La Commission nationale de l'informatique et des libertés,
Saisie par la ministre du travail d’une demande d’avis sur un projet de décret modifiant le décret n° 2014-1717 du 30 décembre 2014 portant création du compte personnel de formation ainsi que d’un projet d’arrêté listant les données à caractère personnel collectées et les destinataires des informations enregistrées dans le SI-CPF ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD ) ;
Vu le Code du travail, notamment ses articles L. 6323-8 II, R. 6323-1 à R.6323-40 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-e) ;
Vu la loi n° 2018-771 du 5 septembre 2018 pour la liberté de choisir son avenir professionnel ;
Vu le décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10, et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2014-434 du 23 octobre 2014 portant avis sur un projet de décret relatif à la mise en œuvre d’un traitement de données à caractère personnel dénommé système d’information du compte personnel de formation (SI-CPF) ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
Le compte personnel de formation (CPF), instauré par la loi n° 2014-288 du 5 mars 2014 relative à la formation professionnelle, à l’emploi et à la démocratie sociale, constitue un outil d’accès individuel à la formation professionnelle, ouvert à tout actif de plus de seize ans, quel que soit son statut ainsi qu’aux apprentis dès l’âge de quinze ans.
Le CPF recense les droits acquis par les salariés, les travailleurs handicapés en établissement ou service d’aide par le travail (ESAT) et les travailleurs indépendants, tout au long de leur vie active et jusqu’à leur départ à la retraite, ainsi que les formations dont ils peuvent bénéficier personnellement.
La loi n° 2018-771 du 5 septembre 2018 pour la liberté de choisir son avenir professionnel modifie en profondeur la gouvernance et le financement du système de formation professionnelle.
Cette réforme prévoit notamment que la Caisse des dépôts et consignations est désignée, à compter du 1

Elle prévoit, par ailleurs, l’affichage des droits CPF en euros, de nouvelles formations, des nouvelles possibilités d’abondements et la création d’une application mobile.
L’article 1

L’article 6323-8 II du code du travail, ainsi modifié par la loi, précise que les modalités de mise en œuvre du système d’information du compte personnel de formation (SI-CPF) sont fixées par décret en Conseil d’Etat pris après avis de la Commission nationale de l’informatique et des libertés.
C’est dans ce contexte que la Commission a été saisie pour avis par la Délégation générale à l’emploi et à la formation professionnelle d’un projet de décret modifiant le décret n° 2014-1717 du 30 décembre 2014 portant création du CPF ainsi que d’un projet d’arrêté listant les données à caractère personnel collectées et les destinataires des informations enregistrées dans le SI-CPF sur le fondement de l’article 8-I-2°-e) de la loi Informatique et Libertés .
Aussi, les présents projets de décret et d’arrêté soumis à la Commission procèdent à la mise à jour du cadre juridique du dispositif SI-CPF s’agissant des finalités du traitement, des données traitées et des destinataires de ces données.
Sur la finalité
L’article 1

la gestion et le contrôle des abondements en droits complémentaires associés aux ressources mentionnées à l’article L. 6333-2 du code du travail ;
la prise en charge des actions de formation, à partir des informations sur les formations éligibles, de l’inscription jusqu’au paiement des prestataires mentionnés à l’article L. 6351-1 du code du travail, après vérification du service fait ;
la mise en relation du titulaire du CPF et des prestataires mentionnés à l’article L. 6351-1 du code du travail, conformément aux modalités prévues par les conditions générales d’utilisation du service dématérialisé mentionnées à l’article L. 6323-9 du code du travail ;
l’alimentation et la mobilisation des droits inscrits sur le compte d’engagement citoyen conformément aux dispositions de l’article L. 5151-8 du code du travail ;
la mise à disposition de services permettant d’accompagner le titulaire du CPF dans la construction de son parcours professionnel et de lui formuler des propositions en lien avec ses préférences, ses attentes et son parcours ;
la mise à disposition de services permettant au titulaire du compte de formation de recenser les connaissances et compétences acquises, tout au long de sa formation initiale et continue, ainsi que pendant sa carrière, notamment le passeport d’orientation, de formation et de compétences au II de l’article L. 6323-8 du code du travail.
La Commission considère que les nouvelles finalités poursuivies par le traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 5-1-b) du RGPD.
Sur les données traitées
L’article 1

