Guide Complet : Formation des Tiers au RGPD

La formation des tiers au RGPD est un élément essentiel de toute démarche de conformité. Dès qu’un prestataire accède à des données personnelles ou à un système d’information, l’organisation reste responsable des traitements réalisés. Former les tiers permet de limiter les erreurs, de mieux gérer les incidents, de respecter les délais d’alerte — notamment les 72 heures prévues pour certaines notifications à la CNIL — et de disposer des preuves attendues lors d’un contrôle.

Mais attention, ce n’est pas au Responsable de traitement d’assurer la formation des tiers au RGPD. Son obligation est de s’assurer que les tiers (sous-traitants, sous-traitants de second-rang) garantissent la confidentialité de leurs propres destinataires (les employés). La formation et la sensibilisation au RGPD des employés, salariés, stagiaires, ou bénévoles, reste la charge de l’employeur. Les Responsables de traitement doivent donc disposer d’un contrat de sous-traitance RGPD précisant les obligations des sous-traitants quant à la formation des employés.

En clair, ce guide montre trois choses :

• qui former : les employés des sous-traitants, sous-traitants ultérieurs, prestataires avec accès aux données, aux locaux ou au SI ;
• quoi leur apprendre : consignes de traitement, confidentialité, durée de conservation, gestion des accès, remontée d’incident ;
• quoi garder en preuve : DPA, attestations, feuilles d’émargement, quiz, contenu des formations, modalité de sensibilisation régulière des employés.

Le point à retenir : une formation RGPD pour les employés des tiers n’est pas un simple module e-learning. Elle doit être récurrente, et liée au niveau de risque et au rôle du prestataire.

Voici la vue d’ensemble, en version simple :

• Tous les tiers : règles de base, consignes écrites, secret, suppression ou restitution des données.
• Tiers à risque fort : modules métier selon l’accès, les volumes, la sensibilité des données.
• Moments clés : avant signature, puis chaque année, puis à chaque changement majeur ou incident.
• Contrôle : audits, tests, simulations, suivi des sous-traitants ultérieurs.
• Preuves : documents datés, scores, versions de modules, plans d’action.

Si vous voulez être prêt face à la CNIL, vous devez pouvoir sortir sans délai les preuves de formation, les contrats, les audits et le suivi des incidents.

Pourquoi la formation des tiers au RGPD est une obligation de conformité

Une fois les tiers identifiés et les risques repérés, il faut poser le cadre légal. Pour les organisations débutantes, il est essentiel de se mettre en conformité RGPD dès les premières étapes du projet. Et là, le RGPD ne laisse pas beaucoup de place au flou. Il impose de prouver la conformité. La formation des tiers entre dans cette logique : c’est une mesure d’organisation que la CNIL peut vérifier lors d’un contrôle.

La formation des tiers au RGPD selon les responsabilités de chaque acteur

L’article 28 du RGPD est sans ambiguïté : un responsable de traitement ne peut recourir qu’à des sous-traitants qui présentent des garanties techniques et organisationnelles suffisantes. La formation des équipes fait partie de ces garanties.

L’article 32 impose au responsable de traitement et au sous-traitant de mettre en place des mesures de sécurité adaptées au niveau de risque. En pratique, former les équipes permet de réduire les erreurs humaines qui mettent en danger la sécurité des traitements. Il s’agit là d’une mesure de protection par défaut.

Autre point souvent sous-estimé : le sous-traitant principal reste responsable de ses sous-traitants ultérieurs. Il doit donc vérifier qu’eux aussi sont formés. Autrement dit, le contrôle de la formation doit porter sur toute la chaîne, et pas seulement sur le prestataire direct.

L’article 39 confie aussi au délégué à la protection des données (DPO) une mission explicite de sensibilisation et de formation du personnel participant aux traitements. Cette logique va au-delà des équipes internes : les personnels des sous-traitants, eux aussi, doivent être capables d’appliquer les instructions du responsable de traitement.

