Formation à la protection des données fondée sur les rôles pour ISO 27701 et GDPR
Formation à la protection des données fondée sur les rôles pour ISO 27701 et GDPR
Sarah, RSSI d’une fintech en forte croissance, s’attendait à ce que l’audit PIMS ISO/IEC 27701:2025 teste les politiques, les enregistrements et les appréciations des risques. Dès le deuxième jour, l’auditeur était déjà sorti de la zone de confort.
Il n’a pas demandé si les collaborateurs avaient terminé le module annuel « Privacy 101 ». Le tableau de bord affichait 98 % d’achèvement, un résultat impressionnant jusqu’à ce que les questions deviennent chirurgicales.
« Vos développeurs traitent des données financières sensibles à caractère personnel et mettent en œuvre une authentification biométrique. Quelle formation spécifique ont-ils reçue sur la protection de la vie privée dès la conception, la minimisation des données dans la conception des interfaces de programmation (API), la journalisation sécurisée, les restrictions relatives aux données de test et les données relevant de catégories particulières au titre de GDPR ? »
Puis l’auditeur est passé au support client.
« Ils peuvent consulter les historiques de transactions. Comment sont-ils formés à reconnaître une demande d’exercice du droit d’accès, à vérifier l’identité, à éviter les notes excessives dans les tickets et à escalader une divulgation accidentelle ? »
Puis aux RH.
« Ils viennent d’intégrer un nouveau système cloud de paie hébergé hors de l’UE. Quelle formation à la protection des données ont-ils reçue sur l’évaluation préalable des sous-traitants, les transferts transfrontaliers, les dossiers du personnel et la conservation ? »
Sarah disposait de politiques, d’un registre des activités de traitement, de clauses fournisseurs, de procédures relatives aux violations de données et d’un périmètre PIMS défini. Ce qui lui manquait, c’était des éléments probants défendables montrant que les bonnes personnes avaient été formées aux bonnes responsabilités en matière de protection des données.
C’est cette lacune qui fragilise de nombreux programmes de protection des données. ISO/IEC 27701:2025 et GDPR ne récompensent pas les organisations pour une sensibilisation générique. Ils exigent la responsabilité, la compétence et une preuve opérationnelle. Lorsque des personnes collectent, utilisent, consultent, stockent, partagent, suppriment, surveillent ou prennent en charge des systèmes contenant des données à caractère personnel, elles doivent savoir ce qui s’applique à leur rôle, quand escalader et où les éléments probants sont enregistrés.
La formation de sensibilisation à la protection des données fondée sur les rôles est ce qui rend un PIMS opérationnel.
Pourquoi une formation uniforme à la protection des données échoue
La plupart des organisations exécutent déjà une forme de formation de sensibilisation à la sécurité. Le problème est que les obligations de protection des données sont réparties de manière inégale dans l’entreprise.
Un développeur doit maîtriser la protection de la vie privée dès la conception, le masquage, la pseudonymisation, la programmation sécurisée, la minimisation de la journalisation et la prise en compte des impacts liés aux changements. Un agent de support doit maîtriser la vérification de l’identité, la minimisation des tickets, la reconnaissance des demandes d’exercice du droit d’accès et l’escalade des divulgations accidentelles. Les RH doivent comprendre la gouvernance des données du personnel, le traitement des données relevant de catégories particulières, la confidentialité, la conservation et les restrictions d’accès. Les achats doivent savoir quand un fournisseur est un sous-traitant ou un sous-traitant ultérieur. Les intervenants en gestion des incidents doivent distinguer un incident de sécurité d’une violation de données à caractère personnel.
Un unique quiz annuel sur GDPR ne peut pas créer une compétence opérationnelle sur l’ensemble de ces rôles.
GDPR rend cela visible à travers Article 5, qui définit des principes tels que la licéité, la loyauté, la transparence, la limitation des finalités, la minimisation des données, l’exactitude, la limitation de la conservation, l’intégrité et la confidentialité. Article 5(2) ajoute le principe de responsabilité, qui impose aux responsables du traitement de démontrer leur conformité. Article 32 exige des mesures techniques et organisationnelles appropriées pour assurer la sécurité du traitement. Articles 4, 6 et 9 rendent la clarté des rôles encore plus importante en définissant le traitement, les relations entre responsable du traitement et sous-traitant, la base légale et les données relevant de catégories particulières.
La question d’audit pratique est simple : pouvez-vous prouver que le personnel comprend les responsabilités relatives aux données à caractère personnel attachées à son rôle ?
