Sensibilisation RGPD des collaborateurs : ce qu'on peut vous reprocher et comment le prouver à la CNIL

Une salariée envoie un fichier de paie au mauvais destinataire. Un conseiller donne un mot de passe au téléphone. Le jour où la CNIL s'intéresse à l'incident, elle regarde ce que vous aviez mis en place et ce que vous pouvez en montrer. Sur 6 167 violations notifiées en 2025 après exclusion de deux incidents massifs, 13 % relèvent d'un envoi au mauvais destinataire et la moitié du piratage, hameçonnage compris. Voici ce qu'on peut réellement reprocher à une entreprise sur la sensibilisation RGPD de ses collaborateurs, et le dossier qui permet d'y répondre.

Sensibilisation RGPD : ce que les textes imposent vraiment

Commençons par corriger un argument commercial fréquent. Le dispositif du RGPD ne contient aucun article général qui obligerait toute entreprise à former tout son personnel. La formation n'y apparaît, côté entreprises, que dans deux situations. L'exigence existe pourtant : elle se déduit d'autres obligations, ce qui la rend plus difficile à cocher et plus facile à contester.

Les deux mentions expresses

L'article 39.1.b charge le délégué à la protection des données de contrôler le respect des règles, « y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux opérations de traitement ». L'article 47.2.n impose une formation appropriée aux seuls groupes qui adoptent des règles d'entreprise contraignantes pour leurs transferts de données. La plupart des PME ne sont pas concernées par ce second cas.

Les obligations dont la formation découle

Les articles 29 et 32.4 forment le vrai socle : toute personne agissant sous votre autorité et ayant accès à des données ne les traite que sur instruction. Comment soutenir qu'une consigne existe si personne ne l'a transmise ? L'article 32.1 vise les mesures techniques et organisationnelles, et une session de sensibilisation est une mesure organisationnelle. L'article 24 vous demande d'être en mesure de démontrer la conformité, et l'article 5.2 fait de cette démonstration un principe.

Le Code du travail ajoute une couche, sans viser le RGPD : selon l'article L6321-1, l'employeur assure l'adaptation des salariés à leur poste de travail et veille à leur capacité à occuper un emploi au regard de l'évolution des technologies. Un poste au support client ou aux ressources humaines suppose aujourd'hui de savoir manier des données personnelles.

Ce que la CNIL recommande

Le guide de la sécurité des données personnelles de la CNIL (édition 2024) va plus loin que les textes. Sa fiche 3 recommande des séances sur l'hameçonnage et la conduite à tenir en cas d'incident, des rappels réguliers, des contenus adaptés aux fonctions et une évaluation des connaissances pour les personnes qui traitent des données au quotidien. Elle classe parmi les erreurs l'absence de session obligatoire pour tout nouvel arrivant, quand l'activité principale de l'organisme traite des données personnelles. Ailleurs, le guide suggère une formation obligatoire de tout le personnel sur l'identification et la notification des violations.

Ce guide n'a pas force de loi. Il pèse pourtant : dans la délibération France Travail, la formation restreinte retient une négligence grave en relevant notamment que l'organisme a omis de prendre en compte « la doctrine constante de la CNIL et de l'ANSSI » (point 126). Ce point vise la sécurité du système, pas la sensibilisation. Il montre seulement que la doctrine sert de référence pour apprécier ce qu'un organisme ne pouvait ignorer.

Défaut de formation : ce que la CNIL peut vous reprocher

Dans la centaine de délibérations de sanction publiées depuis 2019 et passées en revue par mots-clés, aucune ne retient, sauf erreur, un manquement autonome tiré de la seule absence de formation. La formation intervient ailleurs, et c'est plus inconfortable : elle sert d'argument de défense, et dans les décisions qui suivent cet argument n'a pas suffi.

« Mes règles internes l'interdisent » ne suffit pas

En octobre 2021, un établissement public de transport a été sanctionné de 400 000 euros pour plusieurs manquements (SAN-2021-019). Dans plusieurs centres de bus, des fichiers préparant l'évaluation des agents mentionnaient leurs jours de grève. L'employeur plaidait une pratique contraire à ses règles et mettait en avant la formation de ses agents, ses référents RGPD et sa documentation (point 18). La formation restreinte répond qu'il appartient au responsable de traitement de s'assurer de l'application de la réglementation dans ses services, « notamment par la mise en place de procédures adéquates et la formation du personnel » (point 21). L'argument n'a pas écarté l'imputabilité : la pratique se retrouvait dans plusieurs sites, ce n'était pas un incident isolé.

