Salariés non formés au RGPD : ce que risque votre cabinet

Dans un cabinet de courtage, un cabinet de CGP, une agence immobilière ou chez un courtier en crédit, les données personnelles passent entre toutes les mains : pièces d'identité, avis d'imposition, relevés bancaires, questionnaires de santé, dossiers de candidats locataires. Ce ne sont pas les logiciels qui envoient une pièce jointe au mauvais destinataire ou qui cliquent sur un lien piégé, ce sont les collaborateurs. D'où la question que se posent beaucoup de dirigeants : si mes salariés n'ont jamais été sensibilisés au RGPD, qu'est-ce que je risque vraiment ?

La réponse honnête tient en deux temps. Le RGPD n'impose ni une formation d'une durée donnée ni une attestation annuelle : personne ne vous sanctionnera pour « 7 heures de RGPD non faites ». En revanche, il impose des mesures organisationnelles de sécurité et la capacité de démontrer votre conformité. Quand un incident survient ou qu'une plainte arrive, l'absence de sensibilisation n'est presque jamais le grief affiché, mais c'est très souvent la cause de ce qui est sanctionné. Ce guide détaille les textes, les décisions réelles de la CNIL dans vos secteurs et ce qui se passe lors d'un contrôle.

Ce que le RGPD exige réellement

Aucun article du règlement ne dit « vous formerez vos salariés tant d'heures par an ». Quatre dispositions rendent pourtant la sensibilisation difficilement contournable.

L'article 24 (responsabilité du responsable du traitement). Le cabinet met en œuvre des « mesures techniques et organisationnelles appropriées » pour s'assurer, et être en mesure de démontrer, que le traitement est effectué conformément au règlement. La formation des personnes qui manipulent les dossiers est l'une des premières mesures organisationnelles auxquelles on pense.

L'article 32 (sécurité). Son paragraphe 4 est le plus direct : le responsable du traitement et le sous-traitant « prennent des mesures afin de garantir que toute personne physique agissant sous l'autorité du responsable du traitement [...] qui a accès à des données à caractère personnel, ne les traite pas, excepté sur instruction du responsable du traitement ». Un collaborateur qui n'a reçu aucune consigne ne peut pas traiter les données « sur instruction ».

L'article 39 (missions du délégué à la protection des données). Le DPO contrôle le respect du règlement, « y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux opérations de traitement ». C'est la seule mention expresse de la formation dans le texte. La plupart des petits cabinets n'ont pas de DPO obligatoire ; le dirigeant porte alors lui-même ce pilotage.

L'article 5, paragraphe 2 (principe de responsabilité). Le responsable du traitement doit être en mesure de démontrer le respect des principes. Une sensibilisation qui n'a laissé aucune trace ne se démontre pas.

La CNIL tire les conséquences pratiques de ces textes dans sa fiche « Sécurité : impliquer et former les utilisateurs ». Elle y rappelle que les solutions techniques ne suffisent pas, recommande des sessions de sensibilisation adaptées aux fonctions, et cite parmi les erreurs à éviter le fait de ne pas former les nouveaux arrivants dont le poste implique un traitement intensif de données.

Pour les distributeurs d'assurance, un point supplémentaire : l'arrêté du 26 septembre 2018, qui fixe la liste des compétences éligibles à la formation continue DDA (article A512-8 du code des assurances), cite parmi les compétences générales le fait d'« appliquer les règles en matière de contrôle interne, de prévention des risques, de protection des données personnelles ». Une formation RGPD peut donc compter dans les quinze heures annuelles lorsqu'elle correspond à cette compétence.

Ce que la CNIL sanctionne vraiment : quatre décisions dans vos secteurs

Nous avons relu quatre délibérations publiées de la formation restreinte de la CNIL qui concernent directement l'assurance et l'immobilier. Aucune ne sanctionne « l'absence de formation » comme grief autonome : les manquements retenus portent sur la sécurité, la conservation des données, l'information des personnes. Mais les faits décrits relèvent presque tous de pratiques internes que la sensibilisation des équipes vise précisément.

Intermédiaire en assurance, 180 000 euros (SAN-2019-007, 18 juillet 2019). Un intermédiaire vendant des contrats d'assurance automobile en ligne laissait accessibles, sans authentification, les documents de ses clients : un client pouvait consulter les dossiers d'autres clients en modifiant un numéro dans l'adresse de la page, et des documents étaient indexés par les moteurs de recherche. La délibération relève notamment que la connexion à l'espace client se faisait avec le numéro client et la date de naissance, « cette seconde information valant mot de passe ». Parmi les documents exposés figuraient environ 145 000 copies de cartes d'identité, 138 000 permis de conduire et 120 000 relevés d'identité bancaire. Manquement retenu : sécurité (article 32). Amende : 180 000 euros, décision publiée.

Société de gestion immobilière, 400 000 euros (SAN-2019-005, 28 mai 2019). Les pièces transmises par des candidats à la location (cartes d'identité, cartes Vitale, avis d'imposition, relevés bancaires, actes d'état civil) étaient accessibles par une simple modification d'URL. Un utilisateur avait signalé la faille à la société en mars 2018 ; elle n'a été corrigée qu'en septembre 2018, soit environ six mois pendant lesquels près de 290 000 fichiers sont restés exposés. La société conservait en outre en base active, bien au-delà du nécessaire, les dossiers des candidats non retenus. Manquements : sécurité et durée de conservation. La CNIL a tenu compte du délai de réaction : un signalement reçu et laissé sans suite est typiquement une défaillance d'organisation interne.