La position de Clarysec pour les politiques PME est directe. Dans la Politique de sensibilisation et de formation à la sécurité de l’information - PME, la clause 1.3 indique :
« Cette politique soutient la conformité à ISO/IEC 27001, NIS2, GDPR et DORA en intégrant la sensibilisation à la sécurité dans les pratiques de travail quotidiennes et les attentes fondées sur les rôles. »
L’expression « pratiques de travail quotidiennes » est centrale. La sensibilisation à la protection des données n’est pas une affiche. Elle doit être visible dans la collecte, l’accès, le partage, la conservation, la suppression, l’intégration des fournisseurs, le signalement des incidents et la revue de direction.
De la sensibilisation à la compétence PIMS
Clarysec traite la formation à la protection des données comme un contrôle de gouvernance, et non comme un projet annexe de formation et de développement des compétences. Un programme défendable de formation PIMS comporte quatre niveaux :
- Une sensibilisation de base à la protection des données pour l’ensemble du personnel disposant d’un accès aux données à caractère personnel ou de responsabilités PIMS.
- Une formation fondée sur les rôles pour les équipes dont les décisions influencent les résultats en matière de protection des données.
- Une formation déclenchée par un événement après des changements de rôle, de nouveaux systèmes, des incidents, des constats d’audit ou des évolutions réglementaires.
- La collecte des éléments probants dans REG11, liée au public cible, au rôle, au type de formation, à la date d’achèvement requise, aux accusés de réception, aux enregistrements de retard, aux éléments probants de formation de rappel et aux dépositaires des éléments probants.
Cette approche suit la structure du Zenith Blueprint, la feuille de route en 30 étapes de Clarysec pour mettre en œuvre un système de management compatible avec les exigences d’audit. À l’étape 4, « Rôles et responsabilités dans le SMSI », le Blueprint souligne l’importance de communiquer les rôles afin que le personnel sache qui est responsable de quoi, qui contacter et comment signaler les incidents.
L’étape 5, « Communication, sensibilisation et compétence », est encore plus explicite :
« Identifier les compétences requises : déterminer les connaissances et compétences nécessaires pour les différents rôles dans votre SMSI… vos développeurs doivent connaître les principes de programmation sécurisée, votre équipe RH doit savoir comment traiter les données à caractère personnel de manière sécurisée, etc. »
La même logique s’applique directement à ISO/IEC 27701:2025. Il ne suffit pas d’attribuer des responsabilités relatives aux données à caractère personnel en espérant qu’une sensibilisation générique les couvrira. Les compétences doivent être identifiées, enseignées, mesurées et étayées par des éléments probants.
La Politique de formation, de sensibilisation et de compétence en matière de protection des données transforme cette logique en processus opérationnel PIMS. La clause 4.1.6 exige :
« [Tous] Le responsable de la protection des données / responsable du PIMS DOIT enregistrer dans REG11 le public cible de la formation, le type de formation, la date d’achèvement requise et le dépositaire des éléments probants avant le début de chaque cycle annuel de formation. »
Cela crée un lien entre les rôles relatifs à la protection des données et les éléments probants d’audit. L’auditeur n’a plus à déduire qui aurait dû être formé. REG11 montre l’affectation, l’échéance, l’achèvement, le statut de retard, l’accusé de réception, le cycle de rappel et le responsable.
Les contrôles ISO/IEC 27002:2022 derrière la formation à la protection des données
La formation à la protection des données devient auditable lorsqu’elle est rattachée à des contrôles, et pas seulement à des achèvements de cours. Dans Zenith Controls, Clarysec cartographie la formation à la protection des données fondée sur les rôles au moyen de trois contrôles centraux d’ISO/IEC 27002:2022 : 6.3, 5.2 et 5.34.
| Contrôle ISO/IEC 27002:2022 | Signification pour le PIMS | Pourquoi c’est important pour ISO 27701:2025 et GDPR |
|---|---|---|
| 6.3 Sensibilisation, enseignement et formation à la sécurité de l’information | Le personnel reçoit une sensibilisation, un enseignement et une formation généraux et spécifiques à son rôle | Convertit les obligations de protection des données en comportements quotidiens et fournit des éléments probants de compétence |
| 5.2 Rôles et responsabilités en matière de sécurité de l’information | Les responsabilités relatives à la protection des données, à la sécurité, aux risques, aux incidents, aux fournisseurs et à la propriété des systèmes sont attribuées et communiquées | Garantit que la formation est liée à des rôles PIMS responsables, et non à des publics génériques |
| 5.34 Protection de la vie privée et protection des données à caractère personnel | La protection des données à caractère personnel est intégrée dans les politiques, procédures, systèmes et opérations | Garantit que la formation à la protection des données couvre les risques réels liés aux données à caractère personnel, les principes GDPR, la notification des violations de données et le traitement licite |
Zenith Controls classe le contrôle 6.3 comme un contrôle préventif, soutenant la confidentialité, l’intégrité et la disponibilité, avec le concept de cybersécurité « Protect », la capacité opérationnelle « sécurité des ressources humaines » et les domaines de gouvernance et d’écosystème. Son objectif est de prévenir les défaillances de protection des données et de sécurité causées par l’erreur humaine, des attentes peu claires et la confusion des rôles.
