Formation RGPD des salariés : obligation, programme, preuve

Le 22 janvier 2026, la CNIL a infligé 5 millions d’euros d’amende à France Travail. Le point d’entrée de l’attaque n’était pas une faille logicielle : des techniques d’ingénierie sociale, c’est-à-dire des personnes manipulées. Et pourtant, aucun article du RGPD ne dit « formez vos salariés ». Ce paradoxe explique pourquoi la formation RGPD des salariés est, dans les organisations que j’accompagne, la mesure la plus souvent citée dans les politiques internes et la moins souvent prouvée lors d’un contrôle. Voici ce que le texte impose réellement, à qui, avec quel contenu — et comment constituer la preuve que la CNIL demandera.

Ce que le RGPD impose vraiment (et ce qu’il n’impose pas)

Il faut être précis, parce que la confusion coûte cher dans les deux sens : certains organismes se croient exemptés, d’autres achètent un e-learning générique en pensant avoir « coché la case ». Le règlement ne contient pas d’obligation de formation autonome et chiffrée, comme il en existe en matière de sécurité au travail. Il contient en revanche quatre mécanismes qui, combinés, rendent la sensibilisation du personnel indispensable pour démontrer sa conformité.

Le traitement « sur instruction » (Art. 29 et Art. 32(4)). L’article 29 interdit à toute personne agissant sous l’autorité du responsable de traitement ou du sous-traitant, et ayant accès à des données, de les traiter hors instruction ; l’article 32(4) impose au responsable et au sous-traitant de prendre des mesures pour le garantir. Une instruction que le salarié ne connaît pas n’existe pas juridiquement : c’est le fondement le plus solide de l’obligation de former. Un commercial qui exporte le fichier clients vers son outil personnel, une assistante qui envoie un tableau de paie en pièce jointe non chiffrée, un développeur qui copie une base de production dans un environnement de test — dans chacun de ces cas, la question de la CNIL sera : « quelle instruction lui aviez-vous donnée, et comment le prouvez-vous ? »

Les mesures organisationnelles de sécurité (Art. 32(1)). L’article 32(1) exige des « mesures techniques et organisationnelles appropriées ». La CNIL a traduit cette exigence dans son guide de la sécurité des données personnelles (édition 2024, 25 fiches) dont la fiche n° 3, « Impliquer et former les utilisateurs », ouvre par ce constat : les erreurs humaines et les attaques par ingénierie sociale sont à l’origine d’un nombre important d’incidents, et les solutions techniques seules ne suffisent pas. Ce guide n’a pas valeur contraignante, mais la formation restreinte s’y réfère pour apprécier l’« état des connaissances » — l’état de l’art — au sens de l’article 32(1). Ne pas former, en 2026, c’est se placer en dessous de cet état des connaissances.

La mission du DPO (Art. 39(1)(b)). L’article 39(1)(b) confie au délégué la mission de contrôler le respect du règlement, « y compris en ce qui concerne […] la sensibilisation et la formation du personnel participant aux opérations de traitement ». Nuance importante : le DPO contrôle et conseille, il n’est pas le formateur obligé de l’organisme, et la responsabilité de former reste celle du responsable de traitement. L’article 38(2) ajoute que l’organisme doit fournir au DPO les ressources nécessaires à ses missions en « lui permettant d’entretenir ses connaissances spécialisées » — la formation continue du délégué est donc, elle, une exigence expresse.

L’accountability (Art. 5(2) et Art. 24). L’article 24(1) impose de mettre en œuvre les mesures appropriées « pour s’assurer et être en mesure de démontrer » que le traitement est conforme. C’est ce verbe, démontrer, qui transforme la formation en dossier de preuves. Une session dont il ne reste ni trace ni liste de présence n’a, au sens de l’article 24, jamais eu lieu.

Deux textes complètent le tableau. L’article 28(3)(b) impose au sous-traitant de veiller à ce que les personnes autorisées s’engagent à respecter la confidentialité — ce qui suppose, en pratique, de les avoir informées de ce qu’elle recouvre. Et l’article 47(2)(n), relatif aux règles d’entreprise contraignantes, est le seul endroit du règlement où la formation du personnel est érigée en contenu obligatoire d’un dispositif de conformité : « la formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données ». Ce n’est pas un hasard : quand le législateur a voulu décrire un dispositif de conformité complet, il y a mis la formation.

