Formation RGPD : Comprendre facilement le Règlement Général sur la Protection des Données

Le Règlement Général sur la Protection des Données s’applique à votre entreprise, qu’elle soit sous-traitant ou responsable de traitement. Depuis son entrée en vigueur en mai 2018, le RGPD a redessiné les règles du jeu pour toutes les organisations qui manipulent des données personnelles, y compris les PME industrielles qui ne se voient pas toujours comme des acteurs de la donnée. Pourtant, dès qu’un atelier de production collecte des informations sur ses salariés, dès qu’un logiciel de gestion client stocke des adresses e-mail, dès qu’un prestataire RH traite des fiches de paie, le règlement s’applique. La formation RGPD n’est plus un luxe réservé aux équipes juridiques des grandes entreprises : c’est un outil de pilotage pour tout dirigeant ou directeur administratif qui veut éviter une sanction de la CNIL et, surtout, bâtir une relation de confiance avec ses clients et partenaires. Comprendre les fondamentaux, identifier les bons réflexes, désigner les bons interlocuteurs en interne : voilà ce que cet article vous permet de faire, concrètement, sans jargon inutile.

En bref :

• Le RGPD s’applique à toute organisation traitant des données personnelles, y compris les PME industrielles et de services.
• Une formation RGPD d’une journée suffit pour acquérir les fondamentaux et initier une démarche de conformité.
• Le rôle du DPO (Délégué à la Protection des Données) est central : sa désignation peut être obligatoire selon votre activité.
• La privacy by design et la privacy by default doivent être intégrées dès la conception de vos outils et processus.
• Un plan d’action structuré — gouvernance, registre des traitements, contrats de sous-traitance — est la base de toute mise en conformité sérieuse.
• Les sanctions de la CNIL peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial.
• Des financements via les OPCO existent pour couvrir tout ou partie du coût de la formation.

Qu’est-ce que le RGPD et pourquoi votre PME est directement concernée ?

Le Règlement Général sur la Protection des Données, adopté par le Parlement européen en avril 2016 et applicable depuis le 25 mai 2018, constitue le socle juridique de la protection des données personnelles en Europe. Il remplace la directive 95/46/CE et harmonise les règles dans l’ensemble des États membres de l’Union européenne. Son champ d’application est territorial mais aussi extraterritorial : une entreprise basée hors d’Europe qui cible des citoyens européens y est soumise.

Pour une PME industrielle ou de services, la tentation est forte de considérer que le RGPD concerne surtout les géants du numérique. C’est une erreur. Dès que votre entreprise collecte le nom, l’adresse, le numéro de téléphone ou même l’adresse IP d’une personne physique, elle traite des données personnelles au sens du règlement. Un carnet de commandes clients, un fichier de candidatures RH, une caméra de surveillance dans un entrepôt : tout cela relève du RGPD.

La notion de responsable de traitement désigne l’entité qui détermine les finalités et les moyens du traitement. Celle de sous-traitant désigne l’entité qui traite des données pour le compte d’un responsable. Votre PME peut être les deux simultanément selon les flux de données concernés. Identifier clairement votre positionnement est la première action à mener avant toute démarche de mise en conformité.

Pour aller plus loin sur les textes de référence, le site officiel de la CNIL propose une ressource complète : comprendre le RGPD en détail, avec des fiches pratiques accessibles à tous les niveaux d’expertise.

Quelles sont les données personnelles concernées par le règlement général ?

Une donnée personnelle est toute information permettant d’identifier directement ou indirectement une personne physique. Le nom, le prénom, le numéro de sécurité sociale, la plaque d’immatriculation d’un véhicule de fonction, une adresse e-mail professionnelle nominative : tous ces éléments entrent dans le périmètre du RGPD. Même une combinaison d’informations non-identifiantes prises isolément peut devenir une donnée personnelle dès qu’elle permet une identification.

Le règlement distingue par ailleurs des catégories spéciales de données, soumises à un régime de protection renforcé. Il s’agit notamment des données relatives à la santé, aux opinions politiques, aux convictions religieuses, à l’origine ethnique ou à l’orientation sexuelle. Pour une PME, cela peut concerner les arrêts maladie, les informations médicales transmises à la médecine du travail, ou encore les données de reconnaissance biométrique utilisées pour contrôler les accès à un site industriel.

