La Commission nationale de l’informatique et des libertés,
Saisie par la ministre du travail d’une demande d’avis portant sur un projet de décret relatif à l’obligation d’information des organismes de formation sur les entrées et les sorties de formation au bénéfice des financeurs de la formation professionnelle ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code du travail, notamment ses articles L. 6121-5 et L. 6353-10 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Vu le décret n° 2017-772 du 4 mai 2017 relatif à l'organisation de l'échange de données dématérialisées relatives à la formation professionnelle entre les organismes financeurs de la formation professionnelle, les institutions et organismes chargés du conseil en évolution professionnelle et le compte personnel de formation ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2017-109 du 13 avril 2017 portant avis sur un projet de décret organisant l’échange de données dématérialisées relatives à la formation professionnelle, entre les organismes financeurs de la formation professionnelle, les institutions et organismes chargés du conseil en évolution professionnelle et le compte personnel de formation ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie, en urgence, par la ministre du travail, sur le fondement de l’article 8-I-4°-a) de la loi du 6 janvier 1978 modifiée, d’une demande d’avis sur un projet de décret relatif à l’obligation d’information des organismes de formation sur les entrées et les sorties de formation au bénéfice des financeurs de la formation professionnelle.
L’alinéa 1 de l’article L. 6353-10 du code du travail prévoit que les organismes de formation informent les organismes qui financent la formation du début, des interruptions et de l’achèvement des formations suivies par les stagiaires, et leur communiquent les données relatives à l'emploi et au parcours de formation professionnelle dont ils disposent sur ces stagiaires.
La Commission rappelle que le décret n° 2017-772 du 4 mai 2017, sur lequel elle a rendu un avis le 13 avril 2017, organise l’échange de données dématérialisées relatives à la formation professionnelle entre les organismes financeurs de la formation professionnelle, les institutions et organismes chargés du conseil en évolution professionnelle et le compte personnel de formation.
L’article L. 6121-5 du code du travail dispose par ailleurs que les prestataires mentionnés à l’article L. 6351-1 (soit les organismes réalisant des actions de formation, des bilans de compétence, des validations des acquis de l’expérience et des formations d’apprentissage), informent Pôle emploi ainsi que les missions locales et les Cap emploi, de l’entrée effective, de l’interruption et de la sortie effective de formation d’une personne inscrite sur la liste des demandeurs d'emploi ou bénéficiant d'un accompagnement personnalisé au sein desdites structures.
Les articles L. 6353-10 al.1 et L. 6121-5 renvoient chacun à un décret le soin de déterminer les modalités de délivrance des informations.
C’est dans le cadre de ces deux renvois que la Commission a été saisie pour avis.
En premier lieu
Il précise également que les organismes de formation s'assurent auprès des organismes financeurs de leur habilitation à accéder au système d'information permettant la transmission dématérialisée de ces événements. A défaut, ces informations doivent être transmises aux organismes financeurs dans les trois jours sous format papier.
Si le délai prévu n’appelle pas d’observation, la Commission rappelle que toute transmission de données à caractère personnel doit assurer la confidentialité et l’intégrité des données transmises.
Ainsi, dans le cas d’une transmission par voie électronique, les données qui transitent sur des réseaux ouverts au public doivent faire l’objet de mesures de chiffrement et d’authentification de l’émetteur et du destinataire. Dans le cas de transmission par voie papier, des mesures de sécurité physiques doivent être mises en œuvre.
En second lieu,
Sur ce dernier point, la Commission invite le ministère à préciser la rédaction de cette disposition qui peut être comprise soit, comme renvoyant pour l’acquittement de l’obligation de l’article L. 6121-5 du code du travail aux conditions du I, soit, sur le principe du guichet unique, comme signifiant que l’information d’un organisme financeur permettrait de ne pas informer Pôle emploi ainsi que les missions locales et les Cap emploi.
Pour La Présidente
La Vice-Présidente déléguée
Sophie LAMBREMON