Sensibiliser les salariés au RGPD : ce que la CNIL attend, et comment le prouver
La sensibilisation du personnel est une mesure de sécurité au sens du RGPD, une mission du DPO, et la première chose qu’un contrôle ou un client vérifie. Qui sensibiliser, quoi leur apprendre, à quelle fréquence, et la preuve nominative à garder.
Chat de 3 minutes · sur le téléphone de chacun · gratuit pour commencer
Pourquoi la sensibilisation RGPD des salariés est attendue
Aucun article ne s’appelle « formation des salariés ». L’obligation vient de trois endroits du règlement, et d’un quatrième qui rend la sensibilisation rentable dès le premier incident.
- RGPD, article 32
Le responsable de traitement met en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données. La CNIL range la sensibilisation du personnel parmi ces mesures organisationnelles de base.
- RGPD, article 39
Parmi les missions du délégué à la protection des données : « la sensibilisation et la formation du personnel participant aux opérations de traitement ».
- RGPD, article 5.2 (responsabilité)
Le responsable de traitement doit être en mesure de démontrer le respect des principes du règlement. Une sensibilisation faite sans trace ne se démontre pas.
- RGPD, article 33
Une violation de données se notifie à la CNIL sous 72 heures. Le salarié qui a commis ou constaté l’erreur doit savoir qu’il faut la signaler, et à qui. C’est le réflexe le plus rentable d’une sensibilisation.
Qui sensibiliser au RGPD dans l’entreprise
L’erreur classique est de ne former que le DPO et l’informatique. La fuite vient du fichier envoyé au mauvais destinataire par un commercial, pas du serveur.
- Tous les salariés qui touchent une donnée personnelle, soit presque tous : un prénom dans un e-mail, un numéro de téléphone dans un fichier, une photo.
- En priorité : RH et paie, commercial et support client, comptabilité, et toute personne qui manipule des fichiers de contacts ou des données de santé.
- La direction : elle porte la responsabilité, elle est la cible des fraudes au président, et sa sensibilisation est la première chose qu’un auditeur vérifie.
- Les nouveaux arrivants et les intérimaires : la sensibilisation fait partie de l’accueil, avant le premier accès aux outils.
Un programme de sensibilisation RGPD en cinq étapes
- 1
Partir de vos règles, pas d’un cours générique
Charte informatique, procédure de signalement, nom du référent ou du DPO, outils réellement utilisés. Une sensibilisation qui parle des outils de l’entreprise est lue ; un cours générique est subi.
- 2
Choisir cinq réflexes, pas cinquante
Donnée personnelle (presque tout en est une), destinataires d’un e-mail, mots de passe et verrouillage, pièces jointes et hameçonnage, signalement d’une fuite. Le reste viendra dans les rappels.
- 3
Diffuser court, sur le téléphone, avec des questions
Trois minutes en chat, des mises en situation, une question de compréhension par réflexe. Lu ne suffit pas : il faut que la personne réponde juste.
- 4
Relancer jusqu’à complétion, puis répéter
Relances automatiques jusqu’à ce que chacun ait terminé. Puis un rappel annuel, à l’arrivée de chaque salarié, et après tout incident.
- 5
Garder la preuve nominative
Attestation horodatée par personne avec le score, tableau de complétion exportable. C’est la pièce que la CNIL, un auditeur ou un client vous demandera.
Les cinq réflexes RGPD que chaque salarié doit avoir
- Une donnée personnelle, c’est toute information qui permet d’identifier quelqu’un : nom, e-mail, plaque, photo. On en manipule tous, tous les jours.
- Un envoi à plusieurs destinataires externes se fait en « Cci ». Un fichier de contacts ne part jamais en pièce jointe sans vérifier le destinataire.
- Un mot de passe par outil, jamais partagé, session verrouillée dès qu’on quitte le poste.
- Urgence + lien + demande de mot de passe = hameçonnage. On ne clique pas, on vérifie par un autre canal, on signale.
- Une erreur se signale tout de suite au référent ou au DPO, même sans certitude : les 72 heures de notification courent à partir de la découverte.
Ce que l’article 5.2 appelle « être en mesure de démontrer »
Vos consignes RGPD deviennent un chat que chaque salarié termine sur son téléphone. À la fin, la complétion est horodatée, le score enregistré, l’attestation générée à son nom. Votre DPO présente un taux de couverture par équipe et les attestations, nom par nom.
