— Art. 39 RGPD & Accountability —
Les outils et les documents ne suffisent pas. La protection des données repose sur chaque personne qui les manipule au quotidien — de l'agent d'accueil au médecin. Une fuite de données causée par un comportement non formé engage la responsabilité de la structure.
L'obligation légale
Le RGPD ne prescrit pas de formation obligatoire sous ce terme — mais il impose au responsable de traitement de démontrer sa conformité (principe d'accountability, Art. 5.2) et au DPO de "sensibiliser et former le personnel" (Art. 39.1(b)). En pratique, toute structure qui ne forme pas ses équipes ne peut pas démontrer sa conformité.
Accountability
Le principe d'accountability (Art. 5.2 RGPD) impose de pouvoir prouver que les obligations sont respectées. Former les équipes et en conserver la trace (attestations, supports, date) fait partie des preuves exigibles par la CNIL lors d'un contrôle.
Responsabilité humaine
Email envoyé au mauvais destinataire, pièce jointe médicale partagée par erreur, mot de passe communiqué à un collègue, dossier oublié sur une imprimante… En santé, les erreurs humaines représentent la première cause de violations déclarées à la CNIL.
Responsabilité de la structure
Lorsqu'une violation est causée par un comportement non formé, la CNIL examine si la structure avait mis en place des mesures préventives. L'absence de formation est retenue comme circonstance aggravante dans les décisions de sanction.
Les publics cibles
Toute personne qui traite — ou pourrait traiter — des données personnelles dans le cadre de ses fonctions doit recevoir une sensibilisation adaptée à son rôle. Le contenu et le format de la formation varient selon le niveau d'exposition et les responsabilités de chacun.
Professionnels de santé
Secret médical & RGPD, partage de données entre professionnels, droits d'accès des patients à leur dossier, signalement de violations.
Personnel administratif
Manipulation des données d'état civil, des coordonnées et des informations de couverture maladie. Premier contact avec les demandes d'exercice de droits.
Référents informatiques
Gestion des habilitations et des accès, sécurité des postes de travail, détection et déclaration d'incidents de sécurité, HDS.
Direction & gouvernance
Obligations légales du responsable de traitement, responsabilité en cas de sanction, pilotage de la conformité, nomination du DPO.
Intervenants extérieurs
Toute personne ayant accès à des données personnelles — même ponctuellement — doit recevoir une sensibilisation minimale et signer un engagement de confidentialité.
Chargés de coordination
Gestion des échanges de données entre professionnels, partage via messagerie sécurisée, accès aux outils partagés (agenda, DMP, outils de coordination).
Contenus de formation
Une formation RGPD générique ne suffit pas pour le secteur de la santé. Les spécificités des données de santé, du secret médical, de l'hébergement agréé HDS et des droits des patients imposent un contenu adapté au contexte sanitaire et médico-social.
Qu'est-ce qu'une donnée personnelle ? Qu'est-ce qu'une donnée de santé ? Quelles obligations s'appliquent à votre structure ? Qui est responsable de quoi ?
Droit d'accès, de rectification, d'effacement, de portabilité, d'opposition… Chaque membre de l'équipe peut être sollicité par un patient. Il doit savoir quoi répondre et à qui transmettre la demande.
Mots de passe, messagerie sécurisée, partage de fichiers, postes de travail, impressions… La plupart des violations commencent par un geste anodin d'une personne non sensibilisée.
Chaque membre de l'équipe peut être le premier à détecter une violation (email mal envoyé, accès anormal, fichier disparu). Il doit savoir le reconnaître et le signaler immédiatement — le délai de 72h pour la CNIL commence dès que la structure "a connaissance" de la violation.
HDS, MSSanté, espace numérique de santé, DMP : les outils et obligations spécifiques au secteur sanitaire ont des implications directes sur les pratiques quotidiennes de tous les membres de l'équipe.
Tout membre de l'équipe accédant à des données personnelles — salarié, prestataire, bénévole ou stagiaire — doit signer un engagement de confidentialité. Sa valeur juridique dépend de sa précision et de son articulation avec le RGPD.
La formation doit être renouvelée régulièrement et systématiquement proposée lors de l'arrivée d'un nouveau membre de l'équipe. En cas de contrôle CNIL, l'absence de formation récente des équipes — même si une première session a eu lieu — peut être retenue comme manquement à l'obligation de sécurité.
Pour une formation vraiment adaptée
Les modules RGPD génériques disponibles en ligne ne tiennent pas compte des spécificités du secteur de la santé, des outils utilisés, ni de votre organisation. Seul un intervenant qui connaît votre structure peut construire une formation réellement utile et défendable.
Le DPO a pour mission légale de former le personnel (Art. 39.1(b) RGPD). Cette formation gagne en valeur et en efficacité lorsqu'elle s'appuie sur la connaissance précise de vos traitements, de vos outils et de votre organisation.
— Passez à l'action —
RGPD Santé conçoit et anime les formations de sensibilisation de vos équipes — adaptées à votre structure, à vos outils et aux profils de vos collaborateurs. Chaque session produit les preuves d'accountability dont vous avez besoin.