« C'est une erreur humaine » ne suffit pas non plus

Cette défense revient dans plusieurs procédures. Trois décisions montrent comment elle est reçue.

• Société de paiement, 180 000 euros pour plusieurs manquements (SAN-2021-020). La formation restreinte écarte l'erreur humaine isolée. Elle rappelle que la sécurité repose sur un ensemble de mesures « et non sur la seule compétence des personnes », ces mesures devant précisément « pallier les carences humaines » (point 64).
• Opérateur télécom, 300 000 euros pour plusieurs manquements (SAN-2022-022). Des boîtiers remis en circulation contenaient encore des données d'anciens abonnés. L'opérateur invoquait deux erreurs humaines successives. Réponse : aucun processus n'avait été mis en œuvre pour contrôler la réalisation effective de l'effacement (point 66).
• Prospection téléphonique, 1 million d'euros pour plusieurs manquements (SAN-2022-011). La société soutenait que ses conseillers n'avaient pas respecté les consignes données et ajoutait que ses agents avaient dû suivre des formations de sensibilisation sur le sujet (point 24). Le manquement à l'information des personnes a tout de même été retenu au vu de 84 enregistrements d'appels.

Former ne remplace pas la sécurité

La sanction de France Travail (SAN-2026-003, 22 janvier 2026, 5 millions d'euros) invite à la prudence dans les deux sens. Les attaquants se sont fait passer pour des employés auprès du support informatique, puis pour le support auprès de conseillers (point 12). L'histoire semble appeler une sensibilisation. La décision ne contient pourtant aucun grief sur ce terrain. Elle sanctionne l'article 32 sur l'authentification, la journalisation et les habilitations, et refuse l'argument selon lequel une authentification multifacteur aurait été inutile contre l'ingénierie sociale (point 72). Une entreprise qui répond à une faille technique par un module de formation se trompe de remède.

Erreur d'un salarié : pourquoi votre responsabilité reste engagée

Trois arrêts de la Cour de justice de l'Union européenne dessinent le cadre. Ils expliquent pourquoi la preuve de la formation compte autant que la formation elle-même.

La charge de la preuve pèse sur vous

Dans l'arrêt du 14 décembre 2023 (C-340/21), la Cour juge qu'une fuite ne suffit pas, à elle seule, à établir que les mesures étaient inadaptées. C'est une bonne nouvelle, à une condition : dans une action en réparation, le responsable du traitement supporte la charge de prouver le caractère approprié de ses mesures de sécurité. Le juge apprécie concrètement « la nature, la teneur et la mise en œuvre » de ces mesures. Une session qui a eu lieu mais dont il ne reste rien ne vous aidera pas à prouver sa teneur.

Donner des instructions ne vous exonère pas

L'arrêt du 11 avril 2024 (C-741/21, GP contre juris) porte sur la réparation du dommage. Il revient au responsable du traitement de s'assurer que ses instructions sont correctement appliquées par ses salariés (point 49). Il ne suffit pas de démontrer que des instructions avaient été données et qu'une personne ne les a pas suivies (point 52). L'exonération reste strictement limitée aux cas où le dommage ne vous est pas imputable (point 51). Une formation prouvée ne vaut donc pas immunité, mais son absence vous prive d'un argument.

Le dirigeant n'a pas besoin d'être au courant

L'arrêt Deutsche Wohnen du 5 décembre 2023 (C-807/21) subordonne l'amende à une violation commise délibérément ou par négligence. Il précise que l'organe de gestion n'a pas à avoir agi ni même à avoir eu connaissance de la violation (point 77). L'entreprise répond dès lors qu'elle ne pouvait ignorer le caractère infractionnel de son comportement (point 76). Un dirigeant ne gagne donc rien à ne pas savoir ce qui se passe dans ses équipes.

Ce que cela coûte

Pour un manquement à l'article 32, le plafond de l'article 83.4 atteint 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. L'article 83.2.d fait dépendre le montant, entre autres, des mesures organisationnelles prises. S'ajoutent la réparation due aux personnes (article 82) et, sur le terrain pénal, l'article 226-17 du Code pénal : cinq ans d'emprisonnement et 300 000 euros d'amende pour un traitement réalisé sans les mesures prescrites aux articles 24, 25, 30 et 32 du RGPD.

Le rôle du DPO dans la sensibilisation RGPD

Beaucoup d'entreprises considèrent le sujet réglé parce qu'elles ont désigné un délégué. L'article 39.1.b lui confie une mission de contrôle, pas la responsabilité de la formation. Le responsable du traitement reste celui qui répond des manquements. L'article 38.2 lui impose aussi de fournir au délégué les ressources nécessaires à ses missions.

