RGPD : quand Malakoff Médéric Humanis s’appuie sur un serious game pour former ses équipes

Former les 12 000 collaborateurs de Malakoff Médéric Humanis aux enjeux du règlement général sur la protection des données (RGPD) fait partie des chantiers mis en œuvre par la complémentaire santé avant le 25 mai 2018. Deux choix ont été faits par les entités du groupe avant leur rapprochement en 2018. “Quand nous avons démarré le projet, nous n’avions pas encore opéré le rapprochement de Malakoff Médéric et Humanis”, rappelle Johanna Carvais-Palut, DPO de Malakoff Médéric et désormais DPO groupe.

Annoncée durant l’été 2018, la création du groupe Malakoff Médéric Humanis s’est réalisée au 1er janvier 2019. Chacun avait donc travaillé sur la mise en conformité au RGPD de son côté. La DPO cite par exemple le déploiement de relais DPO dans chacune des sociétés. Aujourd’hui, le groupe en compte 38. Depuis le rapprochement, “l’équipe a été renforcée et un travail d’harmonisation des procédures a été mené”, ajoute-t-elle.

Pour l’acculturation des collaborateurs aux problématiques de protection des données, les choix n’ont pas été les mêmes dans les deux entreprises. Si Humanis avait opté par une solution d’e-learning développée par Agirc Arrco, Malakoff Médéric a préféré s’appuyer sur un serious game. “L’acculturation du groupe passe par la création de la filière de relais DPO et la montée en compétences de ses collaborateurs, notamment grâce au serious game”, témoigne Johanna Carvais-Palut. 

Développer un jeu sur mesure

Malakoff Médéric a décidé de concevoir cet outil de “A à Z, du format au contenu”, indique-t-elle. L’équipe de l’assureur a alors mené une phase de réflexion et de définition d’environ un mois avant de rencontrer six prestataires potentiels. Son choix s’est alors porté sur Learn Assembly, spécialisé dans la formation continue.

“Notre équipe de 15 personnes basées à Paris est dédiée aux enjeux d’employabilité des salariés dans les grands groupes. Nous sommes spécialisés dans le digital learning”, indique Sophie Cohendet, cofondatrice et directrice générale de la société créée en 2013. Elle détaille les trois pans de son activité : des formations “sur étagère” à la culture digitale, la blockchain, la culture de la donnée…, le design d’expérience de formation sur mesure et l’accompagnement de plans de montée en compétences. “Nous disposions de contenus sur étagère sur le RGPD mais avons proposé d’aller plus loin. Il s’agissait de créer une expérience beaucoup plus immersive et plus proche des terrains que les salariés expérimentaient”, précise Sophie Cohendet. Avant d’ajouter : “la compliance, ça embête tout le monde. Il fallait arriver à quelque chose d’engageant, qui parle et auquel on s’identifie.”

Impliquer les collaborateurs

L’équipe de Learn Assembly a alors travaillé avec celles Malakoff Médéric. “Nous avons passé beaucoup de temps en amont pour interroger une dizaine de collaborateurs, qui constituent un échantillon représentatif des différents métiers”, souligne la dirigeante. Johanna Carvais-Palut précise : “nous avons rédigé en interne le scénario ainsi que les questions et solutions et voulions varier les supports.” Pour ce projet, les collaborateurs de Johanna Carvais-Palut et les relais DPO ont coopéré avec l’équipe en charge de la formation. Environ une dizaine de personnes sont intervenues chez Learn Assembly dont une dédiée au digital learning, un directeur pédagogique,  des graphistes, une équipe de production, des comédiens… L’investissement de Malakoff Médéric Humanis reste par ailleurs confidentiel.

Au final, le serious game se déroule en plusieurs phases. Il débute par “un film de dix minutes, qui met en scène à la fois des collaborateurs du groupe et des comédiens professionnels et où on suit le déroulement d’un contrôle avec le DPO et les métiers sollicités”, explique Johanna Carvais-Palut. Sophie Cohendet ajoute : “il met en scène des salariés de Malakoff Médéric dans les locaux avec un certain nombre de situations assez cauchemardesques. Le jeu démarre ensuite.” À l’issue du film, le salarié choisit le profil qu’il veut incarner parmi cinq possibilités, ce qui détermine les questions posées par la suite.

Le jeu se décline alors en trois phases : un quiz sur le RGPD, une bande dessinée “avec des propositions pour finir l’histoire” et un jeu sur les bons réflexes, détaille Johanna Carvais-Palut. Le salarié obtient alors un score sous la forme d’un pourcentage qui lui permet d’accéder à l’une des quatre fins du film, “de la conclusion positive de l’enquête à la scène catastrophique”, précise Sophie Cohendet. La session complète dure une heure et peut être rejouée avec chacun des profils. “Il n’est pas nécessaire d’atteindre un certain pourcentage pour avoir un diplôme. Nous ne sommes pas dans de l’e-learning classique. Ici, on joue sans avoir d’apport de connaissance initiale et on apprend en se trompant”, souligne la DPO de Malakoff Médéric.

Des opérations de sensibilisation

Après ce projet mené en près de sept mois, le serious game a été mis à disposition des équipes “deux à trois mois avant l’entrée en application du RGPD” (26 mai 2018, ndlr), indique Johanna Carvais-Palut. Disponible sur l’intranet via la plateforme MyUniversity, sous le nom Privacy, il a contribué à la formation d’une partie des salariés du groupe de protection sociale. “Aujourd’hui, plus de 80 % des collaborateurs de Malakoff Médéric Humanis ont été formés”, se félicite Johanna Carvais-Palut.

Pour inciter les salariés à jouer, le groupe a utilisé plusieurs canaux de communication. “Nous avons diffusé un teaser d’une durée de moins d’une minute sur l’intranet environ trois semaines avant sa mise à disposition. Nous nous sommes également appuyés sur les relais DPO. Enfin, nous avons mené des actions de sensibilisation sur site le 25 mai. En 2018, nous distribuions des crèmes solaires avec le slogan “Protégez nos données comme vous protégez votre peau”, et en 2019, c’étaient des caches caméra pour revenir sur l’intérêt de faire du RGPD un outil de confiance. Cela nous a permis d’aller à la rencontre des collaborateurs et d’inciter ceux qui ne l’avaient pas déjà fait à participer au serious game”, témoigne Johanna Carvais-Palut. Elle a ainsi constaté des pics d’utilisation du serious game juste avant le mois de mai puis au début des vacances d’été.

Un module sur les données sensibles en préparation

L’équipe prépare un module supplémentaire sur l’utilisation des données sensibles. “Il s’agit de sensibiliser les collaborateurs et développer les bons réflexes sur le traitement de ce type de données”, détaille la DPO de Malakoff Médéric. Accessible à l’ensemble des salariés et d’une durée de 20 à 30 minutes, il devrait être obligatoire pour certains salariés qui traitent de données sensibles. “L’appel d’offres pour le choix d’un prestataire sera ouvert à la rentrée 2019. Nous espérons lancer ce module début 2020”, conclut Johanna Carvais-Palut.

Ce contenu a été réalisé par la rédaction de mind Health, service d’information professionnelle consacré à la mutation des industries de santé.