Enfin, l’article 83(2)(d) prévoit que le montant d’une amende tient compte « des mesures techniques et organisationnelles » mises en œuvre en vertu des articles 25 et 32. Un programme de sensibilisation documenté ne fait pas disparaître un manquement, mais il pèse sur la sanction.

Obligation ou recommandation : le tableau

Source	Nature	Ce qu’elle implique concrètement
Art. 29 et 32(4) RGPD	Obligation	Instructions écrites, connues et prouvables pour toute personne ayant accès aux données
Art. 32(1) RGPD + guide CNIL fiche n° 3	Obligation (mesure « appropriée » appréciée selon l’état des connaissances)	Sensibilisation adaptée aux fonctions, rappels réguliers, évaluation des acquis
Art. 39(1)(b) RGPD	Obligation (mission du DPO)	Le DPO contrôle l’existence et la pertinence du programme ; il en rend compte
Art. 38(2) RGPD	Obligation	Ressources permettant au DPO d’entretenir ses connaissances (formation continue)
Art. 24 et 5(2) RGPD	Obligation	Preuves conservées : plan, contenus, présences, résultats
Art. 28(3)(b) RGPD	Obligation (sous-traitants)	Engagement de confidentialité des personnes autorisées
Art. 47(2)(n) RGPD	Obligation (BCR uniquement)	Formation formalisée pour le personnel à accès régulier
Art. 20(2) directive NIS2 (via transposition)	Obligation (entités concernées)	Formation des membres de l’organe de direction ; salariés « encouragés »
Art. 4 règlement IA	Obligation de moyens (fournisseurs et déployeurs)	Mesures pour garantir, « dans toute la mesure du possible », la maîtrise de l’IA du personnel ; applicable depuis le 2 février 2025
Art. L. 6321-1 code du travail	Obligation générale	Adaptation des salariés à leur poste — utilisable pour justifier le temps de formation

Deux régimes voisins se superposent au RGPD et changent la nature de l’obligation. Pour les entités essentielles et importantes, l’article 20(2) de NIS2, tel que transposé en droit français, impose une formation aux membres de l’organe de direction — j’y reviens dans l’article sur la responsabilité des dirigeants sous NIS2. Et pour tout organisme qui déploie un système d’IA, l’article 4 du règlement (UE) 2024/1689 impose de prendre des mesures pour garantir, « dans toute la mesure du possible », un niveau suffisant de maîtrise de l’IA au personnel, obligation détaillée dans le guide sur la formation IA obligatoire. Un programme RGPD conçu en 2026 doit intégrer ces deux briques plutôt que d’exister à côté.

Qui former : cartographier les populations avant de choisir un contenu

L’erreur la plus fréquente consiste à diffuser le même module à tout le monde. La CNIL demande précisément l’inverse : déployer des campagnes « dont le contenu et le langage sont adaptés aux fonctions des destinataires », en citant l’exemple des ressources humaines, qui doivent être sensibilisées aux données qu’elles manipulent, et des personnels nomades, aux risques particuliers de leur situation. Le point de départ est donc le registre des traitements : chaque activité de traitement a des acteurs identifiables, et ces acteurs forment vos populations à former.

Population	Risque principal	Contenu spécifique	Format et rythme
Tous les salariés (socle)	Erreur de manipulation, hameçonnage, mauvaise réaction à un incident	Notions clés, réflexe « sur instruction », signalement d’un incident	Module d’accueil dans le mois d’arrivée, rappel annuel, alertes d’actualité
Nouveaux arrivants	Ignorance des consignes internes	Charte informatique, procédure de signalement, contacts DPO/RSSI	Session obligatoire avant l’ouverture des accès aux données
Direction	Décisions structurantes, arbitrages budgétaires, NIS2	Responsabilités, sanctions, gouvernance, chaîne de décision en cas de violation	Séance dédiée d’une à deux heures, renouvelée annuellement ; obligatoire sous NIS2
Ressources humaines	Données de recrutement, paie, santé, contrôle de l’activité	Durées de conservation RH, information des salariés, surveillance, droits d’accès des salariés	Module RH ; module 6 du MOOC CNIL « Travail et données personnelles »
Commercial et marketing	Prospection, consentement, réutilisation de fichiers, CRM	Bases légales, opposition, prospection B2B/B2C, achat de fichiers	Module métier + rappel à chaque campagne
Service client et réclamations	Droits des personnes, divulgation par téléphone	Vérification d’identité, réponse en un mois, prorogeable de deux mois (Art. 12(3)), escalade au DPO	Module métier avec évaluation des acquis, recommandée par la CNIL pour ces fonctions
DSI, développeurs, administrateurs	Configuration, habilitations, journalisation, environnements de test	Protection dès la conception (Art. 25), minimisation, gestion des accès, anonymisation des jeux de test	Formation technique dédiée, prévue par la fiche n° 3 pour les personnels « en charge des outils »
Prestataires, intérimaires, stagiaires, alternants	Accès temporaires, méconnaissance des règles internes	Socle + engagement de confidentialité	Sensibilisation directe ou engagement contractuel (fiche n° 3)
DPO et relais	Obsolescence des connaissances	Veille juridique, décisions CNIL, IA, NIS2	Formation continue annuelle (Art. 38(2))

