Protection des données pour les salariés : les 10 règles essentielles au quotidien

La protection des données pour les salariés signifie avant tout : traiter avec soin les données personnelles des clients, des collègues et des candidats, du verrouillage de l’écran à la gestion consciente des listes de diffusion, jusqu’au signalement interne des violations de données. Les manquements naissent rarement d’une intention délibérée, mais d’un manque d’attention : en cinq minutes, vous saurez quand verrouiller l’écran, pourquoi l’usage de Cci est obligatoire et que faire en cas de violation de données.

Par la rédaction de Provimedia · Mise à jour : juillet 2026 · Cet article est une information générale et ne constitue pas un conseil juridique.

C’est précisément à ce manque d’attention que s’attaque une formation RGPD pour les salariés : les dix règles suivantes en constituent la base pour agir en sécurité au quotidien, même sans être juriste.

Les 10 règles de protection des données les plus importantes pour les salariés

Règle 1 : verrouillez l’écran dès que vous quittez votre poste

Si vous quittez votre poste de travail, même pour quelques minutes seulement, verrouillez l’écran (touche Windows + L ou Cmd+Ctrl+Q). Un ordinateur déverrouillé et laissé sans surveillance est l’un des moyens les plus fréquents par lesquels des personnes non autorisées accèdent aux données des clients ou du personnel. Cela correspond au principe d’intégrité et de confidentialité de l’art. 5, par. 1, point f) RGPD : les données doivent être protégées contre tout accès non autorisé.

Règle 2 : clean desk – ne laissez aucun document à découvert

Les impressions comportant des noms, des adresses ou des données contractuelles n’ont pas leur place à découvert sur le bureau, mais dans des armoires fermées à clé ou directement dans le broyeur de documents. Quiconque quitte la pièce ou reçoit une visite range ses documents : une mesure organisationnelle simple mais efficace au sens de l’art. 5, par. 1, point f) RGPD.

Règle 3 : envoyez toujours les e-mails collectifs en Cci

Lorsque vous envoyez un message à plusieurs destinataires externes, saisissez leurs adresses dans le champ Cci, et non dans À ou Cc. Sinon, tous les destinataires voient les adresses e-mail des autres : c’est déjà une violation de données, à signaler en interne et dont l’obligation de notification doit être examinée au regard de l’art. 33 RGPD, et ce type de cas se produit régulièrement dans la pratique.

Règle 4 : ne cliquez pas sur des liens et des pièces jointes suspects

Vérifiez l’adresse de l’expéditeur, la formule d’appel et la destination du lien avant de cliquer sur des pièces jointes ou des liens, en particulier en cas de demandes soi-disant urgentes de paiement ou de mot de passe. Selon le BSI (Office fédéral allemand de la sécurité des technologies de l’information), le hameçonnage compte parmi les vecteurs d’attaque les plus fréquents contre les données des entreprises ; en cas de doute, mieux vaut demander au service informatique que cliquer.

Règle 5 : ne saisissez pas de données personnelles dans des outils d’IA non autorisés

Les données de clients, de candidats ou de collègues ne peuvent être saisies que dans des outils d’IA ou cloud pour lesquels l’entreprise a conclu un contrat de sous-traitance au titre de l’art. 28 RGPD. Un compte ChatGPT privé ou un outil non autorisé est tabou pour cela. Vous trouverez des détails dans l’article IA et protection des données : les règles pour ChatGPT.

Règle 6 : transmettez immédiatement les demandes des personnes concernées

Lorsqu’un client ou un candidat vous demande l’accès à ses données, leur effacement ou leur rectification, transmettez immédiatement la demande au délégué à la protection des données (DPO) ou au service compétent. Pour y répondre, un délai d’un mois s’applique en principe, qui devient vite serré en interne lorsque les demandes ne sont remarquées que tardivement.