Un DPO, interne ou externalisé, peut concevoir ou animer les sessions. Attention alors à la double casquette : il contrôle ce qu'il a lui-même construit. La parade est simple : consigner le programme et son évaluation dans un rapport à la direction, avec les manques constatés. Sans DPO, la question reste entière : désignez une personne chargée de tenir le dossier, car l'article 5.2 s'applique à tous.

Prenons une PME de 80 salariés, sans DPO, qui édite un logiciel. Une attachée commerciale exporte la base prospects sur son ordinateur personnel. Celui-ci est volé. Le dossier utile ne dira pas seulement qu'« une formation a eu lieu en 2024 ». Il dira que cette salariée, embauchée en mars, a suivi le module commercial en avril, que la consigne sur les exports figurait dans le support, et que la règle technique limitant les exports a été ajoutée ensuite. Une startup en forte croissance est particulièrement exposée : les recrutements vont plus vite que les consignes.

Comment prouver la sensibilisation RGPD : le dossier de preuve

Le RGPD ne fixe aucune forme de preuve. Tout se joue donc sur la capacité à répondre à quatre questions : qui, quand, quoi, et avec quel résultat.

1. Un programme écrit, daté, qui relie chaque public à ses risques. Le guide CNIL donne l'exemple des ressources humaines et des salariés itinérants. Ce document explique pourquoi tel métier a reçu tel contenu.
2. Les supports versionnés. Conservez chaque version avec sa date. Dans trois ans, vous devrez montrer ce qui a été dit, pas ce que dit le support actuel.
3. Le registre de présence. Une liste par session : date, intitulé, intervenant, noms et fonctions, signature ou trace de connexion pour un module en ligne. Une invitation par courriel prouve une invitation, rien de plus.
4. Une évaluation. Un questionnaire court suffit. Le guide CNIL vise l'évaluation des connaissances pour les personnes qui traitent des données au quotidien.
5. Un tableau de suivi. Il croise l'effectif et les sessions. Il fait apparaître les absents, les relances et les nouveaux arrivants. C'est la pièce qui distingue un programme d'un événement.
6. Les consignes remises. Une fiche par métier, avec les gestes attendus et la personne à prévenir. Elle matérialise l'instruction des articles 29 et 32.4. Pour une fuite, reprenez les réflexes à apprendre aux collaborateurs avant l'incident.

Point de vigilance. Un dossier trop beau se retourne contre vous. S'il établit que les équipes connaissaient un risque et qu'aucune mesure technique n'a suivi, il documente une négligence. France Travail a été rattrapé par ses propres analyses d'impact, qui identifiaient le risque (point 71). Prévoyez pour chaque risque abordé en formation la mesure qui l'accompagne.

Ce qui ne prouve pas grand-chose

L'attestation de l'atelier RGPD de la CNIL atteste un suivi individuel d'un contenu général, gratuit et utile pour démarrer. Elle ne montre pas que vos consignes ont été transmises. Une charte signée à l'embauche prouve une information, pas une compréhension. Un module acheté sur étagère, identique pour le comptable et le développeur, s'écarte de la recommandation sur les contenus adaptés aux fonctions.

Sensibilisation ou formation : deux niveaux à distinguer

La sensibilisation s'adresse à tous et installe des réflexes : reconnaître un incident, le signaler, ne pas sortir une donnée d'un outil autorisé. La formation s'adresse aux métiers qui manipulent des données et leur donne des règles de décision, selon un contenu de formation RGPD propre à chaque métier. Le guide CNIL le confirme pour les personnels en charge des outils informatiques, qu'il recommande de former à la sécurité et à la protection des données. Le programme doit afficher les deux niveaux, faute de quoi un développeur et un livreur reçoivent le même discours.

Un exemple montre ce que la sensibilisation doit corriger. En mission de DPO comme en formation, j'entends souvent qu'un fichier est « anonymisé » parce que la colonne des noms a été supprimée. Avec l'adresse électronique, le numéro de client ou la date de naissance, la personne reste identifiable : le fichier est au mieux pseudonymisé, et il reste soumis au RGPD (article 4, 5) et considérant 26). Seule une anonymisation irréversible fait sortir les données du règlement.

