Formation RGPD salariés : répondre aux demandes réelles

Une formation RGPD pour les salariés doit les préparer aux situations réelles. Cela couvre la demande d'accès reçue par téléphone, l'appelant qui réclame des informations sur un tiers et l'identité à vérifier sans froisser. Réponse courte : le salarié reconnaît la demande, vérifie l'identité de façon proportionnée, ne donne rien sur un tiers et transmet au bon interlocuteur.

Le règlement ne se joue pas seulement dans le service juridique. Il se joue au guichet, à l'accueil, au service client, dans la conversation. Cet article présente les règles utiles, puis une méthode pour les entraîner à voix haute.

Que doit savoir un salarié du RGPD au quotidien ?

Un salarié n'a pas besoin de réciter le règlement (UE) 2016/679. Il doit retenir quelques repères qui déclenchent le bon réflexe.

• Une demande de droit d'accès peut arriver partout. Par courriel, courrier, formulaire, mais aussi à l'oral. Le texte de l'article 12 ne prévoit pas de formalité particulière.
• Le délai est court. Selon l'article 12, paragraphe 3, le responsable de traitement répond au plus tard dans un mois à compter de la réception. Ce délai peut être prolongé de deux mois si la complexité ou le nombre de demandes l'exige. La personne doit alors en être informée dans le premier mois.
• L'identité se vérifie en cas de doute. L'article 12, paragraphe 6, permet de demander des informations supplémentaires lorsqu'il existe des doutes raisonnables sur l'identité du demandeur.
• Les tiers sont protégés. Le droit d'obtenir une copie ne doit pas porter atteinte aux droits et libertés d'autrui (article 15, paragraphe 4).

Le règlement confie aussi au délégué à la protection des données la sensibilisation et la formation du personnel (article 39, paragraphe 1, point b). La formation des salariés relève donc de la gouvernance.

Comment réagir à une demande d'accès reçue par téléphone ?

La CNIL détaille la réponse à une demande de droit d'accès sur son site, sans traiter spécifiquement le cas du téléphone. Elle évoque la demande sur place, la demande écrite et la demande électronique. À l'oral, l'enjeu est de ne pas laisser la demande se perdre.

Voici une trame en cinq étapes.

1. Reconnaître la demande. « Si je comprends bien, vous souhaitez obtenir une copie des données que nous détenons sur vous. »
2. La prendre en compte. « Je l'enregistre dès maintenant. Vous recevrez une réponse dans le délai d'un mois. »
3. Vérifier l'identité de façon proportionnée. Voir la section suivante.
4. Orienter vers la procédure interne. « Je transmets votre demande à l'équipe chargée de ces demandes, qui reviendra vers vous. »
5. Tracer. Date de l'appel, nature de la demande, personne qui a transmis. Le délai se compte à partir de la réception.

Le salarié ne communique pas lui-même les données par téléphone. Il ne dit pas non plus « nous n'avons rien sur vous » sans vérification. Le circuit de réponse appartient à l'équipe désignée, qui connaît les systèmes et les exceptions.

Vérifier l'identité de l'appelant sans exagérer

La CNIL rappelle qu'il n'est pas nécessaire de demander une pièce d'identité par principe. L'identité peut être établie par tout moyen, par exemple un numéro client. En cas de doute raisonnable, il est possible de demander un justificatif. Le niveau de vérification dépend de la nature de la demande et de la sensibilité des données.

Au téléphone, le salarié ne voit pas son interlocuteur et ne dispose pas toujours d'un espace authentifié. Ce contexte peut justifier une vérification plus poussée pour des données sensibles. Elle doit rester proportionnée, sans collecter plus de données que nécessaire.

Des phrases utilisables :

« Pour protéger vos données, je dois m'assurer que je parle bien à la personne concernée. Pouvez-vous me donner votre numéro client ? »

« Je ne peux pas communiquer ces informations par téléphone. Je vous rappelle sur le numéro figurant dans votre dossier. »

Le contre-appel suit la logique expliquée dans l'article sur la procédure de rappel par un canal indépendant. Les questions de vérification d'identité ont leurs limites : certaines informations sont publiques. L'article sur la vérification de l'identité d'un appelant les détaille.

Que répondre à un appelant qui veut des informations sur quelqu'un d'autre ?

C'est la situation où le risque est le plus élevé. Un conjoint, un proche, un « collègue de la personne », un prétendu service officiel demandent une adresse, un numéro ou un statut. La CNIL cite l'exemple du conjoint ou du collègue dans sa vérification des droits des tiers.

Un malveillant peut utiliser ce canal pour préparer une arnaque : plus il obtient de détails sur une personne, plus l'appel suivant sera crédible. Imaginons un appelant qui se présente comme le conseiller d'un client. Il demande « juste » une date de naissance pour « finaliser un dossier ».