Preuves attendues en cas de contrôle

En cas de contrôle, la CNIL n’attend pas de simples déclarations d’intention. Elle attend des éléments concrets, traçables, datés. Le tableau ci-dessous résume les obligations clés et les preuves à produire :

La notification à la CNIL sous 72 heures en cas de violation suppose que les tiers sachent détecter un incident et le signaler sans attendre. Dit simplement : si les équipes externes ne savent pas quoi voir, ni à qui remonter l’alerte, le respect du délai devient vite hors de portée. C’est ce cadre qui fixe le socle minimal des modules de formation présentés ci-dessous.

sbb-itb-9879cb5

Réussir la formation des tiers au RGPD pour mieux gérer les risques

Le cadre légal est posé. Maintenant, il faut le convertir en formation utile, claire et liée au rôle de chaque tiers. Cette base commune se décline ensuite selon le niveau d’accès, la sensibilité des données et la mission du prestataire.

Les modules de base pour tous les tiers traitant des données personnelles

Tout prestataire doit suivre quelques règles simples, mais non négociables.

Il doit traiter les données uniquement sur instruction documentée. Il doit aussi appliquer la confidentialité, la minimisation et les durées de conservation. Puis, au bon moment, il doit restituer ou supprimer les données selon les consignes prévues à la fin du contrat.

Il y a aussi un point très concret : le signalement des incidents. En cas de problème, le tiers doit savoir quoi signaler, à qui, et selon quelle procédure. Ce n’est pas un détail administratif. C’est un réflexe de terrain : les employés des ters doivent y être préparer.

Adapter la formation des tiers au RGPD aux prestataires les plus exposés

Pour les tiers qui accèdent à de gros volumes de données sensibles ou qui disposent d’accès techniques privilégiés, la formation de base ne suffit pas.

Plus l’accès est large, plus les données sont sensibles, plus la formation doit coller au travail quotidien. Le but n’est pas de réciter des règles. Le but, c’est de savoir quoi faire au bon moment, sans hésiter.

L’objectif n’est pas seulement de former. Il faut aussi pouvoir prouver que chaque rôle maîtrise les gestes attendus.

Sensibilisation générale ou formation métier : les différences clés

Ces deux niveaux de formation ne servent pas au même usage. Les mélanger, c’est prendre le risque d’avoir des équipes « informées » sur le papier, mais mal préparées dans les faits.

La sensibilisation générale installe des réflexes communs de protection des données. La formation métier, elle, vise l’exécution correcte de procédures précises, jour après jour.

Prenons un cas simple. Un prestataire comptable n’a pas besoin du même niveau de détail qu’un hébergeur avec accès technique profond. En revanche, il doit sécuriser les échanges, respecter les durées de conservation et appliquer strictement les consignes documentées.

Construire un programme de formation des tiers au RGPD efficace

Après le contenu, place au pilotage : il faut prioriser les tiers, fixer le bon rythme et garder des preuves.

Savoir quoi enseigner ne suffit pas. Il faut aussi trancher sur qui former d’abord, quand le faire, et comment relier cette formation aux contrats et à la gouvernance. C’est souvent là que des angles morts apparaissent.

Classer les tiers par niveau de risque et définir les exigences de formation

Le point de départ, c’est la segmentation. Le classement doit coller au niveau d’accès aux données, à la sensibilité des traitements et aux effets possibles d’un incident.

Pour les tiers critiques, les référentiels HDS, PASSI ou SecNumCloud donnent un cadre utile.

Une fois le niveau de risque fixé, le calendrier de formation devient beaucoup plus simple à poser.

Formation des tiers au RGPD : moments clés, formats et renouvellement

La formation doit suivre le cycle de vie de la relation contractuelle. Ce n’est pas un rendez-vous isolé qu’on coche une fois puis qu’on oublie. En pratique, trois moments structurent ce calendrier :

• Avant la signature : vérifiez le niveau de maturité RGPD du tiers.
• Annuellement : demandez des preuves des formations.
• À chaque changement majeur (nouvel outil, nouvelle règle, incident de sécurité) : demandez des preuves, voire actualisez le contrat de sous-traitance.

Le DPO du tiers devrait valider le calendrier, les contenus et les preuves de complétion dans le cadre d’une mise en conformité RGPD structurée.

Côté format, mieux vaut rester simple et traçable. L’e-learning, le quiz ou le micro-module font bien le travail, à une condition : chaque format doit laisser une preuve claire, avec un suivi, un score, une date et la version du module.