Le contrôle 6.3 dépend également de contrôles associés :
| Contrôle ISO/IEC 27002:2022 associé | Relation avec la formation à la protection des données |
|---|---|
| 5.1 Politiques de sécurité de l’information | La formation communique les politiques afin qu’elles soient comprises et appliquées |
| 5.2 Rôles et responsabilités en matière de sécurité de l’information | Les définitions de rôles orientent la formation à la protection des données spécifique à chaque rôle |
| 5.36 Conformité aux politiques, règles et normes de sécurité de l’information | La formation aide le personnel à respecter les exigences internes et externes |
| 6.4 Processus disciplinaire | Le personnel comprend les conséquences de la non-conformité |
| 6.8 Signalement des événements de sécurité de l’information | Le personnel apprend à reconnaître et à signaler les événements de sécurité et de protection des données |
| 8.16 Activités de surveillance | Le personnel chargé de la surveillance comprend les anomalies, les outils et les protocoles d’escalade |
Pour la protection des données, le contrôle 5.34 est le point d’ancrage. Zenith Blueprint, étape 23, explique l’exigence comportementale qui sous-tend la protection de la vie privée et des données à caractère personnel :
« Le personnel doit comprendre ce que sont les informations à caractère personnel, comment signaler un usage abusif et quelles pratiques sont interdites, non pas en termes juridiques, mais dans les comportements quotidiens. »
Cette phrase résume ce qui manque à de nombreuses mises en œuvre PIMS. Les politiques de protection des données peuvent être des livrables juridiques, mais la formation à la protection des données doit être opérationnelle.
Construire la matrice de formation PIMS fondée sur les rôles
Le livrable le plus utile pour la gouvernance de la formation à la protection des données est une matrice de formation fondée sur les rôles. Elle relie le rôle, l’exposition aux données à caractère personnel, les risques clés, la formation requise, le calendrier et les éléments probants.
La Politique de formation, de sensibilisation et de compétence en matière de protection des données l’exige avant l’attribution des responsabilités PIMS. La clause 4.3.1 indique :
« [Tous] Le responsable de la protection des données / responsable du PIMS DOIT définir dans REG11 les sujets de formation à la protection des données fondés sur les rôles avant d’attribuer des responsabilités PIMS à un rôle. »
Une matrice pratique devrait ressembler à ceci :
| Rôle ou public | Exposition aux données à caractère personnel | Sujets requis de formation à la protection des données | Éléments probants dans REG11 |
|---|---|---|---|
| Tout le personnel disposant d’un accès aux données à caractère personnel | Peut consulter, stocker, transmettre ou évoquer des données à caractère personnel | Définition des données à caractère personnel, confidentialité, minimisation des données, partage sécurisé, signalement des incidents, phishing, utilisation acceptable | Affectation de base, date d’achèvement, score au quiz, accusé de réception |
| Équipe RH | Dossiers des employés et des candidats, paie, données de santé ou d’absence | Protection des données du personnel, traitement des données relevant de catégories particulières, conservation, restrictions d’accès, confidentialité, transfert sécurisé | Module de rôle RH, accusé de réception relatif à la confidentialité, éléments probants de formation de rappel |
| Support client | Identifiants clients, tickets, captures d’écran, problèmes de compte | Vérification de l’identité, minimisation des tickets, reconnaissance des demandes d’exercice du droit d’accès, divulgation accidentelle, escalade | Module support, quiz fondé sur des scénarios, éléments probants d’exercice d’escalade |
| Développeurs et testeurs | Jeux de données de production ou de test, journaux, analytique, télémétrie | Protection de la vie privée dès la conception, masquage, pseudonymisation, journalisation sécurisée, restrictions relatives aux données de test, revue des changements | Module développeur, éléments probants de SDLC sécurisé, liste de contrôle de protection des données du projet |
| Administrateurs système | Accès à privilèges aux systèmes contenant des données à caractère personnel | Moindre privilège, surveillance, approbations d’accès, journalisation, chiffrement, traitement des activités privilégiées | Module administrateur, accusé de réception relatif aux accès à privilèges, éléments probants de revue d’accès |
| Achats et responsables fournisseurs | Contrats fournisseurs et relations de sous-traitance | Évaluation préalable des sous-traitants, sensibilisation aux sous-traitants ultérieurs, clauses contractuelles, considérations relatives aux transferts, obligations d’incident des fournisseurs | Module fournisseurs, formation à la liste de contrôle fournisseurs, accusé de réception du processus achats |
| Équipe de réponse aux incidents | Événements de sécurité et violations potentielles de données à caractère personnel | Triage des violations, préservation des éléments de preuve, escalade des notifications, communications, cause racine, retours d’expérience | Module incident, participation à l’exercice sur table, résultats des scénarios |
| Dirigeants et organe de direction | Gouvernance, ressources, responsabilité, acceptation du risque | Responsabilité au titre de GDPR, objectifs PIMS, appétence au risque, exposition réglementaire, indicateurs, revue de direction | Briefing de direction, présence, comptes rendus de revue de direction |
Cette matrice soutient également la clarté des rôles de responsable du traitement et de sous-traitant. Un fournisseur SaaS agissant comme sous-traitant a besoin d’une formation sur les instructions documentées du client, l’engagement de sous-traitants ultérieurs, l’assistance en cas de violation de données, la restitution et la suppression, ainsi que les obligations répercutées contractuellement. La même organisation, agissant comme responsable du traitement pour les RH et le marketing, a besoin d’une formation sur la base légale, les mentions d’information, le consentement le cas échéant, les droits des personnes concernées et la conservation.