La réponse tient en trois phrases.

« Je ne peux pas communiquer d'informations concernant une autre personne. »

« Si cette personne le souhaite, elle peut nous contacter directement. »

« Je vous indique la procédure pour les demandes officielles. »

Le salarié n'a pas à débattre, ni à expliquer pourquoi il refuse. Plus il se justifie, plus il donne de prise à l'insistance. Voir notre article sur dire non au téléphone sous pression.

Les erreurs fréquentes des salariés

• Répondre dans l'instant pour être aimable. Donner une information « juste pour dépanner » est précisément le cas à éviter.
• Ignorer la demande faute de formulaire. Une demande orale existe. Le délai court même si personne ne l'a notée.
• Exiger une pièce d'identité systématique. La CNIL indique que ce n'est pas nécessaire sans doute raisonnable.
• Confirmer ou infirmer qu'une personne est cliente. Même cette information révèle une donnée sur un tiers.
• Ne pas signaler une divulgation par erreur. Un renseignement donné au mauvais interlocuteur doit être remonté tout de suite au service concerné. Une violation de données peut imposer une notification à la CNIL sous 72 heures, à partir du moment où l'organisme en a connaissance.

Entraîner les salariés par le jeu de rôle

Savoir qu'il faut vérifier l'identité ne dit pas comment le faire à voix haute, face à quelqu'un d'agacé. L'e-learning transmet le cadre. Il laisse de côté la gêne du refus, la tentation de rendre service et l'insistance de l'appelant. Ce sont pourtant ces trois forces qui font céder. Notre page sur les formations obligatoires de conformité explique pourquoi ce décalage est général. L'article sur la complétion et la compétence le confirme.

Un scénario de mise en situation RGPD tient en quelques minutes. Le persona, joué par une IA, est un appelant pressé qui demande des informations sur son ancien associé. Le formateur règle son niveau d'insistance. L'apprenant doit refuser, orienter et ne rien confirmer.

Avec Face Up, les formateurs écrivent leurs scénarios à partir de leurs propres cas, aidés par un assistant de conception. L'apprenant parle, à la voix ou en vidéo. Son débriefing indique les objectifs atteints, les points forts et les points à améliorer. Il contient aussi un plan d'action et des citations. Il peut rejouer.

Organiser le circuit interne pour que le salarié ne soit pas seul

Une formation réussie ne suffit pas si le salarié ne sait pas à qui transmettre. Avant d'entraîner les conversations, vérifiez que le circuit existe et qu'il est connu.

• Un point d'entrée identifié. Une adresse, un formulaire ou un contact nommé pour les demandes de droits.
• Une règle claire pour l'oral. Qui note l'appel, dans quel outil, avec quelles informations.
• Un message type. Une phrase de transmission que tout salarié peut dire sans improviser.
• Un canal de remontée des incidents. Pour signaler un renseignement donné par erreur, sans crainte d'être sanctionné.

Le salarié en première ligne se sent alors soutenu. Il peut refuser avec aplomb, parce qu'il sait que la suite est prise en charge. Le contrôle des droits des tiers, la rédaction de la réponse et l'éventuel refus motivé restent du ressort de l'équipe désignée.

Grille de débriefing

• A-t-il reconnu la demande d'accès et annoncé le délai ?
• A-t-il vérifié l'identité de façon proportionnée ?
• A-t-il refusé toute information sur un tiers, sans la confirmer ni l'infirmer ?
• A-t-il orienté vers la procédure interne ?
• A-t-il évité de se justifier longuement ?
• A-t-il pensé à tracer l'appel ?

Questions fréquentes

Une demande d'accès par téléphone est-elle valable ?

L'article 12 du RGPD ne prévoit pas de formalité particulière pour la demande. Le plus prudent est de la traiter comme reçue dès l'appel et de la tracer. Votre délégué à la protection des données peut fixer une règle interne, par exemple une confirmation écrite.

Faut-il toujours demander une pièce d'identité ?

Non. Selon la CNIL, l'identité peut être établie par tout moyen, et une pièce n'est demandée qu'en cas de doute raisonnable. Le niveau de contrôle dépend de la sensibilité des données demandées.

Quel est le délai de réponse ?

Un mois à compter de la réception, selon l'article 12, paragraphe 3, prolongeable de deux mois si la demande est complexe ou nombreuse. La personne doit être informée de la prolongation dans le premier mois.

Pour entraîner vos équipes à ces conversations sur vos cas réels, réservez une démonstration. Vous pouvez aussi lire notre article sur la formation LCB-FT, qui traite une autre conversation sous contrainte réglementaire.