Relier la formation aux contrats, à la gouvernance et au DPO

La force du programme repose sur trois choses : des clauses dans les contrats, un suivi côté gouvernance et des preuves qu’on peut ressortir sans perdre de temps. Concrètement, chaque accord de traitement (DPA) doit prévoir le droit d’audit, la notification des incidents sous 24 à 72 heures, ainsi que la révocation des accès dans les 4 heures suivant la fin du contrat.

Le DPO tient une place centrale dans ce dispositif. Il valide les niveaux de formation attendus selon chaque catégorie de tiers, suit les renouvellements et fait remonter les résultats dans les rapports de gouvernance.

Comment vérifier l’efficacité de la formation et documenter la conformité

Un taux de complétion élevé, c’est bien. Mais ça ne prouve pas grand-chose à lui seul. Il faut montrer que les personnes ont compris, qu’elles appliquent les bons gestes, et que ces habitudes tiennent dans la durée. À ce stade, le sujet n’est plus seulement de former. Il s’agit de prouver que la formation change les pratiques.

Les documents à conserver pour les audits

Chaque étape du programme doit laisser une trace claire, simple à retrouver, et utilisable en cas de contrôle. En pratique, quatre familles de preuves sont à archiver :

En fin de contrat, pensez aussi à archiver la checklist de sortie : révocation des accès, restitution ou destruction certifiée des données.

Les contrôles pour vérifier que la formation fonctionne réellement

Les documents prouvent que la formation a eu lieu. Les contrôles, eux, montrent si elle produit un effet sur le terrain.

L’idée est simple : vérifier que les gestes attendus dans les modules métier sont bien appliqués. Des audits ciblés peuvent servir à contrôler, par exemple, l’usage de l’authentification multifacteur (MFA), l’emploi de comptes individuels non partagés, ou encore le chiffrement des sauvegardes et des transferts.

C’est là que les écarts sautent aux yeux. Un prestataire sans procédure de notification d’incident ne présente pas juste un manque d’organisation. Il crée aussi un risque contractuel et réglementaire, nécessitant parfois une assistance RGPD d’urgence. Pour les tiers les plus critiques, les exercices de simulation d’incident sont utiles : ils permettent de tester la réactivité réelle et la capacité à respecter le délai de notification prévu au contrat.

Le contrôle ne doit pas s’arrêter au prestataire direct. Il doit aussi couvrir la chaîne de sous-traitance. Vérifiez que vos prestataires imposent les mêmes exigences à leurs propres sous-traitants, avec des DPA à jour.

Les points clés d’un programme solide face à la CNIL

Un programme solide repose sur trois piliers :

• des formations calibrées selon le niveau de risque et les obligations légales ;
• des contenus ancrés dans des scénarios RGPD concrets ;
• une documentation structurée, capable de tenir lors d’un contrôle.

En face de la CNIL, il faut pouvoir sortir les bons éléments sans bricoler au dernier moment : attestations de formation, rapports d’audit, et registre des sous-traitants avec indication de leur niveau de formation.

FAQs

Comment prioriser les tiers à former ?

Commencez par faire la liste de tous vos partenaires. Ensuite, classez chaque tiers selon son niveau de risque : type de données traitées, niveau d’accès à votre système d’information, et impact possible en cas de faille.

Les prestataires critiques, qui disposent d’un accès privilégié ou qui traitent des données sensibles, doivent être formés en priorité. Cette cartographie vous aide à organiser une sensibilisation ciblée, claire et dans la durée.

Quelles preuves conserver pour la CNIL ?

Constituez un dossier de preuves à jour pour montrer votre conformité sur les risques liés aux tiers.

Conservez en particulier :

• les contrats avec des clauses de traitement des données conformes à l’article 28 du RGPD ;
• les attestations de conformité de vos prestataires ;
• les évaluations de risques, les audits de sécurité, les certifications et la cartographie des flux de données.

Ajoutez aussi les preuves de votre surveillance continue et, si besoin, celles de la formation de vos collaborateurs.

Que faire si un sous-traitant refuse de se former ?

S’il refuse de se former, il remet en cause sa propre conformité… et la vôtre par ricochet. En tant que responsable de traitement, vous devez donc réévaluer le niveau de risque lié à ce prestataire et, si besoin, envisager une mise en demeure prévue au contrat.

Le contrat doit aussi poser un cadre clair. Prévoyez des clauses obligatoires, dont un droit d’audit, afin d’encadrer ses pratiques et de limiter votre exposition juridique en cas de manquement.