Numerique
Vous cherchez une formation RGPD utile à chaque métier, et la preuve qu'elle a eu lieu : je forme vos équipes à partir de vos outils et de vos traitements réels.
Contexte
Le RGPD ne contient pas d'article général imposant de former tout le personnel. Seules les règles d'entreprise contraignantes (article 47.2.n) imposent une formation appropriée. Pour les autres organismes, le sujet se rattache à trois dispositions. L'article 39.1.b charge le DPO de contrôler le respect des règles, « la sensibilisation et la formation du personnel participant aux opérations de traitement » comprises. Les articles 29 et 32.4 exigent que toute personne ayant accès aux données sous votre autorité ne les traite que sur instruction. L'article 5.2 vous impose de démontrer votre conformité.
Dans l'arrêt juris du 11 avril 2024 (C-741/21, points 49 et 52), rendu sur la réparation du dommage (article 82), la Cour de justice de l'Union européenne juge qu'avoir donné des instructions ne suffit pas à s'exonérer : il revient au responsable du traitement de s'assurer qu'elles sont correctement appliquées.
La CNIL précise l'attente dans son guide sécurité de 2024 : séances sur l'hameçonnage, rappels réguliers, contenus adaptés aux fonctions, vérification des acquis. Elle suggère une formation obligatoire de tout le personnel sur les violations et classe parmi les erreurs l'absence de session obligatoire pour tout nouvel arrivant quand l'activité principale traite des données personnelles. Ce sont des recommandations, pas la loi, mais la CNIL peut invoquer sa doctrine pour apprécier la sécurité (France Travail, point 126). Le Code du travail ajoute, sans viser le RGPD, l'article L6321-1 : l'employeur assure l'adaptation des salariés à leur poste de travail.
Problematique
La CNIL a recensé 6 167 violations de données notifiées en 2025, après exclusion de deux incidents massifs. La moitié relève du piratage, hameçonnage et vol depuis un compte légitime compris. L'envoi à un mauvais destinataire pèse 13 %. Un mail mal adressé ou un mot de passe donné au téléphone passe par une personne, pas par un serveur.
La sanction France Travail l'illustre (SAN-2026-003, 22 janvier 2026, 5 millions d'euros). Les attaquants se sont fait passer pour des employés auprès du support, puis pour le support auprès de conseillers. Attention à la lecture : la CNIL n'a retenu aucun grief de sensibilisation. Elle sanctionne l'article 32 sur l'authentification, la journalisation et les habilitations, et rejette l'idée qu'une authentification multifacteur aurait été inutile face à l'ingénierie sociale. Former ne remplace donc pas la sécurité technique, et l'erreur humaine n'excuse rien.
Pour un manquement à l'article 32, le plafond de l'article 83.4 atteint 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. L'article 83.2.d fait peser les mesures techniques et organisationnelles prises sur le montant. Une personne lésée peut en outre demander réparation (article 82). Le risque est aussi commercial. Prenons un éditeur SaaS de 80 salariés : un grand compte demande comment ses équipes sont formées, et si elles sont bien tenues à la confidentialité comme l'exige l'article 28.3.b. Sans supports datés ni liste de présence, la réponse tient en une promesse.
Solutions
Je suis avocat au Barreau de Paris et développeur web certifié. Je pars de vos traitements et de vos outils, pas d'un support générique. Je ne lis pas le RGPD à vos équipes : je traduis chaque règle en geste, avec ce qu'il faut faire, ce qu'il ne faut pas faire et la personne à prévenir. Comme je lis aussi le code et les architectures, je peux parler de vos outils avec vos développeurs dans leurs termes. Chaque formation est conçue sur mesure et donnée en intra-entreprise, au sein de vos équipes, y compris pour les éditeurs de logiciels et SaaS soumis aux exigences de leurs clients.
Je découpe le contenu par public. RH : candidatures, dossiers salariés, rôles entre SIRH et entreprise. Marketing et commerciaux : prospection, fichiers, opposition. Informatique : habilitations, journaux, données de test. Support client : demandes de droits, usurpation d'identité au téléphone. Direction : responsabilité et arbitrages. Chaque public repart avec ses consignes écrites, ce qui complète votre documentation interne.
Tous apprennent le même réflexe : repérer un incident et le remonter sans délai, avant toute intervention en gestion de crise. Si vos pratiques restent à évaluer, je commence par un audit RGPD. La rédaction des règles d'usage de l'IA relève de la charte interne, à laquelle je renvoie.
Vous conservez le programme, les supports datés, les listes de présence signées, les évaluations et un tableau de suivi par public. Ce dossier rejoint votre documentation de conformité et sert au DPO dans sa mission de contrôle. Pour cadrer vos publics, écrivez-moi.
J'identifie qui traite quelles données, dans quels outils, et quels incidents ou demandes vous avez déjà connus. Je relis vos règles internes et vos procédures existantes. Cette étape produit une liste de publics classés par exposition. Elle évite de former tout le monde au même niveau et de passer à côté des équipes qui manipulent le plus de données.
Je construis un module par public, à partir de cas tirés de vos outils et de vos processus : un export client, une demande d'accès, un message d'hameçonnage plausible, un fichier envoyé au mauvais destinataire. Vous validez le programme avant les sessions. Les exemples restent ceux que vos équipes rencontrent, ce qui rend les règles applicables dès le lendemain.