- Attestation horodatée par personne : nom, thème, date, score
- Taux de complétion par équipe ou service, exportable
- Rappels réguliers : chaque campagne laisse sa propre preuve
- Sur mobile, sans app à installer, compte créé en une minute depuis l’invitation
De votre charte à la preuve, en minutes
Partez du modèle ou de votre charte
Le modèle RGPD prêt à jouer, ou votre charte informatique en PDF ou Word. Ajoutez le nom du référent et votre procédure de signalement.
Relisez le chat
Les cinq réflexes en mises en situation, une question par réflexe. Vous ajustez les exemples à vos outils, puis vous publiez.
Diffusez et prouvez
Tout l’effectif ou une équipe, une échéance, des relances automatiques. Chaque passage génère son attestation.
La fiche du modèle « RGPD : les réflexes essentiels »
Le scénario complet du chat, les questions et les bonnes réponses, au format imprimable. À personnaliser à vos outils, à votre référent et à votre procédure de signalement.
Sensibilisation RGPD : vos questions
La sensibilisation RGPD des salariés est-elle obligatoire ?
Le règlement ne contient pas d’article intitulé « formation des salariés », mais l’obligation découle de trois textes : l’article 32 impose des mesures organisationnelles de sécurité, dont la sensibilisation du personnel fait partie selon la CNIL ; l’article 39 confie au DPO « la sensibilisation et la formation du personnel » ; l’article 5.2 exige de pouvoir démontrer la conformité. En contrôle, la CNIL demande ce qui a été fait pour sensibiliser le personnel et en demande la preuve. En pratique, c’est attendu.
Que doit contenir une sensibilisation RGPD pour les salariés ?
L’essentiel tient en cinq réflexes : ce qu’est une donnée personnelle, les bons gestes e-mail (destinataires, Cci, pièces jointes), les mots de passe et le verrouillage de session, la reconnaissance d’un hameçonnage, et le signalement immédiat d’une erreur ou d’une fuite. Ajoutez vos règles propres : procédure de signalement, nom du référent ou du DPO, traitements sensibles de votre activité. Une sensibilisation courte et répétée vaut mieux qu’une demi-journée annuelle.
À quelle fréquence sensibiliser au RGPD ?
À l’arrivée de chaque salarié, avant son premier accès aux outils ; puis au moins une fois par an ; et à chaque événement qui le justifie : nouveau traitement, nouvel outil, incident ou violation de données. Un format de trois minutes sur le téléphone permet cette fréquence sans mobiliser une session de formation.
Comment prouver la sensibilisation RGPD à la CNIL ou à un client ?
Par une trace nominative : qui a suivi quoi, quand, avec quel résultat. Une feuille d’émargement prouve une présence, pas une compréhension, et elle ne couvre pas les absents ni les arrivants suivants. Memonico génère une attestation horodatée par personne avec le score, et un tableau de complétion par équipe exportable. C’est cette trace que demandent la CNIL en contrôle, un auditeur, un assureur cyber ou un grand compte dans son questionnaire fournisseur.
Quelle différence entre sensibiliser les salariés et former le DPO ?
Le DPO suit une formation approfondie au droit et aux procédures ; c’est lui qui tient le registre et pilote la conformité. Les salariés ont besoin de réflexes, pas de droit. Cette page traite la seconde : la sensibilisation de tout le personnel, celle que le DPO doit organiser et dont il doit pouvoir montrer la trace.
Un outil de sensibilisation rend-il conforme au RGPD ?
Non. La conformité repose sur le registre des traitements, les bases légales, les droits des personnes, les contrats avec les sous-traitants, la sécurité et la documentation. Memonico couvre une brique précise : diffuser vos consignes RGPD à chaque salarié, vérifier qu’elles sont comprises, et en garder la preuve nominative. C’est la brique la plus souvent manquante dans un dossier, et la plus simple à combler.
Existe-t-il un modèle de sensibilisation RGPD prêt à l’emploi ?
Oui : le modèle « RGPD : les réflexes essentiels » de Memonico est un chat de trois minutes, relu, avec les cinq réflexes et des mises en situation. Vous pouvez le jouer en démonstration, récupérer la fiche imprimable, puis le personnaliser à vos outils et à votre procédure de signalement avant de le diffuser.
Sensibilisez tout l’effectif au RGPD cette semaine
Créez un espace gratuit, choisissez le modèle RGPD, invitez une équipe : la preuve nominative arrive avec la première complétion.
Sensibilisation au phishing Obligation de formation NIS 2 Tous les modèles