Le traitement de ces catégories spéciales est interdit en principe, sauf exceptions strictement encadrées. Parmi ces exceptions figurent le consentement explicite de la personne concernée, ou la nécessité du traitement dans le cadre de l’exécution d’obligations légales liées au droit du travail. Identifier si vous traitez ce type de données est une étape non négociable de votre diagnostic RGPD.

Action concrète : listez tous les types de données que votre entreprise collecte, en précisant pour chacun la source, la finalité et la durée de conservation. Ce travail d’inventaire constitue la base de votre registre des traitements, document obligatoire pour tout organisme de plus de 250 salariés, et vivement recommandé en dessous de ce seuil.

Privacy by design et privacy by default : deux principes à intégrer dès la conception

La privacy by design — protection des données dès la conception — exige que la protection de la vie privée soit intégrée dans vos projets dès leur phase de conception, et non ajoutée comme une couche supplémentaire a posteriori. Concrètement, si votre PME développe un nouveau logiciel de gestion des temps de présence, les paramètres de confidentialité doivent être pensés avant le premier développement, pas après la mise en production.

La privacy by default — protection par défaut — impose que seules les données strictement nécessaires soient collectées par défaut, sans que l’utilisateur ait à effectuer des démarches supplémentaires pour restreindre l’accès à ses informations. Sur un formulaire de contact en ligne, cocher par défaut la case « recevoir notre newsletter » est une violation de ce principe.

Ces deux concepts sont directement issus de l’article 25 du RGPD. Ils ne relèvent pas d’une bonne pratique optionnelle : leur non-respect peut faire l’objet d’un contrôle par la CNIL et d’une mise en demeure. Pour une entreprise industrielle qui déploie régulièrement de nouveaux outils numériques — ERP, GMAO, portail fournisseurs — l’enjeu est particulièrement concret.

Action concrète : à chaque nouveau projet informatique, ajoutez une phase d’analyse d’impact sur la protection des données (AIPD) dans votre processus de validation interne. Cette analyse est obligatoire pour les traitements susceptibles d’engendrer un risque élevé pour les personnes concernées.

Qui est le DPO et votre entreprise est-elle obligée d’en désigner un ?

Le Délégué à la Protection des Données (DPO, ou Data Protection Officer) est le référent RGPD au sein d’une organisation. Il conseille le responsable de traitement, supervise la conformité, forme les équipes et sert de point de contact avec la CNIL. Son rôle est central dans toute démarche de mise en conformité durable. Pour en savoir plus sur ses missions précises, une analyse approfondie du rôle du DPO détaille les responsabilités qui lui incombent concrètement.

La désignation d’un DPO est obligatoire dans trois cas : lorsque le traitement est effectué par une autorité publique, lorsque les activités principales impliquent un suivi régulier et systématique des personnes à grande échelle, ou lorsque l’organisme traite à grande échelle des catégories spéciales de données. Pour une PME industrielle qui gère des données de santé au travail ou surveille des salariés via des systèmes de badgeage, la question mérite une analyse juridique sérieuse.

En dehors des cas d’obligation, désigner un DPO reste fortement recommandé. Il peut être interne (un collaborateur formé et dédié) ou externe (un prestataire spécialisé). Dans les PME de taille intermédiaire, la fonction est souvent mutualisée avec un cabinet de conseil ou un juriste spécialisé en droit des données.

Action concrète : vérifiez si votre activité déclenche l’obligation de désignation d’un DPO, et si oui, notifiez sa désignation à la CNIL via le téléservice dédié. Si vous n’êtes pas dans l’obligation, désignez a minima un référent RGPD interne pour coordonner les actions de conformité.

Comment se déroule une formation RGPD et à qui s’adresse-t-elle ?

Une formation RGPD de référence, comme celle proposée par ORSYS sous la référence TPD, se déroule sur une journée (7 heures) en présentiel ou à distance. Elle couvre les fondamentaux de la protection des données, le cadre réglementaire, les principes de confidentialité, la démarche de mise en conformité et la construction d’un plan d’action. Le prix indicatif est de 990 € H.T. par participant, avec les pauses et déjeuners inclus pour les sessions en présentiel.

