Formation à la protection des données des salariés : obligation selon l'art. 32 RGPD

Qui traite des données personnelles a besoin de plus qu'une politique de confidentialité sur son site web : ses propres salariés doivent eux aussi être régulièrement formés à la protection des données et engagés à la confidentialité.

En bref : les salariés qui traitent des données personnelles doivent être formés régulièrement à la protection des données et engagés par écrit au secret des données (confidentialité). Cela concerne pratiquement toute entreprise ayant du personnel, puisque le simple traitement des données des salariés en relève. En l'absence de cette mesure organisationnelle, des amendes sont encourues en cas de violation de données, le comportement humain fautif étant l'une des causes les plus fréquentes.

Qui est concerné ?

Toute entreprise ayant des salariés qui travaillent avec des données personnelles est concernée ; cela ne comprend pas seulement les données de clients ou de patients, mais aussi celles de ses propres collègues, par exemple les dossiers du personnel, les bulletins de paie ou les données de candidats. Pratiquement toute entreprise employant du personnel relève donc de cette obligation, quelle que soit sa taille ou sa branche. Qui n'est pas sûr de savoir si, et dans quelle mesure, des salariés de son entreprise sont concernés peut le faire vérifier dans le cadre d'un Company Audit.

Pourquoi la formation est-elle obligatoire ?

La sensibilisation et la formation des salariés font partie des mesures organisationnelles que l'art. 32 RGPD exige pour la sécurité du traitement et, lorsqu'un délégué à la protection des données est désigné, relèvent de ses missions selon l'art. 39 RGPD. La raison tient à la pratique : le comportement humain fautif compte parmi les causes les plus fréquentes de violations de données, par exemple un e-mail envoyé au mauvais destinataire, un appareil perdu ou un clic sur un lien d'hameçonnage. Les mesures de protection techniques, comme le chiffrement ou les droits d'accès, tombent à vide si les salariés ne savent pas comment traiter les données personnelles ni comment reconnaître et signaler un incident. C'est pourquoi le RGPD exige expressément, à côté des mesures techniques, des mesures organisationnelles telles que cette formation.

Que devez-vous faire concrètement ?

La mise en œuvre suit un déroulement fixe : identification, contenus de formation, réalisation et documentation.

1. Identifier les salariés qui travaillent avec des données personnelles (y compris des données de salariés).
2. Définir les contenus de formation (bases, confidentialité, traitement des demandes, signalement des incidents).
3. Réaliser la formation à l'embauche, puis de manière récurrente.
4. Engager les salariés au secret des données / à la confidentialité.
5. Documenter la participation avec la date et la signature.

En pratique, de courtes sensibilisations récurrentes sont plus durables qu'une formation de base unique. Un accent particulier sur l'hameçonnage et la manipulation des pièces jointes d'e-mails réduit sensiblement le risque de violations de données, car le comportement humain fautif y devient particulièrement souvent la porte d'entrée. Qui adapte les contenus de formation aux catégories de données réellement présentes dans son entreprise, par exemple les données clients à la vente ou les données de salariés au service du personnel, obtient une meilleure adhésion qu'avec une présentation purement générale.

Dans quels délais / à quelle fréquence ?

La formation a lieu à chaque nouvelle embauche, puis elle est répétée chaque année. Qui embauche de nouveaux salariés devrait intégrer durablement la formation de base au processus d'intégration, afin que personne ne travaille sans formation avec un accès à des données personnelles. La répétition annuelle maintient présents des contenus tels que le traitement des demandes des personnes concernées ou le signalement des incidents, même lorsque les processus ou les exigences légales évoluent dans l'entreprise. Il est judicieux de fixer dans le calendrier de l'entreprise des dates régulières pour la mise à jour annuelle, afin que la répétition ne se perde pas dans les affaires courantes.

Que risque-t-on en cas de manquement ?

Des mesures organisationnelles insuffisantes, comme l'absence de formation et d'engagement, peuvent être sanctionnées par des amendes pouvant atteindre 10 M€ ou 2 % du chiffre d'affaires annuel mondial. En pratique, cela devient surtout pertinent en cas de dommage : lorsqu'une violation de données due à un comportement humain fautif survient, les autorités de contrôle vérifient régulièrement si les salariés étaient suffisamment formés et engagés à la confidentialité. Si la preuve de la formation et de l'engagement manque, le manquement pèse plus lourd dans l'appréciation de l'autorité, même si la violation de données elle-même résulte d'une simple inattention.

Questions fréquentes

Dois-je aussi former les auxiliaires, les étudiants salariés et les stagiaires ?

Oui. Ce qui compte n'est pas la nature de la relation de travail, mais le fait que la personne concernée travaille avec des données personnelles. Les auxiliaires, les étudiants salariés et les stagiaires doivent eux aussi être formés en conséquence et engagés à la confidentialité des données lorsqu'ils ont accès à de telles données.

Une formation unique à l'embauche suffit-elle ?

Non. Une formation est prévue à l'embauche, puis une répétition annuelle. Une formation de base unique sans mise à jour régulière ne remplit pas l'obligation de sensibilisation continue, car des risques tels que l'hameçonnage et le traitement des demandes évoluent en permanence.

L'engagement au secret des données doit-il être écrit ?

L'engagement devrait être documenté afin de pouvoir être prouvé en cas de doute. Cela suppose de consigner la participation à la formation ainsi que l'engagement de confidentialité avec la date et la signature de la personne concernée.

Qui est responsable de la réalisation de la formation ?

La sensibilisation et la formation des salariés font partie des mesures organisationnelles dont l'entreprise est responsable selon l'art. 32 RGPD. Lorsqu'un délégué à la protection des données est désigné, le contrôle de ces formations fait partie de ses missions selon l'art. 39 RGPD.

L'obligation s'applique-t-elle aussi aux petites entreprises sans délégué à la protection des données ?

Oui. L'obligation de formation et de sensibilisation des salariés découle de l'art. 32 RGPD et s'applique indépendamment de la désignation d'un délégué à la protection des données. Même les petites entreprises doivent former et engager en conséquence les salariés qui traitent des données personnelles.

Source : Art. 32 RGPD · Art. 39 RGPD. Cet article est une information générale et ne remplace pas un conseil juridique pour un cas particulier. Date : juillet 2026.