Cette distinction est importante, car GDPR Article 4 différencie les responsables du traitement et les sous-traitants, et ISO/IEC 27701:2025 attend que ces rôles relatifs à la protection des données soient compris opérationnellement.
Utiliser l’intégration, la formation annuelle et la formation déclenchée par un événement
Un programme de formation PIMS doit répondre à trois questions de calendrier : que se passe-t-il lorsqu’une personne arrive, que se passe-t-il chaque année et que se passe-t-il lorsque le risque change ?
La Politique de formation, de sensibilisation et de compétence en matière de protection des données fixe le socle. La clause 4.2.1 exige :
« [Tous] Le responsable de la protection des données / responsable du PIMS DOIT affecter dans REG11 une formation de sensibilisation de base à la protection des données dans les 10 jours ouvrés suivant l’intégration du personnel disposant d’un accès aux données à caractère personnel ou de responsabilités PIMS. »
La clause 4.2.3 ajoute :
« [Tous] Le responsable de la protection des données / responsable du PIMS DOIT affecter dans REG11 une formation annuelle de rappel à la protection des données au moins une fois tous les 12 mois. »
La Politique de sensibilisation et de formation à la sécurité de l’information pour PME renforce l’actualité et le caractère pratique. La clause 6.1.1 indique :
« Les supports doivent être pratiques, adaptés au rôle et mis à jour annuellement. »
L’étape de maturité consiste à utiliser la formation déclenchée par un événement. La clause 6.5.1 de la même politique PME indique :
« Lorsque les fonctions changent ou que des systèmes sont introduits, une formation de sensibilisation ciblée peut être requise, par exemple sur le partage sécurisé de fichiers, les nouvelles exigences de protection des données et les exigences de minimisation des données. »
C’est ici que la formation à la protection des données devient fondée sur les risques. Un agent de support promu chef d’équipe peut obtenir des responsabilités d’approbation d’accès. Un nouveau CRM peut introduire des exports, des intégrations, des champs de conservation et des impacts sur les demandes des personnes concernées. Un nouvel outil d’analytique peut introduire du suivi, du profilage ou des implications liées au consentement. Un nouveau fournisseur de paie peut introduire des exigences d’évaluation préalable des sous-traitants et de transferts transfrontaliers.
La formation doit être déclenchée par ces changements, et non repoussée jusqu’à la formation de rappel annuelle.
La Politique de sensibilisation et de formation à la sécurité de l’information d’entreprise ajoute une fenêtre d’achèvement claire. La clause 6.1.3 indique :
« La formation fondée sur les rôles, par exemple pour les administrateurs, développeurs et dirigeants, doit être attribuée et achevée dans les 60 jours suivant l’attribution du rôle ou l’élévation des privilèges système. »
Pour les rôles à risque élevé liés aux données à caractère personnel, de nombreuses organisations choisissent des délais plus courts, mais le principe reste identique : la formation fondée sur les rôles suit la responsabilité.
Comment REG11 clôt un constat d’audit
Prenons un constat d’audit interne réaliste :
« Le personnel du support client peut accéder aux données à caractère personnel des clients et peut recevoir des demandes d’exercice du droit d’accès, mais il n’existe aucun élément probant de formation à la protection des données fondée sur les rôles pour les agents de support ou les chefs d’équipe. »
Une équipe de mise en œuvre Clarysec clôturerait ce constat en cinq étapes.