Trois populations sont presque toujours oubliées. Les prestataires extérieurs, d’abord : la CNIL classe explicitement dans ce qu’il ne faut pas faire le fait de « ne pas veiller à la sensibilisation des prestataires extérieurs (par action directe ou par engagement contractuel) », leur impact sur la sécurité pouvant être aussi important que celui des salariés. Les intérimaires et stagiaires, ensuite, qui arrivent hors des cycles d’onboarding et repartent avant la session annuelle. Et la direction, enfin, qui s’exclut d’elle-même des sessions destinées « aux équipes » — alors qu’elle arbitre les budgets de sécurité et qu’elle décidera, un vendredi soir, s’il faut notifier la CNIL.

Sur ce dernier point, l’enquête DPO 2025 publiée le 3 juillet 2026 par la CNIL, l’AFCDP et le ministère du Travail livre un chiffre éclairant : moins d’un tiers des organisations ont mené des actions de sensibilisation des salariés à l’IA ou adopté une charte d’utilisation, alors que 70 % utilisent ou prévoient d’utiliser l’IA. Le sujet le plus neuf est aussi le moins couvert — et c’est celui sur lequel les salariés prennent aujourd’hui le plus d’initiatives seuls.

Quel contenu : le socle en sept points et les modules métier

Un module socle efficace tient en 45 minutes à une heure. Au-delà, l’attention décroche et le taux de complétion avec elle. Dans mon expérience, sept points suffisent, à condition que chacun se termine par une consigne opérationnelle et non par un principe.

1. Ce qu’est une donnée personnelle — avec vos exemples. Pas la définition de l’article 4(1), mais la liste de ce que l’entreprise manipule réellement : un numéro de commande rattaché à un client, une plaque d’immatriculation dans un rapport d’intervention, une adresse IP dans un journal serveur. Les salariés sous-estiment systématiquement le périmètre.

2. Le réflexe « sur instruction ». Ce que le salarié a le droit de faire avec les données de son périmètre, et ce qui suppose une validation : export, transfert à un tiers, nouvelle finalité, nouvel outil. C’est la traduction directe des articles 29 et 32(4). La consigne : « en cas de doute, on demande avant, pas après ».

3. Les principes de l’article 5 en langage métier. Finalité (« on n’utilise pas le fichier clients pour un autre usage sans validation »), minimisation (« on ne collecte pas la date de naissance si elle ne sert à rien »), durée (« on ne garde pas les CV trois ans dans sa boîte mail »), exactitude, sécurité.

4. Les droits des personnes et le circuit interne. Reconnaître une demande de droit d’accès même formulée de façon informelle, l’orienter vers le bon interlocuteur, ne jamais y répondre seul par téléphone. Le délai d’un mois de l’article 12(3) court dès la réception par n’importe quel salarié, pas dès la transmission au DPO.

5. La sécurité au quotidien. Mots de passe et authentification multifacteur, verrouillage de session, courriels et pièces jointes, envoi à un mauvais destinataire, documents papier, télétravail et équipements personnels. Le contenu doit s’articuler avec le programme de sensibilisation à la sécurité du RSSI plutôt que le dupliquer.

