Sensibilisation RGPD et formation cybersécurité : un seul programme plutôt que deux

Dans beaucoup d'entreprises, le DPO organise une sensibilisation RGPD et la DSI achète de son côté une formation cybersécurité. Les salariés suivent les deux, entendent deux consignes différentes pour le même courriel suspect, et personne ne sait qui détient la preuve de quoi. Or la CNIL classe 50 % des violations notifiées en 2025 en piratage et 13 % en envoi à un mauvais destinataire, et rappelle que les erreurs humaines et l'ingénierie sociale sont à l'origine d'un nombre important d'incidents. Cet article explique ce que les textes demandent vraiment, pourquoi deux programmes valent moins qu'un, et comment construire le programme unique qui couvre RGPD, cyber et IA.

Formation cybersécurité et sensibilisation RGPD : ce que les textes demandent vraiment

La question revient à chaque projet : est-ce obligatoire ? La réponse tient en une phrase. Aucun texte général n'impose à toutes les entreprises une formation cybersécurité sous ce nom, mais plusieurs textes rendent très difficile de s'en passer. Il faut distinguer ce qui s'applique aujourd'hui, ce qui reste en procédure et ce qui relève de la bonne pratique.

Le RGPD : pas de formation nommée, mais une exigence d'organisation

L'article 32 impose des mesures techniques et organisationnelles adaptées au risque. Son paragraphe 4, comme l'article 29, exige de garantir que les personnes qui accèdent aux données ne les traitent que sur instruction. L'article 39.1 b charge le DPO de contrôler notamment « la sensibilisation et la formation du personnel ». Et l'article 5.2 vous oblige à démontrer votre conformité. En pratique, une instruction jamais expliquée protège mal, et une action sans trace ne se démontre pas.

Le guide de la sécurité des données personnelles de la CNIL (édition 2024) donne la grille la plus concrète. Sa fiche 3 traite d'un même mouvement l'hameçonnage, le rançongiciel, l'usurpation d'identité, la conduite à tenir en cas d'incident et les risques pour la vie privée. La CNIL elle-même ne sépare donc pas les deux sujets. Elle ajoute des rappels réguliers, des campagnes adaptées aux fonctions, une session pour les nouveaux arrivants dans les organismes dont l'activité principale traite des données personnelles, et les prestataires extérieurs. Ce guide n'a pas de force contraignante, mais il montre ce que la CNIL attend en pratique.

La cybersécurité : un socle sectoriel, NIS 2 encore en attente en France

Le règlement DORA s'applique déjà aux entités financières. Son article 13 § 6 leur impose des programmes de sensibilisation et des formations intégrés sous forme de modules obligatoires, destinés à tous les employés et à la direction, avec une complexité proportionnée aux fonctions. Hors finance, c'est une excellente description de ce qu'un programme devrait être.

La directive NIS 2 va dans le même sens. Son article 21 § 2 g inscrit les pratiques de base de cyberhygiène et la formation à la cybersécurité parmi les mesures de gestion des risques. Son article 20 § 2 prévoit que les membres des organes de direction sont tenus de suivre une formation et encourage une formation similaire pour le personnel. Mais une directive doit être transposée : au 2 novembre 2026, la loi française n'est pas publiée. Le projet de loi Résilience, adopté par le Sénat le 12 mars 2025, a été retiré de l'ordre du jour de l'Assemblée nationale début octobre. Une nouvelle inscription, envisagée à partir du 9 novembre selon l'AFP, n'était pas acquise au 3 novembre. Il ne faut donc pas présenter cette obligation comme étant en vigueur en France, mais une entreprise susceptible d'entrer dans le champ a tout intérêt à s'y préparer.

L'IA : une obligation allégée depuis l'été 2026

L'article 4 de l'AI Act a été réécrit par le règlement (UE) 2026/1744 du 8 juillet 2026. Fournisseurs et déployeurs prennent désormais des mesures pour favoriser le développement de la maîtrise de l'IA par leur personnel, sans être contraints de garantir un niveau spécifique par individu. L'obligation reste réelle, mais elle paraît se lire comme une obligation de moyens. Elle se prête parfaitement à un module intégré plutôt qu'à un troisième programme. La CNIL recommande de son côté, dans ses questions-réponses de juillet 2024 sur l'IA générative, de former les utilisateurs de façon adaptée, et de ne jamais saisir de données personnelles ou confidentielles dans un service grand public.

Le Code du travail : le fondement que l'on oublie

L'article L. 6321-1 impose à l'employeur d'assurer l'adaptation des salariés à leur poste et de veiller au maintien de leur capacité à occuper un emploi, au regard notamment de l'évolution des technologies. Un collaborateur à qui l'on impose un nouvel outil d'IA ou une nouvelle procédure de sécurité sans l'accompagner n'est pas seulement un risque technique. C'est aussi un sujet social, et un argument de moins si vous voulez un jour lui reprocher un manquement.