La Commission relève que, pour améliorer la lisibilité de l’arrêté, les données susceptibles d’être enregistrées et traitées dans le SI-CPF sont listées à l’annexe 1.
S’agissant des nouvelles données à caractère personnel, celles-ci sont relatives :
au titulaire du CPF
au parcours professionnel du titulaire du CPF
aux données d’ordre économique et financier relatives au titulaire du CPF
aux droits et parcours de formation du titulaire du CPF
La Commission estime que les nouvelles données collectées dans le cadre de ce traitement sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par le responsable de traitement, conformément aux dispositions de l’article 5.1.c) du RGPD.
Sur les destinataires
La Commission relève également que, pour améliorer la lisibilité de l’arrêté, les personnes habilitées à accéder et à recevoir communication des informations enregistrées dans le traitement sont listées aux annexes 2 et 3 du projet.
Aussi, les personnels de l’Association de gestion du fonds pour l’insertion professionnelle des personnes handicapées, des organismes de formation et de France Compétences viennent compléter la liste des destinataires des informations enregistrées dans le SI-CPF mentionnés à l’article R. 6323-36 du code du travail afin de prendre en compte les modifications apportées par la loi.
Les nouvelles personnes habilitées à accéder au traitement sont les agents des commissions paritaires interprofessionnelles et ceux des employeurs publics.
La Commission rappelle que ces personnes ne peuvent accéder ou recevoir communication des informations susvisées que dans les limites de leurs attributions légales, et chacune pour ce qui la concerne.
Elle prend acte, par ailleurs, de ce que les organismes paritaires collecteurs agréés ont été remplacés par les opérateurs de compétences.
Sur l’information et les droits des personnes
Les personnes concernées sont informées, conformément aux dispositions de l’article 13 du RGPD, par une mention insérée au portail d’accès au site internet moncompteformation.gouv.fr .
La Commission prend acte de ce que la mention d’information sera mise à jour afin de prendre en compte l’évolution du cadre juridique du CPF.
Les droits de rectification et d’accès s’exercent auprès de la Caisse des dépôts et consignations.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur la durée de conservation
Le projet de décret soumis pour avis à la Commission ne modifie pas les durées de conservation des données.
Aussi, celles-ci seront conservées jusqu’à l’expiration d’un délai de trois ans à compter du décès des titulaires de CPF.
Ce délai sera prorogé, en cas de contentieux, jusqu’au prononcé d’une décision juridictionnelle définitive.
Toutefois, l’article 1

A cet égard, la Commission rappelle que pour se prévaloir de l’anonymisation d’un jeu de données, le responsable de traitement doit être en mesure de démontrer que ses processus d’anonymisation respectent les conditions de l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le Comité européen de la protection des données. A défaut, si ces trois critères ne peuvent être réunis, une étude des risques de ré-identification doit être menée.
La Commission rappelle, enfin, que le RGPD ne s’applique pas aux données anonymes : ces dernières peuvent, par conséquent, être conservées sans limitation de durée.
Sur les mesures de sécurité
La Commission souligne qu’elle a déjà rendu plusieurs avis sur le SI-CPF et précise que les modalités techniques de mise en œuvre du traitement ne sont que modérément impactées par les modifications énoncées précédemment.
La Commission rappelle tout d’abord que le traitement étant un téléservice au sens de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, il doit être conforme au Référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010 susvisé. Elle rappelle également qu’il revient au responsable de traitement d’attester formellement de l'acceptation du niveau de sécurité du téléservice au travers d’une homologation RGS et d'en publier l'attestation d'homologation sur son site. A cet égard, la Commission prend acte des précisions du ministère selon lesquelles une présentation en commission d’homologation prévisionnelle aura lieu durant le deuxième semestre 2019 pour l’application mobile et le nouveau site internet.
Concernant l’application mobile, la Commission prend acte de ce que les services web utilisés par cette application seront les mêmes que ceux existants pour le site internet et seront ainsi sécurisés de la même manière. La Commission recommande l’utilisation du protocole TLS dans sa version la plus à jour et avec des suites cryptographiques fortes.
Concernant le traitement du numéro d’inscription au Répertoire national d’identification des personnes physiques ( NIR ), la Commission relève que les NIR sont stockés sous forme hachée dans l’annuaire informatique des titulaires de droits grâce à une fonction de hachage cryptographique à l’état de l’art. Afin de mieux protéger les NIR contre une attaque par force brute, la Commission recommande l’utilisation d'un sel secret qui ne soit pas conservé dans le même espace de stockage.
De plus, la Commission relève que les NIR ainsi que d’autres données issues de la déclaration sociale nominative peuvent être stockés en clair avant d’être traités pour la consommation des droits au CPF. Les NIR peuvent également être stockés sous forme tronquée dans certaines applications métier du SI-CPF. Compte tenu de la nature de ces données, la Commission recommande que les bases de données et leurs sauvegardes soient chiffrées.
Concernant le traitement des données d’ordre économique et financier, la Commission prend acte de ce que les données relative à la carte bancaire utilisées lors du paiement en ligne du reste à charge ne sont pas véhiculées ni stockées dans le SI-CPF.
La Commission relève que l'authentification au portail du SI-CPF est conforme à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe. La Commission recommande toutefois le déploiement d’une authentification forte utilisant un facteur d’authentification supplémentaire.
La Commission relève que la gestion des habilitations aux applications est gérée par une solution centralisée, fait l'objet d'une procédure documentée et que des revues d'habilitation sont mises en œuvre deux fois par an.
Concernant la traçabilité des actions, la Commission relève que les traces relatives aux actions des usagers du portail SI-CPF sont conservées pendant un an glissant, conformément à ses préconisations.
La Commission relève également que les accès aux traces de production sont sécurisés

La Commission relève de plus qu’un contrôle automatique de certains événements de sécurité a été mis en place, afin de détecter les comportements anormaux et de générer des alertes le cas échéant.
Enfin, elle relève que la Caisse des dépôts et consignations conduit régulièrement des audits de sécurité et des tests d’intrusion sur les infrastructures et sur les applications du SI- CPF.
Sous réserve des précédentes observations, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 99 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. À cet égard, elle rappelle qu’il conviendra d’apporter une attention spécifique à la réévaluation des mesures de sécurité dans le cadre de la mise à jour de l’analyse d’impact.
Pour La Présidente
La Vice-Présidente déléguée
Sophie LAMBREMON