Premièrement, le responsable de la protection des données crée dans REG11 un public cible de formation nommé « Personnel du support client habilité au traitement des données à caractère personnel ». Le dépositaire des éléments probants est le responsable des opérations de support. Le type de formation est « Formation à la protection des données fondée sur les rôles ». Le délai d’achèvement est de 30 jours. Les responsabilités liées comprennent la vérification de l’identité, la minimisation des tickets, les pièces jointes sécurisées, la reconnaissance des demandes d’exercice du droit d’accès et l’escalade des violations suspectées.
Deuxièmement, le responsable de la protection des données cartographie le contenu avec les exigences de politique, notamment la clause 4.3.1 de la Politique de formation, de sensibilisation et de compétence en matière de protection des données et la clause 6.1.3 de la Politique de sensibilisation et de formation à la sécurité de l’information d’entreprise.
Troisièmement, la formation utilise des tests fondés sur des scénarios :
| Scénario | Compétence attendue |
|---|---|
| Un client demande dans un ticket « toutes les données que vous détenez à mon sujet » | Reconnaître une demande potentielle d’exercice du droit d’accès et l’escalader via le processus approuvé |
| Un agent de support souhaite coller une capture d’écran de paiement dans le chat | Minimiser les données à caractère personnel et utiliser les canaux sécurisés approuvés |
| Un client envoie par erreur le document d’identité d’une autre personne | Interrompre le traitement inutile et escalader la divulgation accidentelle |
| Un changement d’autorisation expose des dossiers clients inattendus | Signaler un incident potentiel de contrôle d’accès et de protection des données |
| Une demande de suppression entre en conflit avec un gel de conservation légal | Escalader pour revue par la fonction Protection des données et le service juridique avant toute action |
Quatrièmement, l’achèvement est enregistré dans REG11 : apprenant, rôle, module, horodatage d’achèvement, score au quiz ou au scénario, accusé de réception, statut de retard, date de formation de rappel et dépositaire des éléments probants.
La clause 4.4.1 de la Politique de formation, de sensibilisation et de compétence en matière de protection des données exige :
« [Tous] Le responsable de la protection des données / responsable du PIMS DOIT conserver dans REG11 les éléments probants d’affectation, d’achèvement, de retard, d’accusé de réception et de formation de rappel pour chaque activité de formation à la protection des données requise. »
Cinquièmement, le constat d’audit est clôturé avec les éléments probants : export REG11, supports de formation, enregistrements de présence, résultats de quiz, mise à jour de la procédure de support et circuit d’escalade interne.
L’essentiel n’est pas que le support ait reçu un jeu de diapositives. L’essentiel est que la compétence spécifique au rôle ait été attribuée, testée, étayée par des éléments probants et liée aux obligations PIMS.
Valeur de conformité croisée : GDPR, NIS2, DORA, NIST et COBIT
La formation à la protection des données fondée sur les rôles n’est pas seulement un sujet ISO/IEC 27701:2025. C’est un contrôle de conformité croisée.
GDPR fournit le contenu de fond en matière de protection des données. Article 5(2) impose la responsabilité. Article 32 exige des mesures techniques et organisationnelles appropriées pour assurer la sécurité du traitement. Article 39(1)(b) fait également de la sensibilisation et de la formation du personnel une composante du rôle de surveillance du DPO lorsqu’un DPO est désigné.
La Politique de sensibilisation et de formation à la sécurité de l’information d’entreprise le reconnaît à la clause 11.4.1 :
« Article 32 – Sécurité du traitement : impose que le personnel traitant des données à caractère personnel soit formé à reconnaître, prévenir et signaler les risques portant sur les informations personnelles. Cette politique garantit que le personnel habilité au traitement des données et tous les rôles pertinents sont formés en conséquence. »
NIS2 ajoute la cyberrésilience. Article 20 impose aux membres de l’organe de direction des entités essentielles et importantes de suivre une formation à la cybersécurité et encourage une formation régulière des employés. Article 21(2)(i) inclut les pratiques de base d’hygiène cyber et la formation à la cybersécurité parmi les mesures de gestion des risques.
DORA ajoute la spécificité du secteur financier. Article 13 impose aux entités financières de maintenir des programmes de formation à la résilience opérationnelle numérique dans le cadre de la politique de ressources humaines. Article 5 impose également à l’organe de direction des obligations de gouvernance des risques ICT. Pour les entités financières, DORA s’applique directement à partir du 17 janvier 2025 et fonctionne comme l’acte juridique sectoriel de l’Union lorsqu’il chevauche les obligations NIS2 relatives au risque ICT et au signalement des incidents.
