Formation RGPD : quel contenu pour les RH, le marketing, les commerciaux, l'informatique et la direction ?

Une agence immobilière paie 40 000 euros, notamment pour un logiciel qui comptait les minutes sans clic. Une enseigne paie 3,5 millions d'euros, notamment pour avoir envoyé son fichier de fidélité à un réseau social. Dans les deux cas, le risque tient à un outil et à un geste propres à une fonction : le suivi du temps de travail, l'acquisition publicitaire. Un module RGPD général, fait de définitions et de principes, n'apprend pas à s'arrêter à cet endroit. Voici ce que chaque métier doit savoir, décision à l'appui, et comment en faire un programme.

Formation RGPD par métier : pourquoi un tronc commun ne suffit pas

Le RGPD ne fixe aucun programme de formation. Son article 39.1.b charge le DPO de contrôler « la sensibilisation et la formation du personnel participant aux opérations de traitement », et son article 29 limite chaque personne ayant accès aux données à ce que prévoient les instructions du responsable du traitement. Le texte raisonne donc par opération de traitement, pas par organigramme. Si vous n'avez jamais défini ce qu'une équipe peut faire de ses données, vous n'avez pas d'instruction à faire respecter.

La CNIL va dans le même sens. Son guide de la sécurité des données personnelles (édition 2024) recommande, dans sa fiche 3, des contenus adaptés aux fonctions. Ce guide est une recommandation, pas une obligation. Il donne toutefois un repère pour préparer un contrôle. Pour le fondement de ces exigences et la preuve à conserver, reportez-vous à l'article sur la sensibilisation RGPD des collaborateurs. Ici, la question est celle du contenu.

Ce qui reste commun à tout le monde

Le socle tient en quatre points : reconnaître une donnée personnelle dans son outil, savoir qui prévenir en cas d'incident, transmettre une demande de droit sans y répondre seul, ne rien copier hors des outils autorisés. Le reste dépend du poste. Un développeur et un chargé de recrutement ne commettent pas les mêmes erreurs, et aucune de ces erreurs ne se corrige par un rappel des six principes.

Un point relève pourtant de tous les métiers. En mission de DPO, je rencontre souvent des entreprises qui conservent leurs données clients indéfiniment : aucune durée n'a été fixée, donc le logiciel de gestion commerciale garde tout. Le RGPD impose une durée limitée à la finalité (article 5, 1, e). Chaque collaborateur doit savoir quelle durée s'applique à ce qu'il saisit, et qui supprime à l'échéance.

Formation RGPD des RH : recrutement, demandes d'accès, contrôle de l'activité

Le recrutement et la durée de conservation

L'article L1221-6 du Code du travail n'autorise que les questions ayant un lien direct et nécessaire avec l'emploi proposé ou l'évaluation des aptitudes professionnelles. L'article L1221-8 impose d'informer le candidat des méthodes utilisées avant de les mettre en œuvre. La formation doit traduire ces règles en gestes : ce qu'on note après un entretien, ce qu'on ne cherche pas sur les réseaux sociaux, ce qu'on dit d'un outil de tri.

La conservation est l'autre point d'erreur. Le référentiel de la CNIL publié le 2 avril 2026 distingue le dossier d'un candidat non retenu, gardé le temps de la procédure puis archivé cinq ans à des fins probatoires pour les actions en discrimination, et le vivier de candidats, conservé en base active deux ans au plus après le dernier contact. Le recruteur doit savoir dans quel cas il se trouve. L'article sur les durées de conservation à paramétrer dans le SIRH détaille les autres catégories.

La demande d'accès qui arrive pendant un contentieux

Imaginez un salarié licencié qui demande « toutes ses données ». Par son arrêt du 18 juin 2025 (n° 23-19.022), la chambre sociale de la Cour de cassation a jugé que les courriels émis ou reçus sur la messagerie professionnelle sont des données personnelles du salarié. L'employeur doit fournir les métadonnées et le contenu, sauf atteinte aux droits et libertés d'autrui. Dans cette affaire, envoyer les bulletins de paie et les documents de fin de contrat n'a pas suffi : l'employeur a été condamné à des dommages et intérêts.

