Obligation de formation RGPD : les salariés doivent-ils être formés ?

Il n’existe pas d’article unique du RGPD disposant que "les salariés doivent être formés à la protection des données". L’obligation découle indirectement, mais impérativement, de plusieurs dispositions : l’obligation de rendre des comptes (art. 5, par. 2), l’obligation de prendre des mesures techniques et organisationnelles (art. 24, art. 32) et la mission expressément mentionnée "sensibilisation et formation du personnel" (art. 39, par. 1, point b). La loi ne fixe pas de fréquence ; un rappel annuel est d’usage.

Par la rédaction de Provimedia · Mise à jour : juillet 2026 · Cet article est une information générale et non un conseil juridique.

L’obligation de formation figure-t-elle littéralement dans le RGPD ?

Non, et cette précision est importante : il n’existe pas de "formation obligatoire prescrite par la loi" au sens strict – donc pas d’article unique qui prescrirait un format ou une durée de formation déterminés. Quiconque l’affirme argumente de façon imprécise. Ce qui existe en revanche, c’est un faisceau de dispositions qu’il est pratiquement impossible de respecter sans personnel formé.

Quelles dispositions fondent la formation en pratique ?

En somme : une entreprise qui n’informe pas ses salariés des règles de base de la protection des données peut difficilement démontrer de façon crédible qu’elle applique au quotidien les principes de l’art. 5 RGPD. La formation est donc pratiquement nécessaire, sans qu’un article unique l’ordonne littéralement.

Cela vaut-il aussi pour les petites entreprises sans délégué à la protection des données ?

Oui. En Allemagne, l’obligation de désigner un délégué à la protection des données ne s’applique en principe que lorsqu’au moins 20 personnes sont en règle générale occupées en permanence au traitement automatisé de données à caractère personnel (§ 38, al. 1 BDSG, la loi fédérale allemande sur la protection des données). Les obligations sous-jacentes découlant des art. 5, 24 et 32 RGPD s’appliquent toutefois indépendamment de la taille de l’entreprise. Même une petite entreprise sans DPD a intérêt à former ses salariés et à en documenter la preuve.

À quelle fréquence faut-il former ?

Le RGPD ne fixe aucune fréquence légale. En pratique, un rappel annuel associé à une formation complémentaire liée à un événement s’est imposé comme standard courant – par exemple lors de l’intégration de nouveaux salariés, lors de nouveaux outils (par exemple des applications d’IA) ou après des modifications juridiques pertinentes. Il s’agit d’une recommandation de pratique, non d’une exigence légale ferme ; le cas d’espèce demeure déterminant et, en cas de doute, l’appréciation de votre délégué à la protection des données.

Que se passe-t-il si je ne forme pas ?

Il n’existe pas d’infraction spécifique donnant lieu à amende pour "absence de formation". Mais si elle fait défaut, il devient plus difficile, en cas de problème – par exemple après une violation de données – de satisfaire à l’obligation de rendre des comptes prévue à l’art. 5, par. 2. Pour fixer le montant d’une amende, l’autorité de contrôle prend notamment en compte les mesures techniques et organisationnelles mises en œuvre par le responsable du traitement (art. 83, par. 2 RGPD). Des salariés dont la formation est démontrée peuvent avoir ici un effet favorable, mais n’excluent pas automatiquement une amende.

Que doit contenir une bonne formation à la protection des données ?

Sont généralement pertinents pour le quotidien professionnel :

• Notions de base : données à caractère personnel, traitement, responsable du traitement (art. 4)
• Bases juridiques et protection des données des salariés
• Droits des personnes concernées au quotidien (accès, effacement, opposition)
• Sécurité des données sur le lieu de travail et mesures techniques/organisationnelles
• Gestion des violations de données et des prestataires externes (sous-traitance)
• Outils d’IA comme ChatGPT au quotidien

Important pour la preuve ultérieure : une formation devrait être documentée à son terme – avec la date, le nom de la personne formée et les contenus traités. C’est le seul moyen de prouver, en cas de problème, que la sensibilisation a réellement eu lieu et n’est pas seulement affirmée.

Questions fréquentes (FAQ)

La formation à la protection des données est-elle prescrite par la loi ?

Pas sous la forme d’un article distinct et littéral. Elle découle cependant en pratique de l’obligation de rendre des comptes (art. 5, par. 2), des art. 24 et 32 ainsi que de la mission expressément citée du DPD, « sensibilisation et formation » (art. 39, par. 1, point b RGPD).

À quelle fréquence dois-je former mes salariés ?

Le RGPD ne mentionne aucune fréquence fixe. La pratique usuelle est un rappel annuel, plus une formation pour les nouveaux salariés, les nouveaux outils ou les modifications juridiques pertinentes.

Une formation unique à l’entrée dans la vie professionnelle suffit-elle ?

Juridiquement, il n’existe pas d’exigence ferme à ce sujet. Comme les outils, les processus et les risques évoluent, une formation unique sans rappel est considérée comme une preuve faible d’une obligation de rendre des comptes continue.

Dois-je impérativement recourir à un prestataire externe ?

Non, la loi ne prescrit aucun prestataire. Un programme structuré et documenté, avec une preuve datée, facilite toutefois la justification auprès des autorités de contrôle par rapport à une simple instruction orale.

Vous souhaitez mettre en œuvre efficacement la formation de vos salariés et la documenter proprement ? Notre formation de base RGPD pour salariés est un format de formation numérique, réalisable en environ 90 minutes, avec preuve datée — réservable en ligne ; le certificat IA aide en outre à construire et à justifier la compétence en matière d’IA exigée par l’art. 4 du règlement européen sur l’IA (AI Act). Pour en savoir plus sur les documents relatifs à l’obligation de rendre des comptes, lisez notre article Obligation de rendre des comptes selon le RGPD.

Sources

• Règlement (UE) 2016/679 (RGPD), art. 5, par. 2, art. 24, art. 32, par. 4, art. 39, par. 1, point b, art. 83, par. 2 – eur-lex.europa.eu
• Loi fédérale sur la protection des données (BDSG), § 38, al. 1 (obligation de désignation du délégué à la protection des données) – gesetze-im-internet.de