Le public visé est large : correspondants Informatique et Libertés, DSI, DRH, juristes, mais aussi toute personne impliquée dans la conception de projets manipulant des données personnelles. Aucune connaissance préalable n’est requise. Pour un directeur administratif qui découvre qu’il est sous-traitant au sens du RGPD, ce type de formation est le point d’entrée idéal pour structurer une réponse opérationnelle.

La pédagogie repose sur des questions/réponses à la fin de chaque domaine, des retours d’expérience, des échanges collectifs et des QCM de positionnement en début et en fin de parcours. Cette approche permet de valider les acquis en temps réel et d’adapter le niveau aux besoins du groupe. Une option de certification DiGiTT est disponible à distance, en complément de la formation (195 € H.T. en blended), avec un examen de 90 minutes noté sur 1000 points.

Des plateformes comme Cegos protection des données personnelles proposent également des formats adaptés aux contraintes des organisations. Pour les équipes dispersées géographiquement, le format e-learning offre une flexibilité appréciable sans sacrifier la qualité des contenus.

Action concrète : inscrivez au moins un référent interne à une formation RGPD certifiante dans les 3 prochains mois, en vérifiant l’éligibilité au financement via votre OPCO. Les adhérents Mobilités bénéficient d’avantages négociés spécifiques.

Quelles sont les étapes concrètes pour se mettre en conformité avec le RGPD ?

La mise en conformité RGPD ne s’improvise pas, mais elle se structure. Elle repose sur une démarche progressive qui commence par un diagnostic de l’existant et se traduit par un plan d’action formalisé. Voici les étapes clés à suivre :

• Cartographier les traitements : identifier toutes les activités de traitement de données personnelles dans l’entreprise (RH, commercial, production, sous-traitance).
• Constituer le registre des traitements : document obligatoire qui recense pour chaque traitement : la finalité, les catégories de données, les destinataires, les durées de conservation et les mesures de sécurité.
• Évaluer les risques : réaliser une Analyse d’Impact relative à la Protection des Données (AIPD) pour les traitements à risque élevé.
• Mettre en place des mesures techniques et organisationnelles : chiffrement des données, contrôle des accès, pseudonymisation, procédures de sauvegarde.
• Informer les personnes concernées : rédiger ou mettre à jour les mentions légales, politiques de confidentialité et formulaires de consentement.
• Gérer les droits des personnes : mettre en place des procédures pour répondre aux demandes d’accès, de rectification, d’effacement ou de portabilité dans les délais légaux (1 mois maximum).
• Encadrer les relations avec les sous-traitants : signer des accords de traitement des données (DPA) avec chaque prestataire qui traite des données pour votre compte.
• Notifier les violations de données : en cas de fuite ou d’incident, notifier la CNIL dans les 72 heures et, si nécessaire, informer les personnes concernées.

Chacune de ces étapes représente un chantier à part entière. La maîtrise de la protection des données passe nécessairement par une montée en compétences des équipes en charge de ce pilotage.

Action concrète : démarrez par la cartographie des traitements en organisant un atelier interne d’une demi-journée avec les responsables de chaque département (RH, commercial, informatique, production). Ce travail collaboratif est plus efficace qu’un audit mené par un seul interlocuteur.

Quelles sanctions risquez-vous en cas de non-conformité au règlement général ?

La CNIL dispose de pouvoirs de sanction étendus depuis l’entrée en application du RGPD. Les amendes administratives peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial de l’entreprise, le montant le plus élevé étant retenu. Pour une PME réalisant 10 millions d’euros de chiffre d’affaires, cela représente jusqu’à 400 000 euros de sanction potentielle.

Au-delà des amendes, la CNIL peut prononcer des mises en demeure, des injonctions de cesser un traitement, ou rendre ses décisions publiques — ce que l’on appelle la « name and shame ». Pour une PME dont la réputation repose sur la confiance de ses donneurs d’ordre, ce risque d’image peut être plus dévastateur qu’une sanction financière.

