Une bonne formation RGPD pour indépendants et TPE vous apprend l’essentiel du règlement général sur la protection des données, le règlement (UE) 2016/679 : quelles données personnelles vous traitez, sur quelle base, quels principes respecter, quels droits ont vos clients et quelles mesures de base vous protègent, vous et eux. Inutile d’être juriste.
Voici les notions clés, les sept principes, les droits des personnes, les mesures de base et les formats de formation comparés. Ce sont des informations générales, pas un conseil juridique.
Le RGPD vous concerne-t-il ?
Oui, si vous traitez des données de personnes dans votre activité professionnelle : noms, e-mails et téléphones de clients, factures, CV. Le RGPD n’exclut que les activités strictement personnelles ou domestiques, et votre fichier clients n’en fait pas partie.
Il s’applique aux traitements réalisés par un établissement situé dans l’Union européenne, mais aussi aux entreprises hors UE qui proposent des biens ou des services à des personnes se trouvant dans l’UE ou qui suivent leur comportement. En France, il est complété par la loi Informatique et Libertés du 6 janvier 1978, modifiée depuis.
Quatre notions à maîtriser
- Donnée personnelle : toute information se rapportant à une personne physique identifiée ou identifiable. Un e-mail avec nom et prénom en est une, un numéro de téléphone aussi.
- Traitement : presque tout ce que vous faites avec ces données : les collecter, les conserver, les consulter, les transmettre, les effacer.
- Responsable du traitement : celui qui décide pourquoi et comment les données sont traitées. Pour vos clients, c’est vous.
- Sous-traitant : celui qui traite des données pour le compte du responsable, comme votre expert-comptable ou l’hébergeur de votre site. Le RGPD impose d’encadrer cette relation par un contrat.
Les 7 principes du RGPD (article 5)
| Principe | Ce qu’il signifie | Au quotidien |
|---|---|---|
| Licéité, loyauté et transparence | Vous avez une base légale et expliquez clairement ce que vous faites des données | Votre site et vos formulaires indiquent qui vous êtes et à quoi servent les données |
| Limitation des finalités | Vous collectez pour des finalités précises et explicites, sans usage incompatible | L’e-mail d’une facture ne sert pas à la prospection sans base adaptée |
| Minimisation des données | Vous ne demandez que le nécessaire | Votre formulaire de contact ne demande pas la date de naissance |
| Exactitude | Les données sont à jour et corrigées si elles sont fausses | Vous mettez à jour la fiche quand un client déménage |
| Limitation de la conservation | Vous ne gardez pas les données plus longtemps que nécessaire | Vous supprimez les CV d’un recrutement terminé depuis longtemps |
| Intégrité et confidentialité | Vous les protégez par des mesures de sécurité appropriées | Mots de passe robustes, double authentification, accès restreint aux fichiers |
| Responsabilité | Vous respectez le règlement et pouvez le démontrer | Vous gardez une trace de vos choix, mentions et contrats |
Sur quelle base traitez-vous chaque donnée ? L’article 6 en prévoit six : consentement, exécution d’un contrat, obligation légale, sauvegarde des intérêts vitaux, mission d’intérêt public et intérêt légitime. Tout ne repose pas sur le consentement : pour facturer un client, la base est le contrat et vos obligations légales.
Les droits des personnes concernées
Toute personne dont vous traitez les données a le droit :
- d’être informés clairement du traitement ;
- d’accéder à leurs données et d’en obtenir une copie ;
- de faire rectifier des données inexactes ;
- d’obtenir leur effacement (le « droit à l’oubli »), dans les cas prévus par le règlement ;
- de demander la limitation du traitement ;
- à la portabilité des données fournies, lorsque le traitement repose sur le consentement ou un contrat et est automatisé ;
- de s’opposer au traitement, par exemple à la prospection ;
- de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé qui les affecte de manière significative, sauf exceptions.
Vous devez répondre dans les meilleurs délais et au plus tard dans un mois, délai prolongeable de deux mois pour des demandes complexes ou nombreuses, à condition de prévenir la personne dans le premier mois.