Règle 7 : signalez immédiatement les violations de données en interne

Si un ordinateur portable a été perdu, si un e-mail est parti chez le mauvais destinataire ou si un enregistrement a été supprimé par erreur, signalez-le sans délai en interne, même si l’erreur est gênante. Selon l’art. 33 RGPD, l’entreprise doit notifier à l’autorité de contrôle, sans retard injustifié et si possible dans un délai de 72 heures, les violations de la protection des données personnelles, sauf s’il est peu probable qu’elles engendrent un risque pour les personnes concernées ; cela n’est possible que si les salariés préviennent immédiatement.

Règle 8 : n’utilisez ni clés USB privées ni outils non autorisés

Les clés USB privées, les espaces de stockage cloud non autorisés ou les applications installées de sa propre initiative (ce que l’on appelle le shadow IT) échappent au contrôle du service informatique et ouvrent des surfaces d’attaque pour la perte de données et les logiciels malveillants. Utilisez exclusivement les systèmes mis à disposition et autorisés par l’entreprise.

Règle 9 : ne donnez de renseignements qu’aux personnes clairement habilitées

Ne communiquez aucune donnée personnelle par téléphone ou par e-mail sans avoir vérifié sans équivoque l’identité et l’habilitation du demandeur. De prétendus collègues, de soi-disant autorités ou des supérieurs pressés sont une porte d’entrée classique de l’ingénierie sociale ; en cas de doute, mieux vaut rappeler que répondre immédiatement.

Règle 10 : en cas de doute, demandez au délégué à la protection des données

Toutes les situations ne sont pas claires : peut-on utiliser un nouveau logiciel, modifier un formulaire ou répondre à une demande ? Adressez-vous au délégué à la protection des données ou à l’interlocuteur compétent plutôt que de décider de votre propre chef. Cela vous protège autant que l’entreprise.

Le tableau suivant montre en un coup d’œil quel risque chaque règle prévient concrètement. Vous pouvez transmettre cette checklist telle quelle à votre équipe :

Questions fréquentes (FAQ)

Quelles règles de protection des données s’appliquent aux salariés ?

En principe, les salariés ne peuvent traiter des données personnelles que dans le cadre de leurs missions et sur instruction de l’employeur (art. 29 et art. 32, par. 4 RGPD). Cela comprend une gestion soigneuse des accès, des documents et des listes de diffusion ainsi que le signalement immédiat de toute anomalie ; les dix règles ci-dessus résument les points les plus importants pour le quotidien.

Les salariés sont-ils personnellement responsables en cas de manquement à la protection des données ?

Les amendes prévues à l’art. 83 RGPD visent le responsable du traitement ou le sous-traitant, donc en règle générale l’entreprise, et non directement les différents salariés. Celui qui enfreint toutefois les consignes internes de manière intentionnelle ou par négligence grave doit s’attendre à des conséquences en droit du travail pouvant aller jusqu’au licenciement ; dans des cas exceptionnels, une responsabilité personnelle est également possible.

Les règles s’appliquent-elles aussi en télétravail ?

Oui, en télétravail s’appliquent les mêmes obligations qu’au bureau : le lieu de travail ne change rien à la responsabilité à l’égard des données personnelles. Les membres de la famille sont également considérés comme des tiers au regard du droit de la protection des données : verrouiller l’écran, ranger les documents sous clé et passer les appels confidentiels hors de portée d’oreille font donc aussi partie du quotidien à la maison.

Que faire si je remarque une violation de la protection des données chez des collègues ?

Abordez le collègue ou la collègue directement si possible, par exemple si vous remarquez un écran non verrouillé ou un e-mail collectif mal envoyé. Si l’incident ne peut pas être éclairci ou s’il est plus grave, signalez-le à votre supérieur ou au délégué à la protection des données, non pas pour dénoncer quelqu’un, mais pour limiter le dommage.

Ces dix règles se lisent en quelques minutes, mais s’oublient facilement au quotidien. La formation de base au RGPD transmet précisément ces règles du quotidien de manière systématique et avec des exemples pratiques : chaque participant reçoit ensuite un certificat de participation daté comme preuve pour le dossier du personnel ou pour les clients.

Sources

• EUR-Lex : Règlement (UE) 2016/679 (RGPD) – texte intégral
• BSI : IT-Sicherheit am Arbeitsplatz (en allemand)