Organisme d'assurance, 1 750 000 euros (SAN-2021-010, 20 juillet 2021). Un organisme d'assurance de personnes (retraite complémentaire, prévoyance, santé, épargne) a été sanctionné pour des durées de conservation excessives et pour l'information insuffisante des personnes démarchées par téléphone. Parmi les mesures correctrices décrites figurent des scripts d'appel mis à jour et des instructions écrites relatives à l'information des personnes remises à ses sous-traitants : c'est exactement le type de consigne que l'article 32, paragraphe 4, attend pour toute personne qui traite des données pour le compte du cabinet.

Agence immobilière, 40 000 euros (SAN-2024-021, 19 décembre 2024). Une agence d'environ 150 salariés surveillait l'activité de ses collaborateurs en télétravail (captures d'écran régulières) et filmait en continu, son compris, des espaces de travail et de pause. La CNIL a retenu des manquements à la minimisation, à la base légale, à l'information des salariés, à la sécurité et l'absence d'analyse d'impact. Sur la sécurité, elle relève qu'un encadrant et trois associés accédaient aux données par un compte administrateur partagé.

Le tableau des sanctions publié par la CNIL recense aussi, depuis la création de la procédure simplifiée, des décisions non publiques visant de petites structures, par exemple le 11 septembre 2025 une société de banque et d'assurance sanctionnée de 10 000 euros pour défaut d'information et non-respect du droit d'accès. Une demande d'accès d'un client laissée sans réponse parce que personne au cabinet ne sait la reconnaître suffit à ouvrir ce type de procédure.

Le tableau des sanctions

Ce que vous risquez	Texte	Qui décide	Montant ou effet
Rappel à l'ordre, injonction de mise en conformité, limitation du traitement	RGPD art. 58 ; loi n° 78-17 art. 20	Formation restreinte de la CNIL	Injonction assortie le cas échéant d'une astreinte
Amende pour manquement à la sécurité ou à la responsabilité (art. 24 à 39)	RGPD art. 83, § 4	Formation restreinte	Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial
Amende pour manquement aux principes et aux droits des personnes	RGPD art. 83, § 5	Formation restreinte	Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial
Procédure simplifiée (dossiers sans difficulté particulière)	Loi n° 78-17 art. 22-1	Président de la formation restreinte ou membre désigné	Amende jusqu'à 20 000 euros (100 000 euros au-delà de 50 millions d'euros de chiffre d'affaires), astreinte jusqu'à 100 euros par jour, décision non publique
Publicité de la sanction	Loi n° 78-17 art. 20	Formation restreinte	Publication sur le site de la CNIL et sur Légifrance
Délit de traitement sans les mesures des articles 24, 25, 30 et 32	Code pénal art. 226-17	Tribunal correctionnel	Cinq ans d'emprisonnement et 300 000 euros d'amende
Réparation du préjudice des personnes	RGPD art. 82	Juge civil	Dommages et intérêts

Deux remarques. D'abord, la procédure simplifiée a changé la donne pour les petits cabinets : elle permet de sanctionner vite, par écrit, des manquements simples comme un droit d'accès ignoré ou un défaut de sécurité basique. Ensuite, l'article 83, paragraphe 2, du RGPD fait du « degré de responsabilité [...] compte tenu des mesures techniques et organisationnelles » mises en œuvre et des mesures prises pour atténuer le dommage des critères de calcul de l'amende. Pouvoir montrer des sensibilisations réelles pèse dans le bon sens ; ne rien avoir à montrer pèse dans l'autre.

Les conséquences en chaîne, au-delà de l'amende

L'amende n'est souvent pas le coût principal. Voici ce qui se produit concrètement quand un collaborateur non sensibilisé provoque un incident.

• La notification dans les 72 heures. Une boîte mail piratée, un dossier envoyé au mauvais client, un ordinateur volé : c'est une violation de données. L'article 33 impose de la notifier à la CNIL dans les 72 heures lorsqu'elle présente un risque pour les personnes, et l'article 34 impose d'en informer les personnes lorsque le risque est élevé. Un collaborateur qui ne sait pas reconnaître une violation ne la remonte pas, et le délai court sans vous.
• Le contrôle qui suit. Une notification, une plainte ou un article de presse peut déclencher un contrôle, qui ne se limite jamais à l'incident : la CNIL regarde le registre, les durées de conservation, les contrats de sous-traitance.
• Les partenaires. Compagnies, banques, plateformes et éditeurs de logiciels exigent de plus en plus de garanties contractuelles au titre de l'article 28. Un incident chez un courtier ou un mandataire met en cause la relation.
• Les clients. Un client dont les pièces ont été exposées peut demander réparation devant le juge (article 82), indépendamment de toute sanction de la CNIL.
• La réputation. Les décisions de la procédure ordinaire sont souvent publiées, parfois nominativement. Pour un cabinet dont le métier repose sur la confiance, c'est l'effet le plus durable.