NIST CSF 2.0 fournit une couche d’organisation. La fonction GOVERN attend que les obligations légales, réglementaires, contractuelles, de protection des données et relatives aux libertés civiles soient comprises et gérées. La fonction PROTECT inclut la sensibilisation et la formation via PR.AT-01 pour la sensibilisation du personnel et PR.AT-02 pour la formation spécialisée par rôle.
COBIT 2019 se concentre sur la gouvernance et les capacités. APO07 soutient la gestion des ressources humaines, BAI05.07 soutient le développement des compétences, APO13.01 soutient la gestion de la sécurité et DSS06.08 soutient la gestion de la protection des données. Dans une perspective COBIT, la formation à la protection des données doit être reliée aux capacités de la main-d’œuvre, aux objectifs de gouvernance, à la revue de direction et aux actions correctives.
Zenith Controls relie ces fils. Il cartographie le contrôle 6.3 avec les attentes GDPR relatives à la formation et à la sensibilisation, NIS2 Article 21(2)(i), DORA Article 13, les contrôles de sensibilisation et de formation NIST SP 800-53, ainsi que les objectifs COBIT relatifs aux compétences et à la politique du travail. Il cartographie le contrôle 5.2 avec la responsabilité au titre de GDPR et les missions du DPO, les mesures organisationnelles NIS2, les responsabilités de gouvernance DORA, l’attribution des rôles NIST et les structures de gouvernance COBIT. Il cartographie le contrôle 5.34 avec la sécurité et la protection de la vie privée dès la conception au titre de GDPR, les politiques de sécurité NIS2, la confidentialité des données DORA, les contrôles de protection de la vie privée NIST et la gestion de la protection des données COBIT.
Le bénéfice métier est l’efficacité. Un système de formation gouverné peut produire des éléments probants pour plusieurs cadres, au lieu d’obliger les équipes à maintenir des programmes de conformité déconnectés.
Les lignes directrices ISO qui renforcent le programme
La formation PIMS fondée sur les rôles devient plus robuste lorsqu’elle est reliée aux lignes directrices ISO connexes.
ISO/IEC 27005:2024 traite les risques liés au facteur humain, notamment le phishing, l’ingénierie sociale et les comportements négligents, comme des sources de risque nécessitant un traitement. La formation est donc un traitement des risques, et non un exercice administratif.
ISO/IEC 27035-1:2023 souligne l’importance de la sensibilisation pour la gestion des incidents. Le personnel doit reconnaître et signaler les incidents, y compris l’usage abusif suspecté de données à caractère personnel ou une divulgation accidentelle. Pour la protection des données, cet aspect est critique, car les délais d’évaluation d’une violation de données commencent souvent lorsque l’organisation prend connaissance d’un problème.
ISO/IEC 27017 soutient la clarté des rôles spécifique au cloud. Les équipes cloud ont besoin d’une formation sur la responsabilité partagée, la configuration, la gestion des accès, les responsabilités de sauvegarde, la journalisation, la surveillance et l’escalade.
ISO/IEC 27018 soutient la protection des données à caractère personnel dans les environnements de cloud public. Les fournisseurs cloud et les clients doivent former le personnel sur les instructions du client, l’utilisation non autorisée, la restitution et la suppression des données à caractère personnel, ainsi que l’assistance en cas de violation de données.
ISO/IEC 29100 fournit des principes relatifs à la protection de la vie privée, tels que le consentement, la limitation, la transparence, la minimisation et la responsabilité. Ces principes aident à convertir le langage juridique en comportements pratiques.
ISO/IEC 27014 soutient la délégation de gouvernance et la prise de décision, ce qui importe lorsque les dirigeants, les responsables de la protection des données, les propriétaires de risques et les propriétaires de systèmes nécessitent des niveaux de formation différents.
ISO/IEC 27036-2 soutient les responsabilités relatives aux relations fournisseurs. Les achats et les responsables fournisseurs ont besoin d’une formation à la protection des données, car les contrats de sous-traitance, les chaînes de sous-traitants ultérieurs, les droits d’audit et les clauses d’incident influencent le risque réel.
Ce que les auditeurs testent réellement
Un programme de formation à la protection des données n’est défendable que s’il résiste aux tests.
Un auditeur orienté ISO commencera par le périmètre, les rôles, la compétence, la sensibilisation et les enregistrements. Il peut échantillonner les nouveaux arrivants, les développeurs, les utilisateurs à privilèges élevés, le personnel RH, les agents de support, les responsables achats, les prestataires et les intervenants en gestion des incidents.
