Un dossier transmis sans occultation, un courriel groupé envoyé en clair. Deux gestes de bureau parfaitement ordinaires, deux vies bouleversées. Une autorité européenne a adressé le 5 août 2026 une injonction assortie d’un blâme à un service de police pour manquement à ses obligations de sécurité. Derrière les deux incidents, l’enquête a trouvé la même cause racine, et elle n’a rien de technique : une formation obligatoire massivement délaissée, sans suivi ni gouvernance.
Que s’est-il passé dans les deux incidents ?
Le premier relève d’une procédure de protection contre le harcèlement. Un agent a remis au défendeur des documents non occultés. À l’intérieur : la nouvelle adresse et le nouveau numéro de téléphone de la victime, qui avait précisément déménagé et changé de ligne à cause des risques encourus, ainsi que les noms et coordonnées de trois témoins. L’homme a ensuite contacté la victime sur son nouveau numéro, en précisant que les documents venaient de la police.
Le second concerne une affaire de piégeage visant des personnes liées au Parlement. Pour signaler un changement de date, un agent a écrit à toutes les personnes concernées en plaçant leurs adresses dans le champ des destinataires visibles. Chacun des dix-huit destinataires pouvait identifier les autres. Le corps du message ne révélait rien, mais le contexte suffisait : figurer dans cette liste permettait d’inférer une information hautement sensible.
C’est le point que beaucoup d’organisations manquent. La simple appartenance à une liste de diffusion peut constituer, à elle seule, une divulgation de donnée sensible.
Pourquoi la formation devient-elle le grief central ?
Parce que l’autorité a cherché la cause plutôt que la faute. Les deux erreurs ne sont pas des accidents isolés mais le reflet de faiblesses structurelles dans les politiques, les procédures et les dispositifs de contrôle.
Les chiffres sont parlants. L’agent à l’origine du courriel groupé n’avait suivi aucune formation à la protection des données depuis plus de quatre ans. Son supérieur hiérarchique, presque quatre ans également. Les taux de complétion de la formation obligatoire étaient faibles, ce que l’organisme a lui même reconnu.
La formule retenue par l’autorité mérite d’être affichée en comité de direction : des politiques et des rappels ne suffisent pas s’ils ne sont ni suivis, ni contrôlés, ni appliqués. La transposition au RGPD est immédiate. La formation n’est pas un confort de sensibilisation, c’est une mesure organisationnelle exigible au titre de l’article 32, et son taux de complétion est un indicateur de conformité à part entière. Notre guide sur l’organisation de la sensibilisation en entreprise détaille comment le construire.
Des mesures correctives suffisent-elles à éviter la sanction ?
Non, et le dossier le montre bien. L’organisme avait pourtant réagi.
- Notification des personnes concernées et soutien renforcé à la victime.
- Formation spécialisée supplémentaire pour les agents concernés.
- Contrôle qualité en plusieurs étapes pour les procédures de protection.
- Rappel général sur la formation obligatoire.
- Déploiement d’un outil d’alerte qui prévient l’agent lorsqu’un courriel part vers de multiples destinataires externes.
L’autorité en a tenu compte, mais a jugé l’ensemble inachevé : les taux de formation restaient bas et plusieurs mesures annoncées n’étaient ni déployées ni éprouvées. D’où l’injonction, avec des obligations à trois et douze mois portant sur la complétion des formations, leur suivi et la gouvernance.
Annoncer une mesure ne vaut pas l’avoir mise en oeuvre. C’est la différence entre un plan d’action et une preuve.
Quels garde-fous mettre en place ?
Trois chantiers ressortent du dossier, et aucun ne demande un budget significatif.
| Risque | Garde-fou humain | Garde-fou technique |
|---|---|---|
| Transmission de pièces à un tiers | Procédure d’occultation avec double regard avant envoi | Modèle de document occulté, contrôle de version |
| Envoi groupé | Règle d’or : copie cachée par défaut, canaux individuels si le contexte est sensible | Alerte avant envoi multiple externe |
| Formation non suivie | Taux de complétion suivi en instance de direction, avec relances | Blocage d’accès applicatif en cas de retard |
La deuxième ligne mérite une précision. La copie cachée par défaut ne suffit pas dans les contextes réellement sensibles : quand la seule appartenance à la liste révèle une information, il faut des envois individuels, sans exception. Ces réflexes prolongent ce que décrit notre analyse sur la réduction du risque d’erreur humaine.
Le point qui coince en audit n’est pas la politique de formation, c’est de démontrer qui l’a suivie, quand, et ce qui a été fait des retardataires. DPO SUITE rattache les actions de sensibilisation au traitement qu’elles protègent, avec leur taux de complétion, ce qui transforme une intention en élément de preuve.
En quoi cela concerne un organisme privé ?
Parce que les deux gestes sanctionnés se pratiquent partout. Un service des ressources humaines qui transmet un dossier à un conseil, un cabinet médical qui envoie une convocation collective, une association qui informe ses adhérents d’une réunion sensible : la mécanique est identique.
Le contexte policier rend simplement les conséquences plus visibles. Il ne rend pas le manquement plus grave en droit. Ce sont rarement les systèmes qui trahissent, ce sont les gestes quotidiens non encadrés, et c’est ce que la sensibilisation interne a précisément pour objet de corriger.
Un dernier point pour les délégués : chacun de ces incidents constitue une violation de données à qualifier et, selon le risque, à notifier. Les inscrire au registre des violations n’est pas optionnel, même quand une seule personne est touchée.
FAQ
Un envoi en copie visible constitue-t-il toujours une violation ?
Il constitue une violation dès lors que les adresses divulguées sont des données personnelles, ce qui est presque toujours le cas. La gravité dépend ensuite du contexte : une liste d’inscrits à une newsletter n’a pas la même portée qu’une liste de personnes liées à une procédure sensible ou à une pathologie.
À quelle fréquence former les équipes ?
Un rythme annuel constitue le minimum défendable, avec une formation d’entrée pour tout nouvel arrivant et un module spécialisé pour les fonctions les plus exposées. Le point décisif n’est pas la fréquence affichée mais le taux de complétion réel, mesuré et relancé, que l’autorité regardera en priorité.
Faut-il occulter systématiquement les données de tiers ?
Oui, sauf lorsque leur communication est nécessaire à la finalité et prévue par un texte. La règle pratique est l’occultation par défaut, levée seulement sur décision motivée. L’inverse, la communication par défaut avec occultation à la demande, produit exactement les incidents décrits dans cette affaire.
Une alerte technique dispense-t-elle de la formation ?
Non, les deux se complètent. L’alerte rattrape l’inattention, la formation évite la décision erronée. Un agent formé qui reçoit une alerte comprend pourquoi elle s’affiche. Un agent non formé la referme par réflexe, ce qui neutralise l’investissement technique en quelques semaines d’usage.
Le taux de formation doit-il figurer au tableau de bord ?
Oui, c’est l’un des rares indicateurs à la fois simple à produire, directement lié à une obligation et compréhensible par une direction. Il gagne à être décliné par population exposée plutôt que présenté en moyenne globale, qui masque toujours les services les plus en retard.