Pourquoi une sensibilisation cybersécurité séparée du RGPD coûte plus cher qu'elle n'en a l'air

La séparation n'a rien de juridique. Elle vient de l'organigramme : le DPO relève du juridique, le RSSI de la DSI, les RH gèrent le plan de développement des compétences. Chacun commande sa propre action. Quatre effets s'ensuivent.

Des consignes contradictoires au pire moment

Prenons un salarié qui vient de saisir son mot de passe sur une fausse page. La formation cyber lui a dit d'appeler le support. La sensibilisation RGPD lui a dit de prévenir le DPO. Il hésite, il a honte, il attend le lendemain. Or le délai de 72 heures de l'article 33 court à compter du moment où le responsable de traitement a pris connaissance de la violation. Chaque heure de silence interne retarde l'analyse, le confinement et la décision de notifier. Un programme unique délivre une seule consigne : un seul canal, un seul réflexe.

Des angles morts entre deux périmètres

L'envoi d'un fichier client au mauvais destinataire n'a rien d'une attaque : le prestataire cyber ne le traite pas toujours. Le faux support informatique, que l'ANSSI a observé en 2025 pour inciter des employés à installer des outils de prise de main à distance, n'apparaît pas dans un support RGPD classique. Et la copie d'un contrat client dans un assistant d'IA relève des trois sujets à la fois, donc souvent d'aucun.

Le dernier angle mort tient à une croyance que je rencontre en mission de DPO : un outil d'IA validé par la DSI serait conforme au RGPD. La DSI a vérifié la sécurité, l'authentification, parfois l'hébergement. Elle n'a pas fixé, pour chaque usage, la finalité, la base légale, la durée de conservation ni l'information des personnes. Le même outil peut convenir pour résumer des notes internes et poser problème pour trier des candidatures.

Une lassitude qui dégrade l'attention

Deux sessions distinctes répètent une partie du même contenu devant le même public. Le temps de présence est mobilisé deux fois, et l'attention baisse à la seconde. Le message retenu devient : « encore de la conformité ».

Une preuve éclatée

Le jour d'un contrôle CNIL, d'un audit ou d'un questionnaire de sécurité envoyé par un grand client, il faut réunir des feuilles de présence chez le DPO, un export de plateforme à la DSI, des attestations aux RH. Personne ne peut dire quelle proportion de l'effectif a reçu quoi, ni à quelle date.

France Travail : ce qu'une formation ne remplacera jamais

La sanction de 5 millions d'euros prononcée par la CNIL contre France Travail le 22 janvier 2026 (délibération SAN-2026-003) fait un argument commercial tentant pour vendre de la formation. Ce serait une lecture trompeuse. L'attaque a bien reposé sur l'ingénierie sociale : des comptes de conseillers CAP EMPLOI ont été usurpés, et les attaquants ont exfiltré les données de 36,8 millions de personnes. Mais les griefs retenus au titre de l'article 32 portent sur l'authentification, la journalisation et les habilitations. La délibération ne contient aucun grief de sensibilisation.

La formation restreinte admet (§ 48) qu'on ne peut pas se prémunir contre toutes les attaques de ce type. Elle écarte pourtant l'argument selon lequel une authentification multifacteur aurait été inutile face à l'ingénierie sociale (§ 72). Elle relève surtout (§ 126) que les analyses d'impact avaient listé les risques exacts qui se sont matérialisés.

Deux leçons pour votre programme. D'abord, il complète les mesures techniques et n'en dispense pas : le salarié le mieux formé finira par se tromper, et le système doit tenir ce jour-là. Ensuite, ses contenus doivent partir de vos risques documentés. Votre registre, vos AIPD et vos incidents passés disent quelles scènes enseigner.

Point de vigilance. Ne vendez pas la formation en interne comme une assurance contre la sanction. La survenance d'une violation ne caractérise pas à elle seule un manquement à l'article 32, et des salariés formés n'effacent pas un défaut de sécurité. Le programme est une mesure organisationnelle parmi d'autres, à documenter comme telle.

L'architecture d'un programme unique de formation cybersécurité

Un programme unique ne consiste pas à coller deux supports bout à bout. Il se construit autour de ce que font les salariés, pas autour des textes. Trois étages suffisent.

Premier étage : un socle commun de cinq scènes

Tout le monde les suit, dirigeants, alternants et intérimaires compris. Pour chacune, trois réponses : quel geste faire, qui prévenir, quoi conserver.