6. Reconnaître et signaler une violation. C’est le point qui rapporte le plus. Le compteur de 72 heures de l’article 33(1) court à compter de la prise de connaissance par le responsable de traitement ; un salarié qui garde pour lui pendant trois jours un courriel envoyé à la mauvaise personne risque de consommer le délai, la CNIL pouvant considérer que l’organisme devait en avoir connaissance. La consigne doit tenir en une phrase : « on signale immédiatement, on ne trie pas soi-même, on n’est jamais sanctionné pour avoir signalé ». La procédure interne doit être affichée, avec un canal unique.

7. L’IA générative et les outils personnels. Ce qu’on peut saisir dans un assistant d’IA, ce qu’on ne peut pas, quels outils sont validés. La charte IA donne le cadre ; la formation le rend vivant. Depuis le 2 février 2025, ce point couvre aussi une partie de l’obligation de l’article 4 du règlement IA.

Les modules métier viennent ensuite, plus courts (20 à 30 minutes) et plus concrets. Pour les RH, le module 6 du MOOC de la CNIL, « Travail et données personnelles », ajouté en mai 2025, couvre en cinq thématiques et quatorze unités le recrutement, la gestion du personnel, le contrôle de l’activité et de l’équipement, le dialogue social et l’exercice des droits au travail, avec une évaluation finale et une attestation de suivi. Il constitue une base honnête, à compléter par vos règles internes : durées de conservation du référentiel RH de la CNIL publié le 2 avril 2026, procédure de recrutement, traitement des données au départ d’un salarié. Pour l’informatique, la formation doit porter sur la gestion des habilitations, la journalisation et la protection dès la conception de l’article 25 — la CNIL demande de former les personnels « en charge de la conception et de la maintenance » à la sécurité et à la protection des données.

Quel format, à quel rythme

La CNIL décrit deux rythmes complémentaires : des séances de sensibilisation structurées, et des « rappels réguliers et en fonction de l’actualité de l’organisme » — une tentative d’hameçonnage récente, l’arrivée d’un nouveau prestataire. Le programme qui fonctionne combine donc quatre couches.

L’onboarding. Une session obligatoire pour tout nouvel arrivant, avant ou dans le mois qui suit l’ouverture de ses accès. La CNIL en fait un point de vigilance explicite lorsque l’activité principale de l’organisme traite des données personnelles (établissements de santé, services clients) et la classe parmi les choses à ne pas omettre. Je recommande de conditionner l’attribution des habilitations sensibles à la validation du module : c’est la mesure la plus simple pour obtenir un taux de couverture de 100 % sans relance.

Le rappel annuel. Un module court, renouvelé chaque année, avec un contenu actualisé — nouvelles décisions, nouveaux outils, incidents de l’année anonymisés. Le même module rediffusé à l’identique trois ans de suite n’apprend rien et se voit.

Les rappels d’actualité. Un message ciblé après un incident interne, une campagne de fraude au président en cours dans le secteur, une nouvelle sanction de la CNIL touchant un concurrent. Court, daté, conservé.

Les exercices. La CNIL recommande, « pour aller plus loin », d’organiser des exercices et des simulations d’incidents de sécurité ou de crise, encadrés, dont les retours d’expérience servent à identifier les messages à renforcer. Les campagnes d’hameçonnage simulé en font partie, mais elles constituent un traitement de données à part entière : information préalable des salariés dans la charte, consultation du CSE dans les entreprises d’au moins 50 salariés (art. L. 2312-38 du code du travail, dès lors que le dispositif permet un contrôle de l’activité), résultats non nominatifs pour le management. Le cadre est détaillé dans l’article sur le phishing en entreprise. Une simulation menée sans ces précautions crée un manquement pour en corriger un autre.

Sur le support, le choix est moins important que l’adaptation. Le MOOC de la CNIL, l’Atelier RGPD, propose gratuitement six modules — une vingtaine d’heures d’auto-formation selon la CNIL, le seul module RH représentant près de vingt heures — avec une attestation de suivi par module : il est adapté aux DPO, aux relais et aux fonctions RH, pas au socle de l’ensemble des salariés, pour qui plusieurs dizaines d’heures sont hors de portée. Pour ce socle, un e-learning interne d’une heure ou un atelier en présentiel animé par le DPO reste plus efficace, parce qu’il parle de vos traitements. Le comparatif des formations RGPD détaille les options certifiantes pour les profils qui doivent aller plus loin, et une formation en e-learning gratuite est disponible sur ce site pour les premiers pas.

