Formation RGPD : comparer les parcours et certifications

Une formation RGPD doit être choisie pour les décisions que vous devrez prendre ensuite. Sensibiliser une équipe, apprendre à piloter la conformité et préparer une certification DPO sont trois objectifs différents. Une attestation de présence, un certificat de compétences et un diplôme ne démontrent pas la même chose.

Comparer les parcours par leur résultat attendu

Ce tableau est une méthode de choix, pas un classement commercial. Pour comparer deux offres, exigez leur programme actuel et un devis portant sur le même périmètre : enseignement, exercices, examen, rattrapage et accompagnement.

Ce que propose gratuitement le MOOC de la CNIL

L’Atelier RGPD est gratuit et ouvert à tous. La CNIL annonce une vingtaine d’heures d’autoformation réparties en six modules, dont les collectivités territoriales et les données au travail. Les quiz permettent d’obtenir une attestation de suivi.

C’est un point de départ documenté pour découvrir les règles ou consolider certaines connaissances. L’attestation ne doit pas être présentée comme une certification des compétences du DPO. Et suivre le parcours ne démontre pas, à lui seul, que les traitements de l’entreprise sont conformes.

La certification DPO est volontaire

Le RGPD exige des connaissances spécialisées et une capacité à accomplir les missions du DPO, notamment à l’Art. 37(5). Il n’impose pas un diplôme unique ni une durée de cours identique pour chacun. L’Art. 38(2) prévoit les ressources nécessaires à l’entretien des connaissances du DPO. Source : chapitre IV du RGPD.

Selon la CNIL, la certification fondée sur ses référentiels n’est obligatoire ni pour exercer ni pour être désigné. Elle est délivrée par des organismes certificateurs agréés, après vérification des prérequis et réussite à l’épreuve ; la CNIL ne la délivre pas elle-même.

L’exigence 1.1 de la délibération n° 2018-318 prévoit soit deux ans d’expérience en lien avec les missions de protection des données, soit deux ans d’expérience professionnelle accompagnés d’au moins 35 heures de formation dans ce domaine. Ces 35 heures ne sont donc pas une durée universelle pour « devenir DPO ». Vérifiez aussi le référentiel exact : tous les certificats proposés sur le marché ne relèvent pas du dispositif de la CNIL.

Le guide sur le DPO obligatoire permet de déterminer séparément si votre organisation doit en désigner un. Acheter une formation ne résout pas les questions de disponibilité, de moyens ou de conflit d’intérêts.

Choisir des exercices proches de vos responsabilités

Demandez un exemple de cas et sa méthode de correction. Une formation marketing devrait permettre de qualifier une campagne, de vérifier le consentement lorsqu’il est requis et de traiter une opposition. Notre guide de prospection commerciale donne des exemples de décisions auxquelles le programme peut préparer.

Pour un référent conformité, recherchez un travail sur les rôles, les traitements et les preuves. Un exercice de registre doit expliquer les arbitrages, et pas seulement remplir des colonnes. L’exemple de registre rempli fournit un support pour apprécier cette dimension pratique.

Pour une équipe technique, examinez les accès, les fournisseurs, les incidents et la protection dès la conception. Un chapitre consacré à l’intelligence artificielle doit distinguer RGPD et règlement sur l’IA, et ne pas présenter toute AIPD comme automatique : le programme doit enseigner comment qualifier le risque.

Une grille de comparaison à utiliser avant inscription

Pour chaque offre, consignez les éléments suivants dans votre demande :

1. Le niveau attendu à l’entrée et les connaissances réellement évaluées.
2. Les tâches que le participant devra savoir réaliser à la sortie.
3. L’expérience pertinente du formateur et la date de mise à jour du support.
4. La place des exercices, des corrections et des échanges.
5. La nature exacte du document délivré et les conditions de l’examen éventuel.
6. Le coût total et les règles d’annulation, de report et de financement.

Une offre qui se présente comme « certifiante » doit permettre d’identifier la certification, son certificateur et ses conditions. Une promesse d’emploi, de salaire ou de conformité garantie ne remplace pas ces vérifications.

Vérifier le financement sur l’offre précise

L’éligibilité au CPF n’est pas automatique parce que la formation traite du RGPD ou délivre une attestation. Le portail officiel précise les conditions des actions préparant une certification enregistrée au RNCP ou au Répertoire spécifique, ainsi que l’habilitation du prestataire. Vérifiez la fiche et l’offre présentes dans le service officiel au moment de l’inscription : règles CPF mises à jour le 10 septembre 2026.

Une prise en charge employeur ou par un autre financeur doit également être confirmée avant engagement. Comparez le montant effectivement financé et le reste à payer, sans déduire la gratuité d’une simple mention publicitaire.

