Dans une petite entreprise, la plupart des incidents de sécurité ne commencent pas par un pirate qui perce un pare-feu. Ils commencent par un employé qui clique sur un lien, partage un mot de passe ou envoie un fichier à la mauvaise personne. Le RGPD attend que vous prépariez votre équipe à cela. Cet article explique ce que demande la loi, à quoi ressemble une routine de formation réaliste pour une petite équipe, et ce que couvrent les deux formations gratuites de GDPRWise et l’examen officiel dans l’app.
Pourquoi les personnes sont le maillon faible, avec les scénarios les plus courants, est expliqué dans Le facteur humain : pourquoi la plupart des violations de données commencent par vos employés. Cet article porte sur la formation elle-même.
Ce que le RGPD attend de vous
Le RGPD n’impose pas de programme de formation précis. Il fixe toutefois quelques obligations difficiles à respecter sans formation :
- Intégrité et confidentialité (article 5(1)(f)). Les données personnelles doivent être protégées contre l’accès non autorisé, la perte et les dégâts. C’est un principe de base, pas un détail technique.
- Mesures appropriées (article 32(1)). Vous devez prendre des mesures techniques et organisationnelles appropriées. Former les personnes qui traitent des données personnelles est l’une des mesures organisationnelles les plus courantes.
- Agir sur instruction (article 32(4)). Toute personne qui travaille sous votre autorité et a accès à des données personnelles ne peut les traiter que sur vos instructions. Le personnel ne peut suivre que des instructions qu’il connaît.
- Notifier les violations (article 33). Lorsqu’une violation de données personnelles doit être notifiée, vous avez 72 heures après en avoir pris connaissance pour la notifier à l’autorité de contrôle. Ce délai ne fonctionne que si les employés vous signalent immédiatement un e-mail suspect ou une erreur.
- La mission du DPO (article 39(1)(b)). Si vous avez désigné un délégué à la protection des données (DPO), la sensibilisation et la formation du personnel font explicitement partie de ses missions.
La question n’est donc pas de savoir si vous formez votre équipe, mais comment le faire de façon pratique et pouvoir le démontrer ensuite.
Lorsque NIS2 s’applique à votre entreprise
Certaines entreprises relèvent aussi de NIS2, la directive européenne sur la cybersécurité (directive (UE) 2022/2555). Pour les entreprises concernées, la formation est décrite plus explicitement :
- L’article 21(2)(g) cite les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité parmi les mesures de gestion des risques.
- L’article 20(2) impose aux membres de la direction de suivre une formation, et encourage les entreprises à proposer régulièrement une formation similaire à leurs employés.
L’application de NIS2 dépend de votre secteur et de votre taille, et chaque pays a sa propre loi de transposition. Lisez GDPRWise et NIS2 pour savoir qui est concerné.
Ce que couvrent les formations gratuites
GDPRWise propose deux formations gratuites sur exactement ce sujet. Elles fonctionnent dans le navigateur, ne demandent aucun compte, se composent de modules courts en langage clair, et se terminent par un quiz d’entraînement gratuit.
Reconnaître le phishing couvre la façon la plus courante dont les choses tournent mal :
- Qu’est-ce que le phishing ?
- Inspecter un e-mail
- Smishing et chat
- Au travail et que faire
Sensibilisation à la sécurité couvre les habitudes quotidiennes qui l’entourent :
- Pourquoi la sécurité concerne tout le monde
- Sécuriser les comptes : mot de passe, 2FA et passkeys
- Accès et systèmes
- Manipuler les données en toute sécurité
- Détecter et signaler une fuite de données
Ensemble, elles couvrent les deux côtés : reconnaître une attaque, et les habitudes qui limitent les dégâts si l’une d’elles passe malgré tout.
L’examen officiel dans l’app et l’attestation de participation
Le quiz d’entraînement aide les employés à vérifier ce qu’ils ont appris, mais il ne laisse pas de trace. Pour cela, l’app GDPRWise dispose d’une fonction de formation avec un examen officiel par formation. Elle est incluse dans les formules payantes.
Les deux ont chacun leur rôle :
- Le quiz d’entraînement sur le site compte cinq questions pour vous tester. Rien n’est enregistré et il n’y a pas d’attestation.
- L’examen officiel dans l’app compte 15 questions par formation, tirées d’une série distincte qui ne figure pas sur le site, et un seuil de réussite de 70 %. Chaque personne qui le réussit reçoit une attestation de participation à son nom.
Dans l’app, le titulaire du compte attribue la formation au personnel et suit, pour chaque personne, la progression, l’achèvement et le score, sans que vous deviez tenir une liste à part.
Chaque employé qui passe l’examen officiel reçoit une attestation de participation. Elle montre que cette personne a suivi la formation, ce qui vous donne une preuve simple et documentée d’une mesure organisationnelle au sens de l’article 32. Ce n’est pas une certification professionnelle, et les formations seules ne rendent pas votre entreprise conforme ; elles sont un élément de vos mesures de sécurité.
Un plan de formation pratique pour une petite équipe
- Tout le monde suit les deux formations. Pas seulement le personnel de bureau : toute personne qui a une adresse e-mail ou un accès à des données de clients ou du personnel.
- Fixez une seule voie de signalement. Convenez d’une seule façon de signaler un message suspect ou une erreur, par exemple un collègue désigné ou une adresse partagée. Précisez que signaler rapidement est toujours la bonne réaction, même après un clic.
- Des simulations uniquement avec annonce. Si vous testez avec de faux e-mails de phishing, informez le personnel que cela se fait, et utilisez les résultats pour apprendre, jamais pour sanctionner.
- Rafraîchissez chaque année et après un incident. Refaites les formations une fois par an, et ajoutez un court rappel après un incident évité de justesse, un nouveau type d’arnaque, un nouveau système ou une nouvelle recrue.
- Gardez une trace. L’app montre qui a passé l’examen officiel, quand et avec quel score. Avec les attestations de participation dans l’app, cela montre ce que vous avez fait.
Pour la suite lorsque quelque chose tourne mal, lisez Violation de données : qu’est-ce que c’est et que faire ?.
La formation fonctionne le mieux quand votre équipe sait ce qui est en jeu. Scannez votre site web et constituez votre dossier RGPD avec GDPRWise, puis formez votre équipe sur cette base.