Quant à l’évaluation, la CNIL recommande de s’assurer que les personnels en charge de traitements « ont bien assimilé les bonnes pratiques » et cite l’évaluation des connaissances comme moyen. Un quiz de dix questions en fin de module, avec un seuil de réussite et une possibilité de repasser, est suffisant. Son intérêt n’est pas pédagogique : il produit une preuve datée et individuelle.

Rendre la formation opposable : charte, règlement intérieur, contrats

Former ne suffit pas si les consignes ne sont pas opposables. Trois véhicules juridiques transforment le contenu de la formation en obligations.

La charte informatique. C’est le document qui fixe les règles d’usage des outils, les interdictions et les contrôles. Pour être opposable aux salariés et fonder une sanction disciplinaire, elle doit être adoptée selon la procédure du règlement intérieur (art. L. 1321-4 et L. 1321-5 du code du travail) — avis du CSE, communication à l’inspection du travail, dépôt au greffe du conseil de prud’hommes (art. R. 1321-2) —, en pratique par annexion au règlement intérieur. Le guide sur la charte informatique et le RGPD détaille le contenu ; la jurisprudence admet qu’un manquement à la charte justifie un licenciement lorsqu’elle a été régulièrement adoptée. La formation est le moment où la charte cesse d’être un PDF signé à l’embauche pour devenir une règle comprise.

L’engagement de confidentialité. Pour les salariés, une clause dans le contrat de travail ou un engagement signé lors de la formation ; pour les prestataires, la clause de l’article 28(3)(b) dans le contrat de sous-traitance, complétée par une obligation de sensibiliser leur propre personnel. Le renvoi aux sanctions pénales des articles 226-16 à 226-24 du code pénal — dont l’article 226-22, qui réprime la divulgation à un tiers non habilité de données portant atteinte à la considération ou à l’intimité de la vie privée de la personne — a un effet pédagogique certain.

L’information des salariés. Ne confondez pas formation et information. L’information au titre des articles 13 et 14 concerne les salariés en tant que personnes concernées par les traitements RH ; le modèle d’information des salariés y pourvoit. La formation concerne les salariés en tant qu’acteurs des traitements. Les deux sont nécessaires et les deux doivent être prouvées, mais aucune ne remplace l’autre — c’est une confusion que je retrouve dans une majorité de dossiers.

Le CSE, enfin, a un rôle à deux niveaux : consulté sur le règlement intérieur et la charte, et informé-consulté préalablement sur tout dispositif de contrôle de l’activité, dont les simulations. Les modalités sont précisées dans le guide sur le RGPD et le CSE.

Prouver : le dossier que la CNIL demandera

Lors d’un contrôle de la CNIL, la question ne sera pas « formez-vous vos salariés ? » mais « montrez-moi ». Le dossier de formation doit permettre de reconstituer, pour toute personne ayant accès à des données, ce qu’elle a reçu, quand, et avec quel résultat. Il comprend :

• Le plan de sensibilisation : populations, contenus, formats, calendrier, responsable de chaque action, validé par la direction. Un plan signé vaut mieux qu’un plan parfait.
• Les supports : chaque version datée du module socle et des modules métier, pour prouver ce qui a été enseigné à une date donnée.
• Les preuves de participation : feuilles d’émargement pour le présentiel, journaux de la plateforme pour le e-learning, attestations de suivi du MOOC de la CNIL, résultats individuels des quiz.
• Les rappels : copie des messages d’actualité envoyés, avec date et destinataires.
• Les exercices : cadre juridique (information, avis du CSE), résultats agrégés, plan d’action consécutif.
• Les engagements : charte régulièrement adoptée, engagements de confidentialité, clauses contractuelles des prestataires.
• Les indicateurs : taux de couverture par population, délai moyen entre arrivée et formation, score moyen, évolution du taux de clic aux simulations, nombre de signalements internes reçus.

Ce dernier indicateur mérite une explication : une hausse du nombre de signalements internes après une formation n’est pas une dégradation, c’est la preuve que la formation a fonctionné. Une organisation qui ne reçoit aucun signalement n’est pas une organisation sans incident, c’est une organisation où personne ne les remonte.

