Formation au RGPD pour le personnel : ce qu’attendent la loi britannique et l’ICO

La formation à la protection des données est celle que la plupart des entreprises considèrent comme « une exigence du RGPD ». La loi est moins directe que cela, mais les attentes de l’ICO sont précises. Voici ce que disent le RGPD britannique et l’ICO, cité de legislation.gov.uk et ico.org.uk du 19 octobre 2026. L’ICO note que ces pages sont en cours d’examen après la loi sur les données (utilisation et accès) (Data (Use and Access). Il s’agit d’un résumé, pas d’un avis juridique.

Points clés

• Il n’existe pas d’article autonome « former tout le personnel », mais les obligations de sécurité du RGPD britannique en font la voie attendue.
• Intégration avant l’accès : l’ICO s’attend à une formation avant que le personnel ne traite les informations personnelles.
• Remise à niveau à intervalles appropriés ; pas de nombre fixe.
• Un test de connaissances avec une note minimale de réussite, affirme l’ICO.
• Tout le monde, y compris les cadres supérieurs, les employés temporaires et contractuels.

Ce que dit le RGPD britannique

L’article 32(4) stipule que le responsable de la charge et le traiteur « doivent prendre des mesures pour s’assurer que toute personne physique agissant sous l’autorité du responsable ou du traiteur ayant accès aux données personnelles ne les traite que sur instructions du responsable du traitement ». Lorsque vous avez un responsable de la protection des données, l’article 39 liste parmi leurs tâches la surveillance de la conformité, « y compris l’attribution des responsabilités, la sensibilisation et la formation du personnel impliqué dans les opérations de traitement ». Le guide de l’ICO sur la sécurité des données stipule : « Vous devez fournir une formation initiale et de remise à niveau appropriée ».

Ce que l’ICO attend lors de l’intégration

La boîte à outils d’audit de l’ICO sur la formation à l’intégration avertit que « permettre au personnel de commencer à travailler avec des informations personnelles avant de suivre une formation d’intégration augmente considérablement le risque de violation de données personnelles. Cela pourrait violer les articles 5(1)(f) et 32 du RGPD britannique. » Ses attentes incluent :

• « Assurez-vous que le personnel a terminé la formation d’intégration avant d’être autorisé à traiter les informations personnelles. »
• « Exiger que tous les grades, y compris les cadres supérieurs, suivent une formation d’intégration. »
• « Dispenser une formation d’intégration à tout le personnel, y compris volontaire, temporaire et sous contrat. »
• Couvrir « la gestion des demandes, le partage de données, la sécurité de l’information, les violations de données personnelles et la gestion des dossiers ».

Entraînement de remise à niveau et démonstration

Lors de la formation de remise à niveau, la boîte à outils indique : « Exiger que le personnel complète une formation de remise à niveau à des intervalles appropriés » et « Documenter la dernière fois que le personnel a reçu une formation de remise à niveau en tenant des dossiers complets et à jour. » Les deux pages indiquent également : « Évaluer la compréhension du personnel de la formation à l’aide d’un contrôle des connaissances avec une note minimale de réussite. »

Ainsi, les preuves qu’un auditeur recherche sont simples : qui a complété quel module, quand, et s’il a réussi.

Transformez vos diapositives sur la protection des données en cours

Reigniter transforme votre dossier de protection des données existant en un court module interactif : une voix off, vos diapositives et une question à chaque étape, comme « un client e-mail demandant ses données : que faites-vous ? », avec des embranchements pour les mauvaises réponses. Votre premier module est gratuit et partagé par lien. Sur les forfaits tarifaires payants, les apprenants se connectent, vous fixez une note de passage, et vous voyez le résultat et le certificat de chaque personne, qui est l’enregistrement décrit par l’ICO ; voir la formation sans LMS.

Pour la sécurité incendie, les écrans d’affichage, la manipulation manuelle, le COSHH et l’induction, consultez la formation requise par la loi britannique.