La Commission nationale de l'informatique et des libertés,
Saisie par la ministre du travail d’une demande d’avis concernant un projet de décret relatif à la communication au système d'information du compte personnel de formation des informations relatives aux titulaires des certifications professionnelles et des certifications et habilitations enregistrées aux répertoires nationaux;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code monétaire et financier, notamment son article L. 518-3 ;
Vu le code du travail, notamment ses articles L. 6113-8, L. 6323-8, L. 6353-10 ainsi que les articles R. 6323-31 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Vu la loi n° 2018-771 du 5 septembre 2018 pour la liberté de choisir son avenir professionnel ;
Vu le décret n° 2010-112 du 2 février 2010 pris pour l’application des articles 9, 10, et 12 de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-1049 du 11 octobre 2019 portant modification du traitement automatisé de données à caractère personnel dénommé Système d'information du compte personnel de formation ;
Vu la délibération n° 2014-434 du 23 octobre 2014 portant avis sur un projet de décret relatif à la mise en œuvre d’un traitement de données à caractère personnel dénommé système d’information du compte personnel de formation (SI-CPF) ;
Vu la délibération n° 2019-094 du 11 juillet 2019 portant avis sur un projet de décret modifiant le décret n° 2014-1717 du 30 décembre 2014 portant création du compte personnel de formation ainsi que d’un projet d’arrêté listant les données à caractère personnel collectées et les destinataires des informations enregistrées dans le SI-CPF ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Émet l’avis suivant :
La Commission a été saisie, en urgence, par la ministre du travail, sur le fondement de l’article 8-I-4°-a) de la loi du 6 janvier 1978 modifiée, d’une demande d’avis sur un projet de décret relatif à la communication au système d’information du compte personnel de formation (SI-CPF) des informations relatives aux titulaires des certifications professionnelles et des certifications et habilitations enregistrées aux répertoires nationaux.
L'article L. 6113-8 du code du travail prévoit en effet l’obligation, pour les ministères et les organismes certificateurs, de communiquer au SI-CPF certaines informations relatives à l’obtention, des certifications professionnelles enregistrées au répertoire national des certifications professionnelles (RNCP) et des certifications et habilitations enregistrée au répertoire spécifique des certifications et des habilitations (RSCH).
Cette obligation permet d’une part, aux usagers d’avoir accès à l’ensemble des diplômes, attestations et certifications obtenus dans le cadre de formation initiale, en alternance ou continue, dans un environnement dématérialisé unique, et d’autre part, aux pouvoirs publics de disposer de données statistiques consolidées au niveau national en matière de certification professionnelle.
L'article L. 6113-8 renvoie à un décret en Conseil d'Etat le soin de fixer les modalités de communication de ces informations.
C’est dans le cadre de ce projet de décret que la Commission a été saisie.
Pour ce faire, l’article 1er du projet du décret introduit quatre nouveaux articles numérotés de R. 6113-34 à R. 6113-37 au sein d’une section intitulée Communication des données relatives aux titulaires des certifications .
L’article R. 6113-34 projeté
S’agissant des données relatives à l’identification des personnes, la Commission relève que la rédaction actuelle du 12° de la partie F de l’article 2 du décret n° 2019-341 du 19 avril 2019 susvisé ne permet pas l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR).
Interrogé par la Commission, le ministère a précisé que l’utilisation de ce numéro n’est pas envisagée dans le cadre des transmissions des informations entre les organismes de formation et le SI CPF.
S’agissant des données relatives aux attestations et certifications professionnelles, le ministère a indiqué que ne seront transmises que les données permettant d’identifier la certification obtenue, sa date de délivrance ainsi que l’organisme qui l’a délivrée, à l’exclusion des modalités d’obtention de la certification par le titulaire (en session normale ou de rattrapage, les appréciations du jury, etc.).
L’article R. 6113-35 projeté
L’article R. 6113-36 projeté
Bien que ces dispositions ne concernent pas, en tant que telles, le traitement de données à caractère personnel, la Commission relève qu’il n’est pas prévu, en l’état, de mécanisme spécifique permettant aux usagers de pallier à la carence éventuelle de la transmission de telles données.
La Commission rappelle que les personnes concernées doivent être en mesure de rectifier ou de compléter les données erronées ou incomplètes qui les concernent, notamment en cas de manquement des organismes de formation à leur obligation de communiquer ces données au SI-CPF.
L’article R. 6113-37 projeté
A cet égard, la Commission rappelle que toute transmission de données à caractère personnel doit assurer la confidentialité et l’intégrité des données transmises. Dans le cas d’une transmission par voie électronique, les données qui transitent sur des réseaux ouverts au public doivent faire l’objet de mesures de chiffrement et d’authentification de l’émetteur et du destinataire. Dans le cas de transmission par voie papier, des mesures de sécurité physiques doivent être mises en œuvre.
Le décret projeté vise également à modifier

R. 6323-36
, existant
La modification projetée ajoute une nouvelle catégorie de personnes à cette liste qui visera dorénavant les personnes et les agents habilités de :
la CDC (en sa qualité de responsable de traitement SI-CPF) ;
des organismes financeurs ;
et des institutions et organismes chargés du conseil en évolution professionnelle mentionnés à l'article L. 6111-6 du code du travail.
La Commission rappelle que l’accès de ces organismes auxdites données ne devra se faire que dans le strict respect des finalités, notamment statistiques, poursuivies par le traitement projeté. En particulier, l’accès à ces données à des finalités différentes, notamment dans le cadre d’appréciation des suites à accorder à une demande de financement de formation, n’est pas couvert par la rédaction actuelle du projet de décret.
Enfin, elle rappelle que les modifications apportées au SI-CPF doivent être portées à la connaissance des personnes concernées dans les conditions prévues par les articles 13 et 14 du RGPD, en particulier sur les modalités d’exercice de leurs droits.
Pour la Présidente,
La Vice-Présidente déléguée
Sophie LAMBREMON