Le délai est d'un mois. Il peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à condition d'en informer la personne dans le premier mois (article 12.3 du RGPD). Une équipe RH doit donc apprendre trois choses : reconnaître la demande même mal formulée, dater sa réception, et prévenir aussitôt le DPO ou le conseil, car trier des milliers de courriels pour protéger les tiers ne s'improvise pas en fin de délai.

Le contrôle de l'activité

Le 19 décembre 2024, une agence immobilière a été sanctionnée de 40 000 euros pour plusieurs manquements (SAN-2024-021). Un logiciel comptait comme inactivité toute période sans frappe ni mouvement de souris dépassant une durée réglée entre trois et quinze minutes, et prenait des captures régulières des écrans. La formation restreinte a jugé ce décompte non fiable et l'atteinte disproportionnée, et a retenu l'absence d'analyse d'impact. Elle rappelle au point 45 que le temps de travail ne se réduit pas à une activité au clavier.

À l'échelle d'un entrepôt, le Conseil d'État a ramené de 32 à 15 millions d'euros une amende visant un logisticien (23 décembre 2025, n° 492830) : il écarte le manquement sur trois indicateurs en temps réel, mais confirme que conserver tous les indicateurs 31 jours, sans distinguer les finalités, viole le principe de minimisation. La nuance est utile en formation : mesurer n'est pas interdit, tout dépend de ce qu'on garde et pourquoi.

Avant tout nouvel outil, la RH vérifie deux textes : l'article L1222-4 (aucune collecte par un dispositif non porté à la connaissance du salarié) et, dans les entreprises d'au moins 50 salariés, l'article L2312-38 (information et consultation du CSE sur les moyens de contrôle de l'activité).

Formation RGPD du marketing : ciblage, cookies, fichiers clients

Le fichier envoyé à une régie publicitaire

C'est le geste le plus banal d'une équipe d'acquisition : importer une audience dans une plateforme publicitaire. Le 30 décembre 2025, une enseigne a été sanctionnée de 3,5 millions d'euros, notamment pour ce motif (SAN-2025-017). Chaque semaine, de fin 2018 à février 2024, elle transmettait à un réseau social les adresses électroniques ou numéros de téléphone des membres de son programme de fidélité ayant accepté la prospection par SMS ou courriel. Cela représentait plus de 10,5 millions de personnes.

Trois enseignements pour vos équipes :

• Accepter un courriel n'est pas accepter un ciblage. Le consentement à la prospection ne couvrait pas la transmission au réseau social. La formation restreinte évoque une case à cocher dédiée sur le formulaire d'adhésion (point 47).
• Le hachage ne règle pas la question. C'est une bonne pratique de sécurité, mais il ne change rien au fait que les données sont transmises (point 51).
• Le nombre de personnes exposées n'est pas celui qui a vu la publicité. La société plaidait 1,6 million de personnes touchées. La CNIL retient les 10,5 millions dont les données ont été transmises (point 53).

La même décision retient l'absence d'analyse d'impact avant le lancement. Le chef de projet marketing doit savoir que ce sujet existe et à qui le poser, avant la mise en ligne de la campagne.

Cookies et courriels : deux régimes à ne pas confondre

Sur les 3,5 millions, un million sanctionne un manquement à l'article 82 de la loi Informatique et Libertés, sur les traceurs. La règle à enseigner : hors traceurs strictement nécessaires, pas de dépôt sans consentement préalable. Un marketeur qui ajoute un pixel par le gestionnaire de balises modifie ce que le site collecte, sans toucher au code. Il doit savoir que ce geste passe par une validation.

Pour le courriel, l'article L34-5 du Code des postes et des communications électroniques pose le principe du consentement préalable. L'exception vise le client à qui l'on propose des produits ou services analogues, s'il a pu s'opposer dès la collecte puis à chaque envoi. La sortie de liste doit fonctionner dans tous les outils, y compris dans celui que le service a acheté seul l'an dernier.

Formation RGPD des commerciaux : prospection, enrichissement, notes CRM

Le téléphone a changé le 11 août 2026

Depuis cette date, l'article L223-1 du Code de la consommation interdit de démarcher par téléphone un consommateur qui n'y a pas consenti au préalable, sauf sollicitation faite dans le cadre d'un contrat en cours et en rapport avec son objet. Le consentement vaut un an au plus (article R223-1), sa preuve se garde trois ans (R223-2) et son retrait peut être oral (R223-3). Le contrat conclu en violation de ces règles est nul, et l'amende administrative peut atteindre 375 000 euros pour une personne morale (L242-16). Si vos commerciaux appellent des particuliers, cette mise à jour est prioritaire : voir l'article sur la prospection téléphonique et le consentement préalable. Le texte vise le consommateur. Il ne règle pas l'appel à un professionnel.