J'anime les sessions en intra-entreprise, public par public, avec vos propres exemples. Les participants travaillent sur des cas et posent leurs questions réelles. Une évaluation des connaissances clôt chaque session, comme le suggère le guide sécurité de la CNIL. Les réponses me montrent les points mal compris, que je vous signale pour ajuster vos consignes.
Je vous remets les supports datés, le programme, les listes de présence et les résultats d'évaluation, avec un tableau de suivi par public, prêts à être classés. Je vous indique quand reprendre un module : nouvel outil, nouveau traitement, incident, arrivée de collaborateurs. La preuve reste ainsi à jour, ce qui compte autant que la session elle-même.
FAQ
Aucun article général du RGPD n'impose de former tout le personnel. L'exigence se déduit d'autres obligations. Vous devez garantir que les personnes autorisées agissent sur instruction (articles 29 et 32.4), et démontrer votre conformité (article 5.2). Le DPO contrôle la sensibilisation et la formation (article 39.1.b). La CNIL recommande en outre une session obligatoire pour les nouveaux arrivants quand l'activité principale traite des données personnelles. Une entreprise qui ne forme personne aura du mal à prouver que ses consignes sont connues et appliquées. Le sujet pratique reste donc la preuve.
Commencez par ceux qui ont le plus de données entre les mains et le plus de contacts extérieurs : RH, support client, équipes commerciales et marketing, administrateurs informatiques. La CNIL recommande de former spécifiquement les personnels en charge des outils informatiques et d'adapter le contenu aux fonctions. La direction vient ensuite, pour ses arbitrages et sa responsabilité. Elle vise aussi la sensibilisation des prestataires dont l'impact sur la sécurité des données peut être aussi important que celui de vos salariés. L'étape de cartographie sert précisément à établir cet ordre de priorité.
L'arrêt juris (CJUE, 11 avril 2024, C-741/21) refuse au responsable du traitement de s'exonérer en invoquant la seule négligence d'une personne placée sous son autorité. Une personne lésée peut demander réparation (article 82 du RGPD), à condition d'établir son dommage. Un manquement à l'article 32 relève du plafond de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. La formation ne garantit pas l'exonération, que la Cour limite strictement au cas où le dommage n'est pas imputable au responsable (point 51). Elle fait partie des mesures organisationnelles que vous pourrez présenter.
Non. Dans la décision France Travail, la sanction de 5 millions d'euros porte sur l'authentification, la journalisation et les habilitations, alors que l'attaque reposait sur l'ingénierie sociale. La formation complète les mesures techniques sans jamais les remplacer. Elle vous donne en revanche une pièce à produire : un contrôle CNIL se prépare avec des documents, pas avec des déclarations. Si la délégation interroge vos équipes, des consignes connues de tous valent mieux qu'une procédure rangée dans un dossier partagé. Une formation, même bien documentée, ne couvre pas une faille technique ignorée.
Le RGPD ne fixe pas la forme de cette preuve : il faut donc la construire soi-même. Cinq pièces sont utiles : le programme, les supports datés, les listes de présence signées, les résultats d'évaluation et un tableau de suivi par public. Ajoutez les rappels envoyés après un incident ou l'arrivée d'un nouvel outil. Un support de 2022 ne dit rien de vos outils actuels. Ce dossier sert aussi à répondre aux questionnaires de sécurité des clients. Il se tient à jour avec les entrées et les sorties de personnel.
Nous commençons par un échange sur vos publics, vos outils et vos incidents passés. Je vous propose ensuite un programme par métier, que vous validez avant toute session. Le format dépend de vos équipes et de vos contraintes : le contenu est conçu sur mesure, donc rien n'est fixé d'avance. Les sessions ont lieu en intra-entreprise, avec des cas tirés de votre activité. Vous recevez ensuite les supports et les pièces de preuve. Je vous signale les écarts observés entre vos procédures et ce que les participants décrivent de leur pratique quotidienne.
L'Atelier RGPD est une très bonne ressource, gratuite, avec une attestation de suivi. Elle convient pour acquérir les bases. Il reste un parcours d'autoformation, général et non organisé par métier, qui ne connaît ni vos outils ni vos procédures. Il ne dit pas à votre commercial quoi faire de son fichier de prospects, ni à votre support comment réagir à un appel suspect. Les deux se combinent bien : le MOOC pour le socle, une session intra-entreprise pour vos cas. Il ne vous fournit pas non plus de suivi consolidé par public.
Oui, et elle ne le remplace pas. Le DPO contrôle la sensibilisation et la formation (article 39.1.b) : cette position est plus simple à tenir s'il n'est pas seul à concevoir et animer ce qu'il doit ensuite contrôler. Il garde la main sur le programme et gagne du temps. Face à un consultant, l'avocat apporte la lecture des décisions et de la responsabilité : les participants comprennent ce qui est reproché à une entreprise, pas seulement ce qui est recommandé. Je peux aussi intervenir aux côtés d'un cabinet de conseil déjà en place.
Nous accompagnons les entreprises de la tech et du commerce avec une double compétence juridique et technique, de l'analyse à la mise en œuvre.
Ressources
Un contrat à sécuriser, une mise en conformité à mener, un litige à anticiper ? Le premier rendez-vous sert à comprendre votre besoin et à vous dire clairement comment nous pouvons vous aider.
Avocat en droit du numérique et de la distribution, Barreau de Paris. Nous sécurisons vos contrats, vos données et votre activité.
Services
Secteurs
Nous contacter
