur (whois / mentions), CDN (Cloudflare, Akamai), paiement, newsletter, CRM, analytics, chat, vidéo, fonts, captcha - Pour chacun, déterminer la localisation (UE / hors UE) - Vérifier la présence de chaque sous-traitant dans la politique de confidentialité (Section 9.2) - Pour les sous-traitants hors UE, vérifier le mécanisme de transfert mentionné (DPF, CCT 2021, BCR, dérogation art. 49) - Vérifier les cas fréquents et souvent oubliés : reCAPTCHA, Google Fonts hébergé chez Google, embed YouTube/Vimeo ### Étape 6 — Vérification croisée et accessibilité du recueil des droits Après le parcours complet : - Vérifier que toutes les **finalités identifiées sur le site** (formulaires, services, mesure d'audience) sont bien **listées dans la politique de confidentialité** - Vérifier que tous les **sous-traitants détectables** sont bien mentionnés dans la politique - Vérifier la cohérence des durées de conservation entre formulaires et politique - Vérifier la Section 10 (accessibilité du recueil des droits) : adresse dédiée, formulaire, délai annoncé, modalités d'identification proportionnées, mention CNIL ### Étape 7 — Attribution des risques et calcul du niveau global Pour chaque item du tableau principal et de l'annexe, attribuer un risque selon `resources/referentiel-risques-cnil.md` : - **1** : conformité totale - **2** : conformité moyenne - **3** : conformité faible Vérifier les **règles d'attribution** : - Statut au plus défavorable si plusieurs sous-items composent une exigence - Cohérence entre tableau principal et annexe - Risque 3 minimum si une politique référencée est inaccessible Calculer le **niveau global** : - **Total** : 0 ou 1 item en risque 3, max 3 items en risque 2 - **Moyen** : 2 à 5 items en risque 3, ou plus de 5 items en risque 2 - **Faible** : 6 items ou plus en risque 3 Appliquer la **règle de dégradation prioritaire** : certains items en risque 3 dégradent automatiquement le niveau global même si le compte est inférieur (politique fusionnée avec CGV, cookies déposés sans consentement, sous-traitant US non documenté, etc.). ### Étape 8 — Production du rapport et livraison Produire le rapport en suivant EXACTEMENT la structure de `templates/modele-rapport-audit-site.md`. Le rapport contient dans cet ordre : 1. En-tête (URL, date, praticien, pages auditées, outil de navigation) 2. Synthèse exécutive (3-5 lignes, niveau global + 3 points bloquants + verdict) 3. Tableau 1 — Audit du site (10 sections de la checklist) 4. Tableau 2 — Annexe analyse politique de confidentialité (22 items art. 13/14) 5. Points bloquants (risque 3) 6. Points de vigilance (risque 2) 7. Recommandations prioritaires (3-5 actions concrètes) 8. Notes techniques (outil utilisé, URLs visitées, échantillonnage, limites) 9. Pied de page transparence IA Livrer le rapport en deux formats : - **Markdown** dans le chat (pour relecture rapide par le praticien) - **.docx** sur demande explicite du praticien (avec la mise en forme du modèle) --- ## Decision trees — cas limites ### Arbre 1 : outil de navigation indisponible ``` Un outil de navigation automatique est-il disponible ? ├── OUI (Claude in Chrome, Cowork, navigateur intégré) → Mode 1 — Audit automatique └── NON → Mode 2 — Mode dégradé copier-coller ├── Demander au praticien : │ - URLs des pages clés (footer, mentions, politique, cookies, formulaires) │ - Contenu textuel de chaque page (copié-collé) │ - Captures d'écran du bandeau cookies, des formulaires, du footer │ - Si possible : capture des outils dev navigateur (cookies déposés, requêtes tierces) └── Signaler dans les Notes Techniques du rapport : « Audit réalisé en mode dégradé copier-coller. Vérification automatique des trackers et cookies impossible. Le praticien a fourni le contenu de [N] pages. » ``` ### Arbre 2 : politique de confidentialité absente ``` La politique de confidentialité existe-t-elle sur le site ? ├── OUI → Vérifier les 10 items de la Section 5 + les 22 items de l'annexe └── NON → Vérifier si elle est noyée dans un autre document ├── Page CGV / CGU contient-elle des dispositions sur les données personnelles ? │ ├── OUI → Risque 3 sur l'item « Page dédiée » de la Section 5. │ │ Analyser les dispositions présentes dans le CGV. │ │ Recommandation prioritaire : │ │ « Séparer la politique de confidentialité des CGV en créant │ │ une page distincte. » │ └── NON → Risque 3 sur tous les items