Ces éléments alimentent deux documents que le DPO produit déjà. Le rapport d’activité du DPO doit consacrer une rubrique à la sensibilisation avec les indicateurs ci-dessus ; c’est la manière la plus naturelle de rendre compte de la mission de l’article 39(1)(b). Et le dossier de conformité doit contenir le plan, les supports et les preuves, rattachés aux traitements concernés dans le registre. Rattacher chaque action de formation aux traitements qu’elle couvre est précisément ce qu’un logiciel de conformité comme Legiscope permet, en évitant que les attestations dorment dans un dossier partagé que personne ne retrouve le jour du contrôle.

Un mot sur la conservation : les preuves de formation sont des données personnelles des salariés. Leur finalité est la démonstration de la conformité, qui repose sur l’obligation légale des articles 5(2) et 24. Fixez une durée dans votre politique de conservation — la durée de la relation de travail, suivie d’un archivage limité au temps nécessaire pour répondre à un contrôle ou à un contentieux, est une position défendable — et appliquez-la.

Les erreurs les plus fréquentes

Vingt ans de dossiers permettent de dresser une liste courte des échecs récurrents.

Un e-learning générique acheté en 2018, jamais renouvelé. Il prouve qu’une formation a eu lieu il y a huit ans, ce qui, au regard de l’état de l’art de 2026, est presque pire que rien : cela démontre que l’organisme savait qu’il fallait former et a cessé de le faire.

La formation qui n’est qu’une information. Une note de service sur le RGPD envoyée à tous n’est ni une formation ni une preuve d’assimilation. La CNIL parle de séances, d’adaptation aux fonctions et d’évaluation.

Le même module pour tout le monde. Le juriste s’ennuie, le commercial décroche, le développeur n’y trouve rien qui concerne son travail. Le socle doit être court et les modules métier spécifiques.

Les prestataires et les temporaires oubliés. Un intérimaire au service client accède aux mêmes données qu’un salarié en CDI. Le fait qu’il relève d’un autre employeur ne change rien à l’article 32(4).

Le DPO qui forme seul, sans mandat. Sans validation de la direction et sans intégration au plan de développement des compétences, la formation dépend de la bonne volonté de chaque manager. Le programme doit être décidé au niveau de la direction et le DPO en contrôle l’exécution — c’est la répartition des rôles de l’article 39, et elle protège le délégué.

La simulation d’hameçonnage sans cadre. Résultats nominatifs transmis aux managers, CSE non consulté, salariés non informés : le dispositif de sensibilisation devient un traitement illicite de contrôle de l’activité.

Croire que la formation remplace les mesures techniques. La décision France Travail est instructive : la CNIL n’a pas reproché à l’organisme une sensibilisation insuffisante, elle a retenu trois insuffisances techniques — authentification, journalisation, habilitations — qui ont permis à une manipulation réussie de produire des effets massifs. Un salarié formé cliquera moins souvent ; l’authentification multifacteur et le cloisonnement des accès font en sorte qu’un clic ne suffise pas. Les deux sont nécessaires ; seule la seconde limite l’ampleur d’une violation.

Combien cela coûte

Le coût est très inférieur à ce que les organisations imaginent, parce que l’essentiel du travail est la conception du socle, réalisée une fois. Les ordres de grandeur que je constate : le MOOC de la CNIL est gratuit ; la conception d’un module socle interne d’une heure représente deux à cinq jours de travail du DPO ou d’un relais, ou l’équivalent en prestation externe ; une journée d’intervention d’un formateur externe se facture généralement entre 800 et 1 500 € HT, soit la grille des DPO externalisés ; une plateforme de e-learning avec suivi individuel se loue quelques euros par utilisateur et par an. Pour une PME de 100 salariés, un programme complet — conception, onboarding, rappel annuel, deux modules métier, un exercice — se situe le plus souvent entre 3 000 et 8 000 € HT la première année, puis nettement moins. À rapporter au coût d’une seule violation de données, sans même parler d’une sanction.

Pour les structures qui partagent un DPO mutualisé, la mutualisation des supports est un gain évident : le socle est commun, seuls les exemples et les procédures de signalement sont propres à chaque entité.