Un auditeur PIMS testera le contenu de fond relatif à la protection des données. Il peut demander si le personnel comprend les données à caractère personnel, la reconnaissance des demandes d’exercice du droit d’accès, les obligations des responsables du traitement et des sous-traitants, les instructions de traitement, l’escalade des violations de données et les pratiques interdites.
Un évaluateur orienté NIST recherchera la sensibilisation générale, la formation spécialisée par rôle, les enregistrements de formation et les lacunes suivies. Il peut comparer le profil actuel et le profil cible et examiner les plans d’action.
Un auditeur COBIT évaluera si la formation soutient les objectifs de gouvernance et les capacités de la main-d’œuvre. Il peut demander si la direction examine les taux d’achèvement, les formations en retard, les tendances des simulations d’hameçonnage, les comportements de signalement des incidents et les actions correctives.
Un auditeur de type ISACA ITAF peut se concentrer sur les éléments probants de performance : taux d’achèvement, scores de quiz, entretiens, résultats de simulations, tendances des incidents et actions de la direction.
Zenith Controls formalise cette lecture d’audit pour le contrôle 6.3. Les auditeurs peuvent examiner les programmes, calendriers, supports, enregistrements de présence, certificats d’achèvement, entretiens avec les employés, résultats de simulations d’hameçonnage et indicateurs tels que les taux d’achèvement et les scores de quiz. Un test d’entretien pratique est souvent décisif : les employés peuvent-ils expliquer ce qu’ils feraient s’ils recevaient un message suspect, soupçonnaient un accès non autorisé à des données à caractère personnel ou recevaient une demande relative à la protection des données ?
Les éléments probants ne se limitent pas à un tableur. Ils résident aussi dans le fait que les personnes savent quoi faire.
Non-conformités PIMS courantes en matière de formation
Les mises en œuvre Clarysec révèlent des lacunes récurrentes dans la formation à la protection des données :
- La formation existe, mais elle est générique et non fondée sur les rôles.
- Le personnel habilité au traitement des données à caractère personnel n’est pas clairement identifié.
- Les prestataires et les tiers disposant d’un accès aux données à caractère personnel ou aux systèmes sont omis.
- Les développeurs reçoivent une formation au développement sécurisé, mais pas à la protection de la vie privée dès la conception ni aux restrictions relatives aux données de test.
- Les équipes de support sont formées à la qualité de service, mais pas à la reconnaissance des demandes d’exercice du droit d’accès ni aux divulgations accidentelles.
- Les RH traitent des données sensibles relatives au personnel sans éléments probants de formation à la protection des données spécifique au rôle.
- Les achats négocient des contrats fournisseurs sans formation relative aux sous-traitants ou aux sous-traitants ultérieurs.
- Les intervenants en gestion des incidents connaissent l’escalade cyber, mais pas le triage des violations de données à caractère personnel.
- Les nouveaux arrivants terminent la formation à la sécurité, mais la formation à la protection des données est retardée.
- Les changements de rôle et les nouveaux systèmes ne déclenchent pas de formation ciblée.
- L’achèvement est suivi, mais les éléments probants de retard, d’accusé de réception et de formation de rappel manquent.
- La direction reçoit des tableaux de bord, mais n’agit pas sur les lacunes.
La Politique de protection des données et de la vie privée précise la discipline de gestion attendue. La clause 4.7.3 exige que les organisations :
« Conservent les accords de confidentialité du personnel et la formation de sensibilisation à la protection des données. »
Pour les PME, la Politique de protection des données et de la vie privée - PME est plus directe. La clause 4.5.2 indique :
« Doit terminer la formation à la protection des données »
La clause 7.2.2 relie la formation au traitement des risques :
« La formation et la sensibilisation doivent être utilisées comme des contrôles afin de réduire l’erreur humaine dans le traitement des données »
C’est le cœur du sujet. La formation à la protection des données est un contrôle conçu pour réduire le risque.
Liste de contrôle pratique de mise en œuvre
Un programme défendable de formation à la protection des données n’a pas besoin de devenir bureaucratique. Il lui faut un modèle opérationnel clair, de bons éléments probants et une attention régulière de la direction.
