Sensibilisation au RGPD : une vidéo par geste du quotidien

Ce guide s’adresse aux DPO, juristes, RH et responsables formation qui veulent que les règles de protection des données soient appliquées au poste de travail, pas seulement connues. Il rappelle d’où vient l’obligation, puis propose le plan d’une série de vidéos.

D’où vient l’obligation de sensibiliser

En une phrase : le RGPD charge le délégué à la protection des données de la sensibilisation et de la formation du personnel, et impose que toute personne qui accède à des données ne les traite que sur instruction.

• Article 39, paragraphe 1, point b. Parmi les missions du DPO : contrôler le respect du règlement, y compris en ce qui concerne « la sensibilisation et la formation du personnel participant aux opérations de traitement ».
• Article 32, paragraphe 4. Le responsable du traitement prend des mesures pour que toute personne agissant sous son autorité et ayant accès à des données personnelles ne les traite que sur instruction.
• Article 24. Le responsable de traitement doit pouvoir démontrer que le traitement est conforme : garder la trace des actions de sensibilisation en fait partie.
• La CNIL range la formation des utilisateurs parmi les précautions élémentaires de son guide de la sécurité des données personnelles, et recommande d’adapter les campagnes aux destinataires.

Ce qu’une bonne série RGPD couvre

Les grands principes (licéité, minimisation, durée de conservation) parlent aux juristes. Pour tout le monde, partez des gestes. Six vidéos d’une minute :

1. Envoyer un fichier. Un tableur de clients part par email à la mauvaise adresse. Ce qu’il fallait faire : vérifier le destinataire, partager un lien protégé plutôt qu’une pièce jointe. Et ce qu’il faut faire maintenant : prévenir le DPO tout de suite, car une violation de données se notifie à la CNIL dans les 72 heures quand elle présente un risque (article 33).
2. Collecter juste ce qu’il faut. Un formulaire qui demande la date de naissance « au cas où ». La règle : une donnée sans usage prévu ne se collecte pas.
3. Répondre à une demande d’accès. Un client demande quelles données vous avez sur lui. Le réflexe : transmettre au DPO, le délai court (un mois, article 12).
4. Ranger et effacer. Le dossier « Ancien » sur le bureau partagé. Les durées de conservation existent, et les copies locales aussi.
5. Les outils non autorisés. Copier des données clients dans un outil en ligne non validé, assistant d’IA compris, c’est les faire sortir de l’entreprise.
6. Qui contacter. Le nom du DPO, son adresse, et la phrase à retenir : « dans le doute, on demande avant ».

Chaque vidéo suit la même structure : la situation, l’erreur, le bon geste, la personne à contacter.

Le faire avec EducPilot en trois étapes

1. Déposez vos documents : la politique de protection des données, la procédure de gestion des violations, le registre des traitements si vous voulez des exemples concrets (retirez-en les données personnelles avant de le déposer). Vous pouvez aussi indiquer une page de la CNIL comme source.
2. Validez le plan. Vérifiez les délais et les noms : chaque phrase de la vidéo est reliée au passage de vos documents qui la justifie.
3. Corrigez en annotant, puis diffusez. Le DPO relit depuis un lien, sans compte, et pose ses notes sur l’image (« préciser : 72 heures après en avoir pris connaissance »). Export MP4 1080p, 16:9 ou 9:16.

Ce que la vidéo ne remplace pas

• La formation approfondie des équipes qui traitent des données sensibles (santé, RH, paie).
• Les procédures écrites, auxquelles chaque vidéo renvoie.
• L’avis de votre DPO sur les cas particuliers.

Sources

• Règlement (UE) 2016/679 (RGPD), texte officiel sur EUR-Lex, articles 12, 24, 32, 33 et 39.
• CNIL, Guide de la sécurité des données personnelles, édition 2024, fiche 3 « Impliquer et former les utilisateurs ».
• CNIL, Suivi des modifications du guide de la sécurité (adaptation des campagnes aux destinataires, exercices de simulation).