Ce qu’il faut retenir

• Le RGPD ne contient pas d’obligation de formation autonome, mais les articles 29 et 32(4) (traitement sur instruction), 32(1) (mesures organisationnelles selon l’état de l’art), 39(1)(b) (mission de contrôle du DPO) et 24 (démonstration) la rendent indispensable. NIS2 (dirigeants) et le règlement IA (article 4) ajoutent deux obligations expresses.
• La CNIL, dans la fiche n° 3 de son guide de la sécurité 2024, attend une sensibilisation adaptée aux fonctions, une session obligatoire pour les nouveaux arrivants quand l’activité principale traite des données, l’évaluation des acquis, la formation des équipes informatiques et la couverture des prestataires.
• Cartographiez les populations à partir du registre : socle pour tous, modules métier pour les RH, le commercial, le service client et l’informatique, séance dédiée pour la direction, socle et engagement pour les temporaires et prestataires.
• Rendez les consignes opposables : charte adoptée selon la procédure du règlement intérieur (art. L. 1321-4 et L. 1321-5), engagements de confidentialité, clauses de l’article 28(3)(b) ; consultez le CSE pour la charte et pour toute simulation.
• Constituez le dossier de preuves — plan validé, supports datés, présences, quiz, rappels, indicateurs — et faites-le vivre dans le rapport d’activité du DPO et le dossier de conformité.

Vous suivez ces sujets ? Chaque semaine, je publie une analyse des textes et décisions qui comptent en protection des données et conformité numérique — fiches CNIL, sanctions, enquêtes sur la fonction DPO. Inscrivez-vous à la newsletter.

FAQ

La formation RGPD des salariés est-elle obligatoire ?

Aucun article du RGPD n’impose une formation en tant que telle, mais les articles 29 et 32(4) exigent que le personnel ne traite les données que sur instruction, l’article 32(1) impose des mesures organisationnelles appropriées compte tenu de l’état des connaissances — que la CNIL décrit dans la fiche n° 3 de son guide de la sécurité — et l’article 24 impose de pouvoir démontrer sa conformité. En pratique, un organisme qui ne sensibilise pas son personnel ne peut satisfaire à aucune de ces trois exigences. Pour les entités soumises à NIS2, la formation des dirigeants est expressément obligatoire ; pour les fournisseurs et déployeurs de systèmes d’IA, l’article 4 du règlement IA impose depuis le 2 février 2025 de prendre des mesures pour garantir une maîtrise suffisante de l’IA.

Le MOOC gratuit de la CNIL suffit-il ?

Il suffit pour le DPO, ses relais et les fonctions RH, qui y trouvent six modules avec attestation de suivi par module, dont un module « Travail et données personnelles » de près de vingt heures depuis mai 2025. Il ne convient pas au socle de l’ensemble des salariés, à la fois par sa durée et parce qu’il ne parle pas de vos traitements, de votre charte ni de votre procédure de signalement. Il est recommandé de l’utiliser pour les profils avancés et de concevoir un module court et interne pour le reste du personnel.

Faut-il consulter le CSE avant de former les salariés ?

Pas pour une session de sensibilisation en tant que telle. En revanche, la charte informatique qui rend les consignes opposables doit suivre la procédure du règlement intérieur, avis du CSE compris (art. L. 1321-4 et L. 1321-5 du code du travail), et tout dispositif permettant un contrôle de l’activité des salariés — dont les campagnes d’hameçonnage simulé avec résultats individuels — doit faire l’objet d’une information-consultation préalable dans les entreprises d’au moins 50 salariés (art. L. 2312-38).

Combien de temps conserver les preuves de formation ?

Le règlement ne fixe pas de durée. Ces preuves étant des données personnelles des salariés conservées pour démontrer la conformité (articles 5(2) et 24), il est recommandé de fixer une durée dans la politique de conservation : la durée de la relation de travail, puis un archivage limité au temps nécessaire pour répondre à un contrôle ou à un contentieux, est une position défendable. L’important est qu’une durée soit définie et appliquée.

Qui doit organiser la formation : le DPO ou les RH ?

La responsabilité de former incombe au responsable de traitement, c’est-à-dire à la direction, qui l’exécute généralement via les RH dans le cadre du plan de développement des compétences. Le DPO conçoit ou valide les contenus, contrôle la couverture et rend compte des résultats dans son rapport d’activité, conformément à l’article 39(1)(b). Il peut animer les sessions, mais il ne doit pas porter seul un programme que la direction n’a pas décidé.