CNIL, Délibération du 12 décembre 2019, n° 2019-147

La Commission nationale de l’informatique et des libertés,

Saisie par la ministre du travail d’une demande d’avis portant sur un projet de décret relatif à la mise en œuvre par France compétences du système d’information national commun aux commissions paritaires interprofessionnelles régionales ;

Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD ) ;

Vu le code du travail, notamment son article L. 6323-17-2 ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;

Vu la loi n° 2018-771 du 5 septembre 2018 pour la liberté de choisir son avenir professionnel ;

Vu le décret n° 2018-1332 du 28 décembre 2018 relatif à l’utilisation du compte personnel de formation dans le cadre d’un projet de transition professionnelle et aux conditions d’ouverture et de rémunération des projets de transition professionnelle ;

Vu le décret n° 2018-1339 du 28 décembre 2018 relatif aux modalités d’organisation et de fonctionnement des commissions paritaires interprofessionnelles régionales et aux conditions d’ouverture et de rémunération des projets de transition professionnelle ;

Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2014-434 du 23 octobre 2014 portant avis sur un projet de décret relatif à la mise en œuvre d’un traitement de données à caractère personnel dénommé système d’information du compte personnel de formation (SI-CPF) ;

Vu la délibération n° 2019-094 du 11 juillet 2019 portant avis sur un projet de décret modifiant le décret n° 2014-1717 du 30 décembre 2014 portant création du compte personnel de formation ainsi que d’un projet d’arrêté listant les données à caractère personnel collectées et les destinataires des informations enregistrées dans le SI-CPF ;

Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M^me Nacima BELKACEM, commissaire du Gouvernement,

Emet l’avis suivant :

La Commission a été saisie, en urgence, par la ministre du travail, sur le fondement de l’article 8-I-4°-a) de la loi du 6 janvier 1978 modifiée, d’une demande d’avis sur un projet de décret en Conseil d’Etat relatif à la mise en œuvre par France compétences, du système d’information national commun aux commissions paritaires interprofessionnelles régionales, pris pour application de l’article L. 6323-17-2 du code du travail dans sa rédaction issue de la loi n° 2018-771 du 5 septembre 2018 pour la liberté de choisir son avenir professionnel.

France compétences, créée par l’article 36 de la loi n°2018-771 susvisée, est une institution publique nationale dotée de la personnalité morale et de l’autonomie financière qui a pour mission d’assurer le financement, la régulation, le contrôle et l’évaluation du système de la formation professionnelle et de l’apprentissage.

L’article 1^er de la loi n° 2018-771 prévoit la création de commissions paritaires interprofessionnelles régionales, agréées par l’autorité administrative, qui se substituent aux organismes paritaires agréés pour la prise en charge des congés individuels de formation.

Ces commissions paritaires interprofessionnelles régionales ont pour missions, d’une part, de valider, d’accompagner et de prendre en charge financièrement les projets de transition professionnelle des salariés, d’autre part, d’assurer le suivi de la mise en œuvre du conseil en évolution professionnelle sur le territoire régional, et enfin, d’attester du caractère réel et sérieux des projets professionnels des salariés souhaitant démissionner dans le cadre de la procédure mentionnée au 2° du II de l’article L. 5422-1 du code du travail.

L’article L. 6323-17-2 du code du travail prévoit qu’un système d’information national commun à ces commissions paritaires interprofessionnelles régionales (ci-après SI- CPIR ) est mis en œuvre par France compétences, et que ses règles de création et d’alimentation seront précisées par décret en Conseil d’Etat.

C’est dans le cadre de ce projet de décret que la Commission a été saisie.

En premier lieu, la Commission relève que l’article 1^er du projet de décret prévoit que France compétences est responsable de la conception et de la mise en œuvre du SI-CPIR, en ce compris le traitement de données à caractère personnel y afférent.

Cet article précise notamment que France compétences détermine les modalités et les actions d’accompagnement nécessaires à son utilisation par les commissions paritaires interprofessionnelles régionales.

Le rôle de France compétences prévu par le projet de décret n’appelle pas d’observation particulière.

En deuxième lieu, ainsi qu’elle l’avait fait dans sa délibération n° 2019-094 du 11 juillet 2019, la Commission rappelle qu’au regard des données qui y seront traitées notamment celles relatives à l’identité et à l’activité professionnelle du titulaire du CPF, la mise en œuvre de ce dispositif doit s’accompagner de mesures de sécurité robustes, de nature notamment à garantir l’intégrité et la confidentialité des données transmises, y compris par des mesures de sécurité physiques dans le cas de transmissions par voie papier. Elle souligne en tout état de cause que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques

La Commission rappelle qu’il revient au responsable de traitement de s’assurer que le système d’information mis en œuvre soit conforme au référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010, et de réaliser, à ce titre, une analyse de risques incluant les risques pesant sur les personnes concernées.

En troisième lieu, la Commission rappelle que les agents des commissions paritaires interprofessionnelles régionales ne peuvent accéder ou recevoir communication des informations susvisées que dans les limites de leurs attributions légales, et chacune pour ce qui la concerne.

Pour la Présidente

La Vice-Présidente déléguée

Sophie LAMBREMON