Deux incidents, une sanction Un dossier transmis sans occultation. Un courriel parti à 18 destinataires visibles en copie. Pas de piratage, pas de faille technique. Juste deux erreurs humaines. Le 5 août 2026, elles ont valu à un service de police européen une injonction assortie d'un blâme. Ce n'est pas l'erreur qui a été sanctionnée. C'est l'organisation qui l'a rendue possible. Quatre ans sans formation L'agent en cause n'avait suivi aucune formation à la protection des données depuis plus de quatre ans. Son supérieur, presque autant. La formation existait pourtant, et elle était obligatoire. Personne ne vérifiait qu'elle était suivie. Pour l'autorité, des politiques et des rappels ne valent rien s'ils ne sont ni appliqués ni contrôlés. Difficile de dire plus clairement les choses. L'article 32, pas seulement la technique L'article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque. On pense chiffrement, sauvegardes, contrôle d'accès. La formation entre dans la seconde catégorie, au même rang. Conséquence directe : son taux de complétion devient un indicateur de conformité. Mesurable. Opposable. Annoncer n'est pas mettre en œuvre L'organisme avait réagi. Cinq mesures correctives : information des personnes, formation spécialisée, contrôle qualité, rappel général, outil d'alerte. Insuffisant. Plusieurs n'étaient ni déployées ni testées, et les taux de formation restaient bas. L'autorité a fixé des échéances à trois et douze mois pour la complétion, le suivi et la gouvernance. Une mesure annoncée n'est pas une mesure appliquée. La nuance compte. Ce que les organisations peuvent faire Les garde-fous proposés sont simples. Occultation avec double vérification. Copie cachée par défaut, ou envois individuels pour les échanges sensibles. Alerte avant tout envoi groupé vers l'extérieur. Suivi des taux de formation par la direction, avec blocage d'accès en cas de retard prolongé. Pour un DPO, ce dossier fournit un levier précieux. La formation cesse d'être une bonne pratique qu'on finance quand il reste du budget. Elle devient une obligation de sécurité, dont l'absence se constate et se sanctionne. Et ça se discute plus facilement en comité de direction.