Cas fictif : choisir un parcours pour une référente de PME

Les offres et le scénario ci-dessous sont inventés pour illustrer la comparaison, sans classement de fournisseurs réels. Nadia travaille depuis trois ans dans l’administration commerciale d’une PME de maintenance. Elle doit désormais coordonner le registre et orienter les demandes de droits vers les personnes compétentes. La direction ne lui confie pas immédiatement toutes les missions d’un DPO : son rôle, son temps et ses points d’appui sont définis séparément.

Son premier exercice de diagnostic révèle deux besoins. Elle décrit correctement le fichier clients, mais confond finalité et logiciel. Elle sait reconnaître une demande d’accès, mais ne sait pas organiser la recherche dans les dossiers du prestataire. Un cours consacré uniquement aux définitions ne répondrait donc qu’à une partie du problème.

Nadia demande à trois organismes fictifs un programme, un exercice corrigé et la liste des prestations incluses. Elle compare les documents reçus sur les tâches qu’elle devra effectuer.

La décision retient l’offre B, précédée d’une consolidation des bases à l’aide du MOOC. Ce choix ne signifie pas que quatorze heures suffisent en général. Il répond à un diagnostic précis, avec un appui juridique conservé pour les dossiers complexes. Le calendrier réserve effectivement le temps de préparation, les ateliers et une reprise des travaux : la formation ne s’ajoute pas à une charge déjà complète sans arbitrage du manager.

Demande écrite envoyée avant engagement

Nadia formule ainsi le livrable attendu : « À la fin du parcours, je dois pouvoir décrire le traitement de gestion des interventions en distinguant son objectif, ses données, ses destinataires et ses durées. Je dois aussi établir un plan de traitement d’une demande d’accès faisant intervenir notre prestataire. Nous attendons une correction motivée de ces deux exercices, sur des données fictives, avec indication des questions à transmettre au juriste. »

Elle demande que le devis confirme ces éléments, les horaires, les supports accessibles après la session et les éventuels frais supplémentaires. Le parcours est financé par l’employeur dans ce scénario. Aucune prise en charge CPF n’est supposée pour rendre l’offre artificiellement moins chère.

Quand le programme promis ne correspond pas à la session

Avant le démarrage, l’organisme adresse un planning qui remplace les ateliers par une présentation générale. Nadia ne valide pas ce changement sur la seule assurance qu’une attestation sera délivrée. Elle signale les deux livrables manquants et demande une proposition conforme au périmètre convenu. Si l’organisme ne peut pas assurer les corrections, la direction examine le report ou une autre offre selon les conditions contractuelles ; elle n’annonce pas un droit automatique à une annulation gratuite.

Dans le cas corrigé, les ateliers sont rétablis et le formateur examine les travaux. La première fiche de Nadia oublie l’export envoyé aux intervenants externes. La correction lui fait ajouter ce destinataire et distinguer les accès nécessaires. Son premier plan de réponse cherche seulement dans le logiciel central ; elle le complète par la recherche chez le prestataire, avec une échéance interne laissant le temps de préparer la réponse dans le délai applicable.

La responsable juridique relit ensuite un exercice différent, toujours fictif. Nadia repère cette fois les deux circuits et indique correctement la difficulté qui nécessite un arbitrage. La direction peut lui confier ces tâches avec le soutien prévu. Elle ne transforme ni cet exercice réussi ni l’attestation en preuve d’autonomie sur les transferts internationaux, les incidents ou les analyses d’impact.

Prévoir la mise en pratique

Avant la formation, choisissez un dossier sur lequel vous pourrez travailler sans exposer de données réelles inutiles. Après le parcours, faites relire le résultat par la personne compétente et notez les questions encore ouvertes. Une formation complète un audit RGPD ou un plan d’action ; elle ne remplace ni les décisions opérationnelles ni leur suivi.

Ce qu’il faut retenir

• Choisissez un parcours selon les tâches à accomplir et votre niveau de départ.
• Le MOOC CNIL est gratuit ; son attestation se distingue d’une certification DPO.
• La certification DPO est volontaire et comporte des prérequis propres.
• Financement, examen et prix total se vérifient sur l’offre précise.

FAQ

La certification est-elle obligatoire pour être DPO ?

Non. Il faut disposer des connaissances et capacités requises pour les missions. La certification est une manière volontaire de faire évaluer des compétences.

Une formation courte suffit-elle pour gérer tous les sujets ?

La durée seule ne permet pas de conclure. Le niveau initial, le secteur, les traitements et la pratique déterminent les connaissances à acquérir ou à approfondir.

Une attestation garantit-elle la conformité de l’entreprise ?

Non. Elle documente un parcours ou une participation selon sa nature. La conformité doit se traduire dans les traitements, les mesures et les preuves de l’organisation.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.