Utilisez cette liste de contrôle pour construire ou améliorer votre programme :
| Étape | Action | Éléments probants |
|---|---|---|
| 1 | Définir les rôles PIMS et les groupes d’accès aux données à caractère personnel | Registre des rôles, groupes d’accès, matrice de responsabilités |
| 2 | Cartographier chaque rôle avec les obligations de protection des données et les principaux risques liés aux données à caractère personnel | Matrice de responsabilités PIMS, appréciation des risques, liens avec le registre des activités de traitement |
| 3 | Définir les sujets de formation de base et de formation fondée sur les rôles | Affectations REG11, catalogue de formation, cartographie avec les politiques |
| 4 | Attribuer la formation d’intégration dans les délais requis | Enregistrements d’intégration REG11, dates d’achèvement |
| 5 | Attribuer la formation annuelle de rappel à la protection des données | Plan annuel de formation, enregistrements de rappel |
| 6 | Déclencher la formation après les changements de rôle, les nouveaux systèmes, les incidents et les constats d’audit | Enregistrements de changement, retours d’expérience des incidents, entrées REG11 mises à jour |
| 7 | Tester la compétence au moyen de scénarios, quiz, entretiens et exercices sur table | Scores, présence, notes d’entretien, rapports d’exercices sur table |
| 8 | Escalader les formations en retard et communiquer les indicateurs à la direction | Journal des retards, comptes rendus de revue de direction, actions correctives |
| 9 | Mettre à jour les supports annuellement et après les modifications substantielles | Historique des versions, approbations, communications |
| 10 | Relier les éléments probants aux contrôles et aux obligations de conformité | Tables de correspondance, dossier d’audit, export REG11 |
Le Zenith Blueprint soutient ce cycle de vie à travers le leadership, le périmètre, l’attribution des rôles, la compétence, la communication et la mise en œuvre des contrôles. Dans la phase « Contrôles en action », étape 15, « Contrôles relatifs aux personnes I », il recommande la formation annuelle, les modules spécifiques aux rôles, l’intégration des nouveaux arrivants, les simulations d’hameçonnage, les bulletins, les briefings d’équipe, les éléments probants de participation et l’extension de la formation aux prestataires ou tiers disposant d’un accès aux systèmes ou aux données.
Le pack de politiques fournit le référentiel de gouvernance. La politique de formation propre à la protection des données fournit le processus d’éléments probants REG11. Les politiques de protection des données définissent les responsabilités et les attentes en matière de sensibilisation. Zenith Controls fournit la couche de cartographie d’audit et de conformité croisée.
Ensemble, ces outils aident un RSSI, un responsable de la protection des données, un DPO, un responsable conformité ou un responsable RH à expliquer pourquoi un seul programme de formation soutient les attentes ISO/IEC 27701:2025, GDPR, NIS2, DORA, NIST et COBIT.
Transformer la responsabilité en matière de protection des données en comportement quotidien
Si votre programme ISO/IEC 27701:2025 ou GDPR repose sur une sensibilisation annuelle générique, commencez par un test simple. Choisissez cinq rôles qui manipulent des données à caractère personnel : RH, support client, développeurs, administrateurs et achats.
Pour chaque rôle, demandez :
- Quelles données à caractère personnel traitent-ils ?
- Quelles décisions relatives à la protection des données prennent-ils ?
- Quelles erreurs pourraient créer un risque GDPR ou PIMS ?
- Quelle formation ont-ils achevée ?
- Où sont les éléments probants ?
- Sauraient-ils aujourd’hui comment escalader un incident suspect relatif aux données à caractère personnel ?
- La formation a-t-elle été mise à jour après des changements de systèmes, des incidents ou des constats d’audit ?
Si vous ne pouvez pas répondre à ces questions à partir d’informations documentées, le programme de formation n’est pas encore défendable.
Clarysec aide les organisations à passer des pourcentages d’achèvement à une compétence mesurable. Utilisez la Politique de formation, de sensibilisation et de compétence en matière de protection des données, la Politique de sensibilisation et de formation à la sécurité de l’information, la Politique de sensibilisation et de formation à la sécurité de l’information - PME, la Politique de protection des données et de la vie privée, la Politique de protection des données et de la vie privée - PME, le Zenith Blueprint et les Zenith Controls pour construire un programme de formation PIMS compatible avec les exigences d’audit, qui transforme la responsabilité en matière de protection des données en comportement quotidien.
Téléchargez le pack de politiques, cartographiez vos rôles dans REG11 et planifiez une évaluation Clarysec afin de prouver que vos collaborateurs ne sont pas seulement sensibilisés à la protection des données. Ils sont compétents, responsables et prêts pour l’audit.
About the Author
Igor Petreski
Compliance Systems Architect, Clarysec LLC
Igor Petreski is a cybersecurity leader with over 30 years of experience in information technology and a dedicated decade specializing in global Governance, Risk, and Compliance (GRC).Core Credentials & Qualifications:• MSc in Cyber Security from Royal Holloway, University of London• PECB-Certified ISO/IEC 27001 Lead Auditor & Trainer• Certified Information Systems Auditor (CISA) from ISACA• Certified Information Security Manager (CISM) from ISACA • Certified Ethical Hacker from EC-Council