Le tableau suivant récapitule les deux niveaux de sanctions prévus par le RGPD :

Niveau de sanction	Montant maximum	Exemples de manquements concernés
Niveau 1	10 millions € ou 2 % du CA mondial	Absence de registre des traitements, manquement aux obligations du DPO, non-respect des règles de certification
Niveau 2	20 millions € ou 4 % du CA mondial	Violation des principes fondamentaux du traitement, absence de base légale, non-respect des droits des personnes

Les contrôles de la CNIL peuvent être déclenchés par une plainte d’un salarié, d’un client ou d’un concurrent, mais aussi de manière proactive dans le cadre de campagnes sectorielles. Le secteur industriel, longtemps épargné, fait l’objet d’une attention croissante des autorités de contrôle européennes.

Action concrète : réalisez un audit de conformité interne en vous appuyant sur la liste de contrôle officielle disponible sur le site de la CNIL. Cet outil permet d’identifier rapidement les points de non-conformité prioritaires à traiter.

Quels financements existent pour former vos équipes au RGPD ?

La formation RGPD est éligible à plusieurs dispositifs de financement, ce qui réduit significativement son coût pour les PME. Les OPCO (Opérateurs de Compétences) peuvent prendre en charge tout ou partie des frais pédagogiques, selon votre secteur d’activité et les accords en vigueur. Les adhérents de certains OPCO bénéficient d’avantages tarifaires négociés directement avec les organismes de formation partenaires.

Le plan de développement des compétences de l’entreprise est le dispositif le plus couramment utilisé pour financer ce type de formation courte. Pour les PME de moins de 50 salariés, les OPCO peuvent prendre en charge les coûts pédagogiques à 100 %. Au-delà, les taux de prise en charge varient mais restent substantiels.

Le CPF (Compte Personnel de Formation) peut également être mobilisé par les salariés souhaitant se former au RGPD à titre individuel, notamment pour des parcours certifiants. Cette option est particulièrement pertinente pour les collaborateurs amenés à exercer la fonction de référent RGPD ou de DPO au sein de l’organisation.

Action concrète : contactez votre OPCO avant toute inscription pour vérifier les modalités de prise en charge applicables à votre entreprise. L’inscription doit être finalisée au moins 24 heures avant le début de la formation pour les sessions ORSYS, mais les démarches de financement nécessitent souvent un délai plus long — anticipez donc d’au moins trois semaines.

Le RGPD s’applique-t-il aux PME de moins de 250 salariés ?

Oui, le RGPD s’applique à toute organisation qui traite des données personnelles, quelle que soit sa taille. Les PME de moins de 250 salariés bénéficient de quelques allègements — notamment l’exemption de tenir un registre des traitements dans certains cas très spécifiques — mais les obligations fondamentales (base légale, droits des personnes, sécurité des données) s’appliquent intégralement.

Suis-je obligé de désigner un DPO dans mon entreprise ?

La désignation d’un DPO est obligatoire si votre activité principale consiste à effectuer un suivi régulier et systématique des personnes à grande échelle, ou si vous traitez à grande échelle des données sensibles (santé, données biométriques, etc.). Si vous n’êtes pas dans l’obligation légale, désigner un référent RGPD interne est fortement recommandé pour coordonner vos actions de conformité.

Combien de temps faut-il pour se mettre en conformité avec le RGPD ?

Il n’existe pas de délai légal fixé pour atteindre la conformité, mais la conformité est une obligation immédiate depuis le 25 mai 2018. En pratique, une PME qui démarre de zéro peut établir les bases de sa conformité (registre des traitements, mentions légales, DPA avec les sous-traitants) en 3 à 6 mois, à condition de mobiliser les bonnes ressources internes et externes.

Que se passe-t-il en cas de violation de données dans mon entreprise ?

En cas de violation de données (fuite, piratage, perte de fichiers), vous avez l’obligation de notifier la CNIL dans les 72 heures suivant la découverte de l’incident. Si la violation est susceptible d’engendrer un risque élevé pour les personnes concernées, vous devez également les informer directement. Ne pas notifier dans les délais constitue en lui-même une infraction au RGPD.

Comment financer une formation RGPD pour mes équipes ?

Les formations RGPD sont éligibles au financement via les OPCO dans le cadre du plan de développement des compétences. Les PME de moins de 50 salariés peuvent bénéficier d’une prise en charge à 100 % des coûts pédagogiques. Le CPF peut également être mobilisé par les salariés pour des parcours certifiants. Contactez votre OPCO au moins trois semaines avant la date souhaitée pour initier les démarches.