Règlement (UE) 2016/679, articles 32 et 39

Former et sensibiliser les équipes au RGPD

La conformité est produite par les personnes qui manipulent les données au quotidien, non par celle qui écrit les procédures. C'est pourquoi le règlement (UE) 2016/679 inscrit la sensibilisation et la formation du personnel parmi les missions du délégué à la protection des données, à l'article 39.1 b), et en fait un élément du dispositif de sécurité attendu.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Ce que le règlement met à la charge du délégué

L'article 39.1 b) confie au délégué la mission de contrôler le respect du règlement, des autres dispositions applicables et des règles internes du responsable, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux opérations de traitement, ainsi que les audits s'y rapportant.

La formation n'est donc pas une action périphérique : elle figure dans la mission même du délégué. Elle rejoint par ailleurs l'article 32, qui impose des mesures techniques et organisationnelles appropriées au risque — la formation étant une mesure organisationnelle —, et l'article 29, selon lequel toute personne agissant sous l'autorité du responsable et ayant accès à des données ne les traite que sur instruction de celui-ci. Une instruction que personne n'a reçue ne produit aucun effet.

À qui la formation s'adresse réellement

Une formation adressée uniformément à l'ensemble du personnel produit peu d'effet : elle est trop générale pour ceux qui manipulent les données et trop détaillée pour les autres. Le découpage utile suit les rôles, et trois groupes concentrent le risque réel.

Les équipes en contact avec les personnes concernées

Accueil, support, service client, ressources humaines : ce sont elles qui reçoivent les demandes d'exercice des droits, souvent formulées sans être nommées comme telles. Leur formation porte sur la reconnaissance de la demande et sa remontée immédiate, pas sur le régime juridique de chaque droit.

Les équipes techniques

Elles décident des accès, des journaux, des sauvegardes et des environnements de test. Leur formation porte sur la gestion des habilitations, l'interdiction d'utiliser des données réelles en environnement de test sans mesure appropriée, et le signalement immédiat de tout incident.

Ceux qui choisissent les outils

Direction, marketing, métiers : ils souscrivent des services qui traitent des données, souvent sans passer par un circuit d'achat. Leur formation porte sur un point unique et mesurable : ne pas mettre en service un outil sans que le délégué ait été saisi.

Ce qu'une session utile contient

Le contenu qui produit un effet mesurable est celui qui part des situations réellement rencontrées dans l'organisation, et non de l'architecture du règlement. Trois sujets suffisent à couvrir la majorité des incidents constatés : reconnaître une violation de données et savoir à qui la signaler dans l'heure ; reconnaître une demande d'exercice de droits et la faire remonter avant que le délai d'un mois ne soit entamé ; et savoir quelles données ne doivent pas sortir de l'organisation par les canaux ordinaires.

La connaissance des articles n'est pas un objectif pour un opérationnel. Ce qui est attendu de lui est un réflexe : identifier une situation et la transmettre. Une formation qui fait réciter des définitions sans installer ce réflexe n'améliore pas le niveau réel de conformité.

La trace de la formation fait partie du dossier

L'article 24.1 impose au responsable d'être en mesure de démontrer que le traitement est effectué conformément au règlement. Une formation dont il ne reste aucune trace ne contribue pas à cette démonstration, quelle qu'ait été sa qualité.

Les pièces à conserver sont simples : la date, la liste des participants, le support utilisé dans sa version diffusée, et la manière dont les nouveaux arrivants sont formés à leur arrivée. Ce dernier point est celui qui fait le plus souvent défaut : une organisation qui a formé l'ensemble de ses équipes une fois se retrouve, deux ans plus tard, avec une partie du personnel n'ayant jamais reçu aucune instruction.

En cas de contrôle, ces éléments sont examinés au regard des critères de l'article 83.2, qui vise notamment le degré de responsabilité du responsable du traitement compte tenu des mesures techniques et organisationnelles mises en œuvre.

Questions fréquentes

La formation RGPD est-elle obligatoire ?

Le règlement (UE) 2016/679 ne l'impose pas sous la forme d'une obligation autonome assortie d'un volume horaire. Il inscrit la sensibilisation et la formation du personnel parmi les missions du délégué à l'article 39.1 b), les rattache aux mesures organisationnelles de l'article 32, et rend nécessaires les instructions de l'article 29. En pratique, leur absence est constatée comme un manquement lors des contrôles.

À quelle fréquence faut-il former les équipes ?

Aucune périodicité n'est fixée par le texte. Deux moments comptent davantage qu'un rythme : l'arrivée d'une personne, qui doit recevoir ses instructions avant d'accéder aux données, et le changement d'outil ou de procédure, qui rend caduque une partie de ce qui a été enseigné. Une organisation dont les nouveaux arrivants ne sont jamais formés perd son niveau de conformité par simple renouvellement.

Une formation en ligne suffit-elle ?

Le format importe moins que ce qu'il installe. Un module en ligne convient à la sensibilisation générale et laisse une trace exploitable ; il est en revanche peu adapté aux équipes dont les questions portent sur des situations propres à leur métier, pour lesquelles un échange direct permet de faire apparaître des traitements non recensés, ce qu'aucun module ne produit.

Le délégué à la protection des données doit-il former lui-même ?

L'article 39.1 b) du règlement met la sensibilisation et la formation dans le champ de sa mission, sans imposer qu'il dispense lui-même chaque session. Il peut concevoir le contenu et le faire relayer, mais il reste chargé de contrôler que la formation a bien eu lieu et couvre les personnes participant aux opérations de traitement.

Ce que ce régime déclenche ailleurs

Le délai de 72 heures de l'article 33 se joue sur le temps que met un salarié à signaler l'anomalie qu'il a constatée.

Repérer et signaler une violation de données

Une demande adressée à n'importe quel point d'entrée fait courir le délai d'un mois : c'est la première chose que les équipes en contact doivent savoir.

Reconnaître une demande d'exercice des droits

Ce qu'un diagnostic examine, dans quel ordre, ce qu'il produit, et pourquoi une organisation hors du champ du règlement doit le savoir dès cette étape.

Audit RGPD

Les mentions imposées par l'article 30, la différence entre registre du responsable et registre du sous-traitant, et pourquoi la dispense de moins de 250 salariés ne joue presque jamais.

Registre des traitements

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.