Formation RGPD pour le personnel de terrain (Benelux)

Les principes ne survivent pas au comptoir

La plupart des formations RGPD destinées au personnel de terrain commencent par les principes : licéité, limitation des finalités, minimisation, droits des personnes concernées. Ils sont justes, et ils n'aident pas la réceptionniste qui a six personnes dans la file quand un appelant demande si M. Peeters loge à la chambre 214.

Ce que rencontre le personnel de terrain n'est pas un principe mais un moment : un passeport sur un bureau, un client qui veut savoir ce que le programme de fidélité détient sur lui, un chauffeur au quai qui demande le numéro d'un collègue, un scanner portable avec une journée de signatures de livraison qui a disparu. La formation doit enseigner le geste, pas la théorie. « Voici les principes », c'est de la sensibilisation. « Un client vient de vous demander d'effacer tout ce que l'hôtel sait de lui : que faites-vous ? », c'est de l'instruction.

Le droit va dans le même sens. Selon les articles 29 et 32, paragraphe 4, du RGPD, toute personne agissant sous l'autorité de l'organisation et ayant accès à des données à caractère personnel ne peut les traiter que sur instruction de celle-ci. Des instructions qu'on ne peut pas appliquer au comptoir méritent difficilement ce nom.

Quatre moments, un seul bon réflexe par moment

Dans les hôtels, les magasins, les restaurants et les entrepôts, les moments où le terrain touche aux données personnelles se situent à quatre endroits. Construisez la formation autour d'eux, avec les exemples du site.

Quatre à cinq scénarios par moment, chacun avec le réflexe et sa raison, suffisent pour une formation qui tient dans une pause. La raison compte : on retient une règle que l'on comprend, et on l'applique au cas que la formation n'avait pas prévu.

À quoi ressemble une violation de données sur le terrain

Pour le personnel de terrain, une violation de données ressemble rarement à un piratage. C'est un scanner portable perdu avec les signatures de livraison du jour, une liste de clients imprimée oubliée dans le hall, un e-mail envoyé à tous les membres du programme de fidélité en destinataires visibles, ou une clé USB trouvée dans une salle de réunion.

L'article 33 impose à l'organisation de notifier l'autorité de contrôle (l'Autorité de protection des données en Belgique, l'Autoriteit Persoonsgegevens aux Pays-Bas) dans les 72 heures après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes. Les lignes directrices européennes lisent la prise de connaissance comme un degré raisonnable de certitude qu'une violation s'est produite. L'organisation, c'est aussi la personne au comptoir : un constat qui reste en poche jusqu'à la fin du poste consomme une partie de ces 72 heures.

Le réflexe de terrain est toujours le même : ne pas essayer de réparer, ne rien effacer, prévenir immédiatement le responsable de service, et noter ce que l'on a vu et quand. Décider s'il s'agit d'une violation à notifier revient au contact vie privée, pas au travailleur.

Les demandes des clients se transmettent, elles ne se traitent pas

Les clients ont des droits : accéder aux données qui les concernent (article 15), les faire rectifier et, dans certains cas, les faire effacer (article 17). L'organisation doit répondre dans les meilleurs délais et au plus tard dans un mois (article 12, paragraphe 3).

Le réflexe de terrain n'est pas de répondre à la demande mais de bien la recevoir. Ne pas la refuser et ne pas l'exécuter sur place. Noter qui l'a faite, ce qui est demandé et comment joindre la personne, et la transmettre le jour même au contact vie privée désigné. Un travailleur qui supprime un compte de fidélité parce qu'un client le lui a demandé a pris une décision qui revenait à l'organisation, et a peut-être effacé des données qu'elle doit conserver.

Il en va de même pour les collègues. Un ancien travailleur qui demande son dossier du personnel, ou un parent qui veut savoir quand son adolescent travaille, relève du bureau.

Nommez la personne, pas le service

« Faites remonter au DPO » ne fonctionne pas au site 47 à sept heures du matin quand le siège est fermé. La formation doit dire qui, par quel canal et dans quel délai, pour ce site : d'abord le responsable de service, puis le contact vie privée désigné, avec un numéro qui répond. Mettez-le sur le dernier écran de chaque scénario.

Pour un réseau, la structure reste la même, avec une première étape locale. Le travailleur prévient le responsable de service ; celui-ci prévient le contact vie privée ; le contact vie privée décide. Trois noms, écrits dans la formation pour chaque site, valent mieux qu'une boîte mail générique.

Registre, recyclages et version

Le RGPD demande que l'organisation puisse démontrer la conformité (article 5, paragraphe 2), et la formation du personnel figure parmi les missions du délégué à la protection des données (article 39). Quand une autorité examine un incident, elle demande ce qu'on avait dit aux personnes concernées, quand, et s'il s'agissait de la version en vigueur de la procédure.

L'enregistrement se tient donc par personne : qui a terminé quel cours, à quelle date, dans quelle version. Le RGPD ne fixe aucun intervalle de recyclage ; fixez le vôtre et liez les recyclages aux changements : une nouvelle caisse ou un nouveau système de réservation, une nouvelle procédure après un incident, de nouvelles lignes directrices de l'autorité. À quelle fréquence répéter une formation explique comment choisir et tenir un intervalle.

Comment Aristotl s'en charge

Aristotl transforme votre procédure vie privée, les règles des objets trouvés et les étapes en cas de violation en cours de 3-5 minutes que le personnel suit sur son propre téléphone, construits comme des scénarios avec un contrôle des connaissances à la fin. Rien n'arrive sur le terrain avant que votre équipe ne l'ait relu et publié. Chacun reçoit le cours dans la langue qu'il lit, traduit depuis une version originale unique, ce qui compte quand l'équipe des étages parle quatre langues et que la procédure n'existe que dans une.

Le personnel rejoint via un lien ou un QR code par site ou par équipe, sans e-mail professionnel, et le cours atteint ainsi intérimaires et saisonniers avant leur premier poste. L'achèvement est enregistré par personne, par site et par version du cours, et reste consultable par site dans la plateforme : l'enregistrement dont vous avez besoin quand on vous demande ce qu'on avait dit aux personnes concernées.

Ce que la plateforme ne remplace pas : le jugement de votre contact vie privée sur la nécessité de notifier un incident, et la procédure dont votre organisation est propriétaire.

Choisissez le moment que vos sites rencontrent le plus souvent, écrivez le bon réflexe et le nom à appeler, et vérifiez si chaque personne du premier poste de demain pourrait citer les deux.