L'extension qui trouve un numéro de mobile

En B2B, la CNIL n'exige pas systématiquement le consentement pour un courriel, si le message a un lien avec l'activité professionnelle, si la personne connaît l'origine de ses données et la finalité, et si elle peut s'opposer simplement. Ces conditions ferment une partie des pratiques courantes.

Le 5 décembre 2024, l'éditeur d'une extension de navigateur qui affichait les coordonnées de personnes visibles sur un réseau social professionnel a été sanctionné de 240 000 euros pour plusieurs manquements (SAN-2024-020). Il récupérait notamment des coordonnées que les personnes avaient réservées à leurs relations : selon le point 45, cela va à l'encontre de leurs attentes raisonnables. Plusieurs plaignants avaient été démarchés par des utilisateurs de l'outil (point 47). La sanction vise l'éditeur, pas ses clients. Cela ne dispense pas le commercial de se demander d'où vient le numéro. Même prudence pour les adresses reconstituées sur le modèle prénom.nom : la CNIL admet l'intérêt légitime à certaines conditions, mais précise que cette règle n'est ni automatique ni systématique.

Le champ « commentaire » du CRM

Le 21 novembre 2019, un installateur d'isolation et de pompes à chaleur qui prospectait par téléphone a été sanctionné de 500 000 euros pour plusieurs manquements (SAN-2019-010). Son logiciel de clientèle contenait des propos injurieux et des mentions sur l'état de santé des personnes démarchées. La société avait ajouté un bandeau d'information dans le logiciel. Pour la formation restreinte, une simple mention ne suffisait pas : il fallait un système contraignant, par exemple un blocage de certains termes ou une revue automatisée (points 33 et 34).

La leçon dépasse la consigne « restez factuels ». Dans ce dossier, informer les utilisateurs a été jugé insuffisant. Le module commercial se conçoit donc avec l'administrateur du CRM. Rappelez aussi qu'une note peut revenir sous les yeux de la personne qu'elle décrit, à l'occasion d'une demande d'accès.

Point de vigilance. Une formation qui dit « ne faites pas ça » alors que l'outil le permet et que l'objectif commercial y pousse crée un écart documenté entre vos consignes et vos pratiques. Avant de former, vérifiez que le comportement demandé est possible avec les outils en place.

Formation RGPD de l'informatique : extractions, données de test, habilitations

L'extraction qui prend trop large

Le 15 avril 2022, un éditeur de logiciels pour laboratoires a été sanctionné de 1,5 million d'euros pour trois manquements (SAN-2022-009). L'un d'eux est instructif pour tout technicien. Lors d'une migration, l'éditeur avait extrait plus de données que ses clients ne l'avaient demandé, en expliquant que son outil ne savait faire qu'une extraction totale. La CNIL écarte l'argument : il pouvait choisir un autre outil, ou au minimum supprimer ce qui n'aurait pas dû être extrait. Pour un éditeur ou une startup qui traite les données de ses clients, c'est l'article 29 appliqué à une commande d'export.

Les données de production en test

La CNIL est nette dans son guide destiné aux équipes de développement : les données « réelles » de production ne doivent pas être utilisées pendant le développement et les tests, ce qui reviendrait à les détourner de leur finalité. Elle recommande un jeu de données fictives. Son guide sécurité de 2024 admet une exception : quand ces tests ne suffisent pas, une pré-production peut utiliser des données réelles si elle est sécurisée au même niveau que la production. Ce sont des recommandations, mais chaque copie de base multiplie les personnes qui y accèdent et les lieux de stockage.

Ce qu'un module technique doit couvrir

• Les habilitations : qui les ouvre, qui les ferme au départ d'un salarié, qui les revoit.
• Les journaux : ce qui est tracé, combien de temps, et qui peut consulter ces traces, car ils contiennent eux aussi des données personnelles.
• Les prestataires : l'accès du support externe, les outils ajoutés sans passer par le DPO, les transferts hors de l'Union.
• L'incident : le responsable du traitement notifie la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes (article 33.1). Si vous êtes sous-traitant, vous prévenez votre client dans les meilleurs délais (article 33.2). L'équipe technique est souvent la première informée, et l'horloge dépend d'elle.

