Instruction à la protection des données : obligation, déroulement et documentation correcte de la preuve

L’instruction à la protection des données désigne la sensibilisation documentée de vos salariés à la manipulation des données personnelles. Il n’existe pas de norme du RGPD portant ce nom : l’obligation découle indirectement de plusieurs articles du règlement. Ce qui compte au final, ce n’est pas le formulaire, mais la preuve : qui a été instruit, quand et sur quels contenus.

Par la rédaction de Provimedia · Mise à jour : juillet 2026 · Cet article est une information générale et ne constitue pas un conseil juridique.

Après cet article, vous saurez quelles six indications votre preuve doit contenir pour résister à une autorité de contrôle.

L’instruction à la protection des données est-elle obligatoire ?

De fait oui, même si le mot n’apparaît pas dans le RGPD. La notion vient à l’origine de la sécurité au travail : le § 12 de la loi allemande sur la sécurité et la santé au travail (Arbeitsschutzgesetz, ArbSchG) oblige l’employeur à fournir une instruction liée au poste de travail ; en protection des données, on emploie le même vocabulaire, mais le fondement juridique est différent.

L’obligation résulte de la combinaison de plusieurs articles du RGPD :

• Art. 5, par. 2 – Obligation de rendre compte : les responsables du traitement doivent pouvoir démontrer le respect des principes.
• Art. 24 – Mesures techniques et organisationnelles : selon l’opinion dominante, cela inclut aussi la formation du personnel.
• Art. 29 – Obligation de suivre les instructions : quiconque a accès à des données personnelles est tenu de suivre les instructions du responsable du traitement, et des instructions supposent qu’elles soient connues.
• Art. 32, par. 4 – Contrôle d’accès : les personnes ayant accès aux données ne peuvent agir que sur instruction.
• Art. 39, par. 1, point b) – Mission du DPO : l’article 39 fait expressément de la formation une mission du DPO : la sensibilisation et la formation du personnel participant aux opérations de traitement.

Pris ensemble, cela donne une obligation indirecte, mais solide : non pas un commandement littéral, mais une déduction que les autorités de contrôle appliquent précisément ainsi dans la pratique. La déduction détaillée figure dans l’article Obligation de formation au RGPD.

Que doit contenir l’instruction ?

Une instruction qui résiste, le cas échéant, devant une autorité de contrôle couvre plus qu’un module vidéo suivi d’un QCM. Sur le fond, au minimum les sujets suivants en font partie :

• Principes de base du traitement des données : licéité, limitation des finalités, minimisation des données
• Droits des personnes concernées et circuit interne des demandes
• Marche à suivre en cas de violation de données, avec circuits de signalement et délais
• Relations avec les sous-traitants ainsi que le principe de ne consulter des données qu’en cas de besoin réel
• Risques concrets, propres à chaque rôle : hameçonnage et ingénierie sociale, mots de passe sûrs, appareils mobiles, effacement des données une fois la finalité atteinte

Le lien avec l’entreprise elle-même est important. Une simple lecture de la loi sans exemples pratiques ne remplit que formellement l’objectif de sensibilisation de l’art. 39, par. 1, point b) RGPD. Celui qui relie les contenus aux processus réels de l’entreprise, par exemple le système CRM, la communication avec les clients ou le traitement des dossiers de candidature, atteint réellement les salariés et peut aussi le documenter ainsi dans la preuve.

Comment se déroule une instruction à la protection des données ?

Dans la pratique, le déroulement peut se résumer en quatre étapes :

1. Définir les contenus : choisir les sujets et les exemples pratiques adaptés à sa propre entreprise.
2. Dispenser l’instruction : transmettre les contenus, en séance présentielle, en module vidéo ou en cours en ligne.
3. Faire confirmer la participation : recueillir une signature ou un certificat numérique pour chaque personne.
4. Archiver la preuve et fixer l’intervalle de répétition : conserver la documentation et planifier fermement la prochaine échéance.

Comment documenter correctement la preuve ?

La preuve est le cœur même de l’obligation de rendre compte de l’art. 5, par. 2 RGPD : non pas l’instruction elle-même, mais le justificatif qu’elle a eu lieu. Le tableau ci-dessous montre quelles indications une preuve solide doit contenir pour chaque personne. En revanche, un envoi collectif par e-mail avec pièce jointe sans retour des salariés n’est pas une preuve, car il ne démontre pas que la personne a effectivement pris connaissance des contenus.

La preuve doit en outre être tenue à jour. Une instruction unique à l’embauche couvre les nouveaux collaborateurs, mais perd de sa valeur lorsque les processus, les outils ou le niveau de risque changent, par exemple avec un nouveau logiciel ou une application d’IA dans l’entreprise. Dans la pratique, une répétition annuelle s’est imposée, documentée avec le même contenu minimal que l’instruction initiale. Une instruction à la protection des données en ligne simplifie précisément cette partie, car les contenus, la participation et les horodatages sont enregistrés automatiquement pour chaque personne.

Un modèle de formulaire suffit-il ?

Un modèle de formulaire pour l’instruction, à imprimer, avec un champ de signature, est un outil de documentation, pas d’instruction. Celui qui se contente de faire remplir et signer un modèle d’instruction à la protection des données sans que les contenus aient réellement été transmis produit une preuve sans action sous-jacente. En cas de litige, par exemple après une violation de données, une autorité de contrôle ne vérifie pas seulement qu’un formulaire existe, mais si les contenus qui y sont affirmés ont été transmis de manière plausible.

Un modèle sert donc de cadre à la documentation : quels champs une preuve complète requiert, dans quel ordre, avec quelle durée de conservation. Mais il ne remplace pas la confrontation des salariés avec les sujets de la section précédente. Un format numérique qui réunit en une seule étape les contenus, la participation et l’horodatage comble cette lacune de manière plus fiable qu’un formulaire papier, qui peut en théorie aussi être signé sans avoir été lu.

Questions fréquentes (FAQ)

L’instruction à la protection des données est-elle obligatoire par la loi ?

Pas en tant que norme autonome, mais au résultat oui : plusieurs dispositions du RGPD agissent ensemble et fondent, au total, une obligation solide. Les différents articles sont détaillés dans la section ci-dessus.

Dois-je la documenter ?

Oui. Sans documentation, l’obligation de rendre compte de l’art. 5, par. 2 RGPD ne peut pas être remplie : la disposition exige expressément de pouvoir démontrer le respect des principes. Une instruction orale ou consignée de façon imprécise ne suffit pas pour cela.

À quelle fréquence l’instruction doit-elle être répétée ?

Le standard de la pratique est un rappel annuel ; il n’est pas fixé par la loi. En outre, certains événements déclenchent une instruction hors calendrier : nouveaux outils ou logiciels, processus remanié avec accès aux données, utilisation d’une application d’IA ou incident de sécurité.

Qui doit être instruit ?

Toute personne ayant accès à des données personnelles : non seulement les salariés en contact direct avec les clients, mais aussi la comptabilité, l’informatique ainsi que les stagiaires et les employés temporaires dès qu’ils entrent en contact avec de telles données.

Un formulaire seul ne produit pas de preuve solide : seuls des contenus réellement transmis associés à une documentation propre et nominative le font. La formation de base au RGPD de Provimedia fournit précisément cette preuve datée pour chaque salarié : contenus, horodatages et certificat de participation en une seule étape.

Sources

• Règlement (UE) 2016/679 (RGPD) – texte intégral, EUR-Lex
• § 12 Arbeitsschutzgesetz (ArbSchG) – instruction, gesetze-im-internet.de (en allemand)