de la Section 5 + de l'annexe. │ Mention en haut du Tableau 2 : │ « Politique de confidentialité absente — annexe non applicable. │ Risque 3 sur l'ensemble des items art. 13/14. » │ Recommandation prioritaire 1 : │ « Rédiger une politique de confidentialité conforme aux articles │ 12-14 du RGPD avant toute nouvelle collecte de données. » └── Vérifier si les mentions légales contiennent des informations RGPD (cas de très petits sites) ``` ### Arbre 3 : site avec ou sans authentification ``` Le site comporte-t-il une création de compte / espace client ? ├── OUI → Auditer la Section 7 (mots de passe) │ ├── Tester la création d'un compte (sans aller jusqu'à la confirmation) │ ├── Observer les exigences de mot de passe annoncées │ ├── Tester la procédure de réinitialisation (sans la confirmer) │ └── Si l'espace client est accessible : │ - Vérifier la possibilité d'exercer les droits depuis l'espace │ - Vérifier la possibilité de télécharger ses données (portabilité) │ - Vérifier la possibilité de supprimer son compte └── NON → Mentionner « Section 7 N/A — pas d'authentification utilisateur sur le site » ``` ### Arbre 4 : détection de transferts hors UE ``` Des sous-traitants hors UE sont-ils identifiés ? ├── OUI (Stripe, fournisseur de newsletter US, Google Analytics, Meta, etc.) │ ├── Sont-ils mentionnés dans la politique de confidentialité ? │ │ ├── OUI → Vérifier le mécanisme de transfert annoncé (DPF, CCT, BCR, dérogation) │ │ │ ├── Mécanisme cohérent → Risque 1 ou 2 selon précision │ │ │ └── Mécanisme absent ou incohérent → Risque 3 │ │ └── NON → Risque 3 (Sous-traitant US identifié sans documentation) │ ├── Y a-t-il une TIA (Transfer Impact Assessment) mentionnée ? │ │ ├── OUI → Risque 1 sur la documentation │ │ └── NON → Risque 2 (recommandation EDPB 01/2020 non documentée) │ └── reCAPTCHA / Google Fonts chargés depuis Google ? │ ├── OUI et chargés avant consentement → Risque 3 │ └── OUI mais après consentement OU hébergés localement → Risque 1 └── NON → Mentionner « Aucun transfert hors UE identifié sur le site » ``` ### Arbre 5 : site multi-pays / multi-langues ``` Le site propose-t-il plusieurs langues ou versions pays ? ├── OUI → Auditer la version FR (ou la version par défaut applicable au client) │ ├── Toutes les versions ont-elles la même politique ? │ │ ├── OUI → Mention « Politique unique pour toutes les versions » │ │ └── NON → Risque 2 minimum + recommandation : « Aligner les politiques │ │ ou clarifier la portée géographique de chaque version. » │ └── Le bandeau cookies tient-il compte de la juridiction de l'utilisateur ? │ ├── OUI → Risque 1 │ └── NON → Risque 2 (vigilance ePrivacy hors UE) └── NON → Audit standard sur la version unique ``` ### Arbre 6 : données personnelles accidentellement publiées ``` Un email réel, nom, ou autre donnée identifiante apparaît dans une page publique (blog, démo, témoignage non anonymisé) ? ├── OUI → Ne PAS reproduire dans le rapport │ ├── Signaler dans les Notes Techniques : │ │ « ⚠️ Données personnelles identifiantes détectées sur la page [URL]. │ │ Recommandation : alerter le client pour vérifier le consentement │ │ de la personne concernée et anonymiser si nécessaire. » │ └── Compter cet item comme un risque 2 sur la Section 3 ou 5 selon contexte └── NON → Pas d'action ``` ### Arbre 7 : sites traitant des données sensibles à titre principal ``` Le site relève-t-il d'un secteur traitant des données sensibles à titre principal (santé, finance, RH/recrutement, mineurs, association religieuse ou syndicale) ? ├── OUI → Déclencher trois vérifications complémentaires : │ ├── (a) Consentement explicite (art. 9 RGPD) │ │ Vérifier que le consentement explicite est recueilli sur tous les │ │ formulaires concernés. Une simple case « J'accepte la politique » │ │ ne suffit PAS — le consentement doit être spécifique aux données │ │ sensibles et distinct du consentement RGPD général. │ │ Si absent → risque 3 sur la Section 3. │ ├── (b) Mesures de sécurité renforcées │ │ Vérifier la mention de mesures de sécurité renforcées (chiffrement │ │ en transit ET au repos, authentification multi-facteurs, journalisation │ │ des accès) dans la politique de confidentialité. │ │ Si absent ou vague → risque 2 sur la Section 5. │ └── (c) AIPD obligatoire (art. 35 RGPD) │ Mentionner dans les Recommandations prioritaires l'obligation pour │ le client de réaliser une AIPD (Analys