1. Le message suspect. Courriel, SMS, messagerie : hameçonnage, pièce jointe, lien. Cybermalveillance.gouv.fr place l'hameçonnage au premier rang des menaces en 2025, tous publics confondus, en hausse de 70 %.
2. L'appel qui inspire confiance. Faux support informatique, faux dirigeant, faux banquier, hameçonnage vocal.
3. L'erreur d'envoi. Mauvais destinataire, lien de partage trop ouvert, tableau trop complet.
4. La saisie dans un outil d'IA. Ce qu'on peut y coller, ce qu'on ne colle pas, et pourquoi la réponse doit être vérifiée.
5. La perte et le nomadisme. Ordinateur volé, téléphone perdu, poste partagé, clé USB.

Ces cinq scènes couvrent d'un coup les risques cyber, la protection des données, la confidentialité des contrats et l'usage de l'IA. Le salarié retient une situation vécue, pas un article de règlement.

Deuxième étage : des modules métier ciblés

La CNIL recommande des contenus adaptés aux fonctions. Le socle vaut pour tous, le module répond à ce que chaque équipe manipule réellement :

• RH : données de candidats et de salariés, usages d'IA dans le recrutement, demandes d'accès.
• Commerciaux et marketing : fichiers de prospection, outils tiers, engagements de confidentialité pris envers les clients.
• Finance : fraude au virement, changement de RIB, vérification par un second canal.
• Développeurs et IT : la CNIL vise expressément la formation des personnels en charge de la conception et de la maintenance. Secrets dans le code, données de production en test, assistants de code, comptes à privilèges.
• Direction : arbitrages, décisions en crise, responsabilité. C'est aussi le public que NIS 2 cible en premier.

Troisième étage : les rappels et les tiers

La CNIL recommande des rappels réguliers et liés à l'actualité de l'organisme : une tentative d'hameçonnage récente, l'arrivée d'un nouveau prestataire. Un incident évité de justesse, anonymisé et raconté en quelques lignes, vaut mieux qu'un nouveau module. Les prestataires extérieurs entrent aussi dans le champ, par action directe ou par engagement contractuel, quand leur impact sur la sécurité des données peut être aussi important que celui de vos équipes.

Le programme transmet des règles, il ne les crée pas. Les règles d'usage de l'IA relèvent de votre charte : la méthode pour la bâtir est détaillée dans notre article sur la charte IA interne et le shadow AI. De même, le module incident enseigne les réflexes à apprendre avant une fuite de données, pas toute la procédure : les obligations de l'entreprise en cas de violation de données restent l'affaire de l'équipe de crise.

Qui pilote la sensibilisation : DPO, RSSI, RH ou direction ?

Fusionner les programmes oblige à répondre à une question que la séparation permettait d'éviter. Il faut un propriétaire unique, et une répartition claire autour de lui.

• La direction porte le programme. La CNIL recommande que RSSI et DPO puissent rapporter au plus haut niveau, et le projet de loi français prévoit que les organes de direction approuvent et supervisent les mesures de sécurité.
• Le RSSI ou la DSI apporte les scénarios d'attaque, les incidents réels et l'évolution de la menace.
• Le DPO apporte les risques issus du registre et des AIPD, puis contrôle.
• Les RH intègrent le programme au plan de développement des compétences, gèrent les nouveaux arrivants et conservent les traces.

Attention au rôle du DPO. L'article 39 lui confie le contrôle de la sensibilisation. S'il conçoit, anime et décide seul du programme, il risque de contrôler son propre travail, alors que l'article 38 § 6 impose d'éviter les conflits d'intérêts. La position la plus sûre consiste à le faire contribuer et conseiller, en laissant la décision à la direction. Un DPO externalisé permet souvent de garder cette distance, surtout quand l'équipe est réduite.

Côté instances, dans les entreprises d'au moins 50 salariés, le CSE est informé et consulté sur les questions intéressant notamment la formation professionnelle et l'introduction de nouvelles technologies (article L. 2312-8). Selon l'ampleur du programme et les outils déployés, sa consultation peut être requise : à examiner en amont. Une note de service ou tout autre document qui pose des obligations générales et permanentes de discipline, de santé ou de sécurité suit, lui, le régime du règlement intérieur et vaut adjonction à celui-ci lorsqu'il existe (article L. 1321-5). Un support de formation n'est pas fait pour cela : rattachez chaque consigne impérative à un document adopté selon la bonne procédure.

Tests de hameçonnage : le volet juridique à cadrer avant de lancer

La sensibilisation cybersécurité s'accompagne souvent de fausses campagnes d'hameçonnage. Elles sont utiles pour mesurer les réflexes, mais elles ne sont pas neutres en droit du travail et en protection des données, puisqu'elles collectent des informations sur des personnes identifiées. À notre connaissance, aucune décision publiée ne tranche encore le sujet : ce qui suit applique les textes généraux.