Le format compte. Un développeur apprend sur une architecture, un schéma de base, une revue de code. Il retient peu d'un diaporama de définitions.

Formation RGPD de la direction : arbitrer, financer, assumer

La direction n'a pas besoin du même niveau de détail. Elle a besoin de reconnaître les décisions qui lui reviennent. L'affaire France Travail (SAN-2026-003, 22 janvier 2026, 5 millions d'euros) l'illustre. Les analyses d'impact avaient identifié le risque lié à l'absence d'authentification multifacteur et prévu une solution pour 2023 (point 71). La CNIL retient une négligence grave : les risques qui se sont réalisés avaient été listés (point 126). Cette décision ne reproche aucun défaut de formation, mais elle pose une question de gouvernance : qui suit les mesures promises dans une analyse d'impact, et qui décide de les reporter ?

Le module de direction porte donc sur quatre sujets :

1. L'exposition. L'article 83 du RGPD plafonne l'amende à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour un manquement à l'article 32, à 20 millions ou 4 % pour les principes de base, le montant le plus élevé étant retenu.
2. Les moyens. L'article 38.2 impose de fournir au DPO les ressources nécessaires à ses missions et de lui permettre d'entretenir ses connaissances.
3. Les arbitrages. Un report de sécurité, un lancement sans analyse d'impact, un nouveau fournisseur hors de l'Union sont des décisions à tracer, avec leur auteur.
4. Le pénal. L'article 226-17 du Code pénal punit de cinq ans d'emprisonnement et de 300 000 euros d'amende le fait de procéder à un traitement sans mettre en œuvre les mesures prescrites notamment par l'article 32 du RGPD.

Ajoutez une conséquence pratique : si le dirigeant ne suit aucune session, il sera difficile de convaincre les équipes que le sujet compte. L'article 38.3 prévoit que le DPO fait directement rapport au niveau le plus élevé de la direction : un point régulier en comité de direction donne un contenu à cette règle.

Construire le programme : un scénario type

Imaginez une PME de 80 salariés qui édite un logiciel, avec une équipe commerciale B2B, un marketing de trois personnes, une RH et une équipe technique. Ce cas est un scénario, pas un dossier réel. La bonne méthode part des traitements et non de l'organigramme.

1. Cartographier. Reprendre le registre des traitements et relever, pour chaque équipe, les outils, les données et les gestes à risque.
2. Prioriser. Commencer par les équipes les plus exposées. Ici, les techniciens qui ont accès aux données des clients, puis les commerciaux qui enrichissent leurs fichiers.
3. Écrire les consignes avant les supports. Une formation enseigne une instruction. S'il n'y en a pas, il faut la rédiger : qui valide un nouvel outil, qui exporte, qui répond à une demande d'accès.
4. Former sur les vrais écrans. Le CRM de l'entreprise, le gestionnaire de balises, le SIRH. Chaque module repart d'un cas tiré de ces outils et se termine par ce qu'il faut faire, ce qu'il ne faut pas faire et la personne à prévenir.
5. Vérifier les acquis. Une mise en situation par métier vaut mieux qu'un questionnaire de cours.
6. Mettre à jour. Quatre déclencheurs suffisent : un nouvel outil, un nouveau texte, un incident, une décision qui touche votre secteur. Le 11 août 2026 aurait dû déclencher une mise à jour pour toute équipe qui appelle des particuliers.

Les usages de l'IA générative méritent une ligne dans chaque module, sans devenir le sujet : ils relèvent des règles internes traitées dans l'article sur la charte IA. Et les services oubliés comptent aussi : le support client gère des demandes de droits et des appels d'usurpation, la comptabilité des données bancaires, les managers des évaluations.

Par où commencer

Prenez une équipe, un outil, un geste à risque, et demandez à trois personnes ce qu'elles feraient. Leurs réponses disent quelle formation manque. Je construis ces programmes à partir de vos traitements et de vos outils, et comme je lis aussi le code, je peux parler de vos architectures avec vos développeurs. Vous pouvez consulter la formation RGPD pour les entreprises ou échanger sur la situation de vos équipes.