Les mesures de base pour un indépendant ou une TPE
- Faites l’inventaire : quelles données, de qui, pour quoi, où elles sont et qui y accède.
- Informez : des mentions claires sur votre site, vos formulaires et vos contrats.
- Vérifiez vos prestataires : s’ils traitent des données pour vous, signez un contrat de sous-traitance.
- Sécurisez les accès : mots de passe uniques, double authentification, appareils verrouillés et sauvegardes. Voir notre guide de la formation cybersécurité en ligne.
- Supprimez ce dont vous n’avez plus besoin et fixez une durée de conservation par type de données.
- Prévoyez un plan en cas de violation : le RGPD impose de la notifier à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures, sauf si elle est peu susceptible d’engendrer un risque pour les personnes.
- Formez ceux qui traitent les données : c’est l’une des mesures organisationnelles les plus courantes. Vous et vos collaborateurs devez savoir quoi faire.
Erreur classique : écrire à plusieurs clients avec toutes les adresses visibles. Utilisez la copie cachée. Une faute de niveau un, évitée en un clic.
Les formats de formation RGPD comparés
| Format | À quoi il sert | Pratique | Pertinent si… |
|---|---|---|---|
| Guides gratuits des autorités de contrôle | Consulter des critères et des modèles | Faible | Vous cherchez une réponse précise |
| Formation en ligne en vidéo | Comprendre le règlement de façon structurée | Faible à moyenne | Une théorie bien expliquée vous suffit |
| Atelier en présentiel | Poser les questions de votre secteur | Moyenne | Vous pouvez y consacrer une journée |
| Simulateur ou parcours interactif | Appliquer les règles à des situations du quotidien | Élevée | Vous voulez transformer la théorie en réflexes |
| Conseil juridique spécialisé | Mettre votre activité et vos documents en conformité | Ce n’est pas une formation | Votre cas doit être examiné |
Où se situe Game Strategies
Parmi nos formations sur l’environnement de travail sûr, Classified (1 h 30) fait de la formation RGPD une mission. Steve décroche le poste de ses rêves, mais une erreur avec les données pourrait couler l’entreprise. En quatre modules, vous voyez les notions de base, les principes et les acteurs ; les rôles et responsabilités ; les droits des personnes concernées ; et les règles pour protéger les données au quotidien. Exercices pratiques et feedback immédiat à la clé.
Le complément logique est Crypt0 (2 h), sur la cybersécurité : phishing, mots de passe, double authentification, mobile et Wi-Fi public. Et si vous utilisez des outils d’IA avec des données clients, c’est aussi un traitement : nos formations à l’intelligence artificielle et notre article sur l’AI Act et la formation à l’IA en entreprise vous donnent le contexte.
Tout est inclus dans la licence annuelle à 299 € par personne (TVA incluse) : un an d’accès aux 71 formations du catalogue, un paiement unique sans renouvellement automatique et un certificat de fin de formation pour chaque parcours, à ajouter à LinkedIn. Pour une petite équipe, le tableau de bord d’administration permet d’attribuer les formations et de suivre la progression. Classified vous forme, mais ne remplace pas un conseil juridique.
Questions fréquentes
La formation RGPD est-elle obligatoire ?
Le RGPD n’impose pas de formation précise, mais il exige des mesures techniques et organisationnelles appropriées pour protéger les données. Former les personnes qui les traitent fait partie des mesures organisationnelles les plus courantes.
Dois-je désigner un délégué à la protection des données ?
La plupart des indépendants, non. Le RGPD l’exige dans des cas précis, comme les autorités publiques ou le traitement à grande échelle de catégories particulières de données, et le droit national peut en prévoir d’autres.
Le certificat prouve-t-il que mon entreprise est conforme au RGPD ?
Non. C’est un certificat de fin de formation : il atteste que vous avez suivi le parcours. La conformité dépend de la façon dont votre entreprise traite réellement les données.