Mises à jour : quand refaire la sensibilisation des collaborateurs

Aucun texte ne fixe de périodicité. Le guide CNIL parle de rappels réguliers, adaptés à l'actualité de l'organisme, et l'article 24 prévoit que les mesures sont réexaminées et actualisées si nécessaire. Plutôt qu'un calendrier arbitraire, retenez des déclencheurs, et notez-les dans le programme :

• l'arrivée d'un salarié, d'un intérimaire ou d'un stagiaire qui accède à des données ;
• le déploiement d'un nouvel outil, y compris une IA générative ;
• un incident ou un quasi-incident, même non notifié à la CNIL, en reprenant les étapes de la gestion des violations de données ;
• une tentative d'hameçonnage ciblée, un nouveau prestataire, un changement de procédure ;
• une recommandation de la CNIL ou une évolution des textes touchant votre activité.

Le rappel après incident a une valeur particulière. L'article 33.5 impose de documenter toute violation, ses effets et les mesures prises pour y remédier. Une session ciblée, datée, inscrite au dossier de l'incident, est une mesure corrective visible. Pensez enfin aux prestataires : le guide CNIL classe parmi les erreurs le fait de ne pas veiller à leur sensibilisation, par action directe ou par engagement contractuel, quand leur impact sur la sécurité peut être aussi important que celui des collaborateurs.

Registre de présence et quiz : un traitement de données à part entière

Le dossier de preuve contient lui-même des données personnelles. Le traiter à la légère serait une ironie coûteuse.

• Base légale et information. Le référentiel de la CNIL sur la gestion des ressources humaines rattache l'organisation des sessions et l'évaluation des connaissances à l'intérêt légitime, et le suivi des périodes de formation effectuées à l'exécution du contrat. Mentionnez ce traitement dans l'information des salariés et dans le registre de l'article 30.
• Résultats individuels. Si un quiz sert à évaluer un salarié, l'article L1222-3 du Code du travail exige une information expresse et préalable, des méthodes pertinentes et la confidentialité des résultats. Réservez l'accès aux résultats à ceux qui en ont besoin.
• Faux courriels d'hameçonnage. Un test qui identifie nominativement ceux qui cliquent collecte une information sur chaque salarié. L'article L1222-4 interdit de la recueillir par un dispositif non porté préalablement à sa connaissance. Si le suivi permet de contrôler l'activité, l'article L2312-38 impose, dans les entreprises d'au moins 50 salariés, d'informer et de consulter le CSE avant la décision. Une mesure agrégée par service réduit le sujet.
• Conservation. Le référentiel 2026 de la CNIL sur les durées de conservation en ressources humaines ne mentionne pas les listes de formation. Fixez une durée, justifiez-la et inscrivez-la au registre. Le délai de cinq ans de l'article 2224 du Code civil peut servir de repère pour une action en réparation, à arbitrer selon votre risque.

Contrôle CNIL : présenter son programme de sensibilisation

Les agents peuvent demander communication de tous documents nécessaires à leur mission, quel qu'en soit le support (article 19 de la loi Informatique et Libertés). Préparer un contrôle CNIL consiste aussi à savoir où se trouve ce dossier et qui peut en parler. Un contrôle peut faire suite à une plainte ou à une violation notifiée.

Le dossier joue alors trois rôles. Il montre une organisation, et non des erreurs isolées, ce qui répond à la distinction opérée par la formation restreinte dans la décision de 2021. Il alimente l'appréciation de l'article 83.2.d. Il rassure aussi vos clients : un grand compte qui audite un sous-traitant peut vérifier que les personnes autorisées sont tenues à la confidentialité (article 28.3.b) et demander comment elles sont formées.

Gardez une attente réaliste. En novembre 2025, un éditeur de presse sanctionné pour ses cookies citait parmi ses mesures une formation obligatoire de ses salariés (SAN-2025-010, point 72). L'amende a été fixée à 750 000 euros. La décision ne commente pas cette formation. Elle montre seulement qu'une telle mesure, invoquée en défense, n'écarte pas la sanction. La formation peut alléger un dossier. Elle ne le sauve pas à elle seule.

Par où commencer

Trois gestes pour commencer. Listez qui manipule quelles données. Reconstituez ce qui a déjà été fait, avec les traces disponibles. Lancez une session ciblée sur le métier le plus exposé, en appliquant dès le départ le dossier décrit plus haut.

Je conçois des formations RGPD sur mesure pour les entreprises, en partant de vos outils et de vos traitements réels. Je suis avocat et développeur : je peux parler de vos habilitations avec votre équipe technique comme de vos consignes avec vos RH. Pour vérifier ce que votre dossier tiendrait face à un contrôle ou à un client exigeant, échangeons sur votre situation.