• Information préalable. Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance (article L. 1222-4). Annoncer le principe sans donner la date paraît compatible avec ce texte.
• Proportionnalité. L'article L. 1121-1 interdit les restrictions non justifiées ni proportionnées au but recherché. Privilégiez des résultats agrégés par équipe plutôt qu'un suivi individuel.
• Évaluation. Si le test sert à évaluer les personnes, l'article L. 1222-3 impose une information expresse préalable, des méthodes pertinentes et des résultats confidentiels. Un classement nominatif affiché en réunion est à proscrire.
• CSE. Dans les entreprises d'au moins 50 salariés, l'article L. 2312-38 prévoit l'information et la consultation sur les moyens permettant un contrôle de l'activité des salariés. Si l'outil remonte des données individuelles, la question se pose.
• RGPD. Le traitement a besoin d'une finalité, d'une durée de conservation, d'une information des salariés et d'une ligne au registre, y compris quand un prestataire l'opère pour vous.

Reste la règle la plus utile : ne jamais punir le clic. Un salarié qui craint la sanction ne signale pas, et le signalement rapide est précisément ce que le programme cherche à obtenir. Mesurez d'ailleurs moins le taux de clic que le taux de signalement.

Prouver le programme : un dossier unique pour la CNIL, l'audit et les clients

C'est le gain le plus concret de la fusion. Le même dossier répond à plusieurs interlocuteurs : la CNIL au titre de l'article 5.2, l'auditeur d'une démarche ISO 27001, le grand client qui envoie son questionnaire de sécurité, et demain, si vous entrez dans le champ de NIS 2, l'autorité compétente. L'article 4 de l'AI Act n'exigeant aucun niveau individuel, votre preuve porte sur les mesures prises, pas sur un diplôme.

Le dossier tient en six pièces :

1. La matrice qui relie chaque risque documenté à une scène ou à un module.
2. Les supports versionnés et datés, avec leur public.
3. Les listes de participants, mises en regard de l'effectif, avec les absents et leur rattrapage.
4. Les résultats d'évaluation, agrégés si possible. La CNIL cite l'évaluation des connaissances parmi les moyens de s'assurer que les bonnes pratiques sont assimilées.
5. Le journal des rappels envoyés après chaque incident ou changement.
6. Le bilan annuel présenté à la direction, avec les décisions qui en découlent.

Cette trace compte d'autant plus que la CNIL annonce consacrer en 2026 la moitié de ses contrôles et de ses actions répressives à la sécurité des données. Un manquement à l'article 32 expose à une amende pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Scénario type : une PME de 80 salariés sur douze mois

Prenons une entreprise fictive de 80 salariés, éditrice d'un logiciel : 25 développeurs et techniciens, 30 commerciaux et support, 15 personnes aux fonctions supports (RH, finance, marketing), 10 managers et dirigeants. Elle a un DPO externe, un responsable sécurité à temps partiel et un CSE jamais consulté sur ces sujets. Voici un déroulé réaliste, à adapter.

• Premier trimestre : cadrage. Inventaire des actions passées, lecture du registre, des AIPD et des incidents, choix du propriétaire, rédaction de la matrice. Un canal d'alerte unique est fixé. Le CSE est saisi du projet.
• Deuxième trimestre : socle. Les 80 personnes suivent les cinq scènes par petits groupes, la direction en premier pour montrer que le sujet la concerne. Les absents sont suivis jusqu'au rattrapage.
• Troisième trimestre : modules métier. Cinq modules pour cinq populations, en commençant par les développeurs, qui détiennent les accès les plus sensibles, puis la finance, exposée à la fraude au virement. Le socle entre dans le parcours d'arrivée.
• Quatrième trimestre : mesure et bilan. Évaluation, éventuelle campagne de test cadrée, retour d'expérience sur les signalements de l'année, bilan à la direction et mise à jour des supports.

À la fin de l'année, cette entreprise peut répondre en une page à trois questions : qui a reçu quoi, sur quels risques, et qu'est-ce qui a changé. Avec deux programmes séparés, elle aurait dû consolider ces réponses à la main, à partir de trois sources.

Par où commencer cette semaine

Réunissez le DPO, la personne en charge de la sécurité et les RH autour d'une seule page : qui a été formé à quoi depuis deux ans, avec quelle preuve. Les trous apparaissent vite. Décidez ensuite d'un propriétaire et d'un canal d'alerte unique, avant même de toucher aux contenus. Le sujet concerne particulièrement les startups et entreprises innovantes, où l'IA s'installe avant les règles et où les clients réclament ces preuves dès les premiers contrats.

Je conçois et j'anime ces programmes sur mesure, en intra-entreprise : voyez comment se déroule la sensibilisation des collaborateurs aux risques numériques. Avocat et développeur web, je parle le langage de vos équipes techniques comme celui de vos commerciaux, et je prends en charge le volet juridique et comportemental, en articulation avec vos prestataires techniques. Si vos actions RGPD et cyber vivent encore dans deux silos, vous pouvez échanger avec moi sur votre situation.