Mise en oeuvre du Système d'information-CPF

Saisie d'un projet de décret et d'un projet d'arrêté sur la modification du "Système d'information du compte personnel de formation", la Commission nationale de l'informatique et des libertés estime que les mesures de sécurité prises par le responsable de traitement sont conformes à la loi informatique et libertés. Elle rappelle toutefois que ces obligations nécessitent la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques, notamment dans le cadre de la mise à jour de l'analyse d'impact.

C'est dans ce contexte que les textes soumis procèdent à l'évolution du traitement de données du SI-CPF.

Un traitement de gestion des parcours, mais pas seulement

Le SI-CPF recouvre maintenant la gestion du parcours de formation du titulaire du compte, la mise à disposition des données des informations relatives à l'offre de formation et la prise en charge des actions de formation de l'inscription aux formations jusqu'au paiement des organismes de formation.

Le SI-CPF est mis sous la responsabilité conjointe du ministre chargé de la Formation professionnelle et de la Caisse des dépôts et consignations.

Les finalités du SI-CPF sont les suivantes :

• gestion et contrôle des droits acquis, ainsi que des abondements complémentaires ;
• l'information du titulaire sur le montant de ses droits, les formations éligibles et les abondements complémentaires ;
• la prise en charge des actions de formation, de l'inscription jusqu'au paiement des prestataires après vérification du service fait ;
• les conditions de mise en relation des titulaires et des organismes de formation conformément aux conditions générales d'utilisation (CGU) ;
• l'analyse de l'utilisation et l'évaluation de la mise en œuvre du CPF ;
• la mise à disposition des services prévus au titre du compte personnel d'activité ;
• la mise à disposition de services permettant d'accompagner le titulaire du CPF pour la construction de son parcours professionnel et de lui formuler des propositions en lien avec ses préférences, attentes et son parcours ;
• le recensement des activités bénévoles ou de volontariat, l'alimentation et la mobilisation des droits inscrits au compte d'engagement citoyen :
• la mise à disposition de services permettant au titulaire de recenser les connaissances et compétences acquises au cours de la formation initiale et continue et de sa carrière ;
• la mise en œuvre du partage des données sur l'entrée et la sortie de formation, ainsi que sur son coût (art. R6323-33 du C. trav.) .

Données à caractère personnel

Pour la gestion et le contrôle des droits acquis, ainsi que pour le recensement des connaissances et compétences acquises par la formation ou l'expérience professionnelles, les données à caractère personnel suivantes peuvent être enregistrées :

• identité et activité professionnelle du titulaire
• parcours professionnel ;
• données d'ordre économique et financier ;
• données relatives aux droits et parcours de formation du titulaire.

Pour les entrées et sorties de formation ainsi que pour le coût des formations peuvent être enregistrées les données suivantes :

• identité et activité professionnelle ;
• actions de formation;
• entrée effective, interruptions et sorties de formation ;
• parcours de formation ;
• parcours professionnel.

Un arrêté précise ces données personnelles (art. R6323-34 du C. trav.).

Les données à caractère personnel comportant le numéro d'inscription des personnes au répertoire national d'identification des personnes physique (NIR) sont listées par l'article R6323-37 du Code du travail.

Droit de modification

Le titulaire du compte personnel de formation accède directement aux données à caractère personnel le concernant, en vue de renseigner et mettre à jour ses données à caractère personnel, son dossier de formation et son passeport d'orientation, de formation et de compétences.

Ont seuls accès à tout ou partie des données à caractère personnel incluses dans le SI-CPF, dans les conditions fixées par les responsables de traitement et dans les limites strictement nécessaires à l'exercice de leurs missions, aux seules fins de la constitution et de la mise à jour des données relatives aux droits acquis et complémentaires, au projet de formation et aux sources de financement de la formation, les personnes et agents habilités des organismes. La liste de ces organismes est fixée par arrêté du ministre chargé de la Formation professionnelle.

Destinataires et alimentation du compte

Les destinataires de tout ou partie des données personnelles sont, dans les limites strictement nécessaires à l'exercice de leurs missions, les personnes et agents habilités pour :

• la gestion et le contrôle des droits acquis et des abondements en droits complémentaires ;
• la mise en relation du titulaire et des organismes de formation ;
• l'analyse de l'utilisation et l'évaluation de la mise en œuvre du CPF. La liste de ces organismes est fixée par arrêté.

Le SI-CPF peut être alimenté par d'autres traitements automatisés de données, mis en relation avec d'autres traitements automatisés comportant ou non un numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (art. R6323-37 du Code du travail).

Les informations enregistrées sont conservées un an, délai prorogé jusqu'à l'intervention d'une décision juridictionnelle en cas de contentieux.

Droits complémentaires et supplémentaires portés à la connaissance de la Caisse des dépôts

L'employeur adresse à la Caisse des dépôts et consignations la liste des salariés bénéficiant d'un abondement complémentaire en vertu d'un accord d'entreprise ou de groupe ou de branche, ainsi que les données permettant leur identification et l'abondement attribué à chacun d'eux.

Il en va de même pour l'abondement du compte en cas de non respect des obligations de l'employeur dans la mise en œuvre de l'entretien professionnel biannuel.

Dans le cadre d'un accord de performance collective, suite au refus de la modification du contrat de travail et du licenciement qui s'en suivrait, l'employeur dispose d'un délai de quinze jours à compter de la notification du licenciement, pour adresser à la Caisse des dépôts et consignations les informations nécessaires à l'abondement du CPF qui l'accompagne avec son montant, le nom du bénéficiaire, ainsi que les données permettant son identification.

Un arrêté du ministre chargé de la Formation professionnelle détermine les données permettant l'identification du travailleur et celles relatives à son activité professionnelle, transmises et utilisées par la Caisse des dépôts et consignations pour l'alimentation du compte personnel de formation.

Pour l'alimentation de droits supplémentaires, à l'exception du titulaire, les financeurs d'un tel abondement alimentent le compte et adressent toujours à la Caisse des dépôts et consignations les informations nécessaires à cette alimentation, notamment le nom du titulaire, les données permettant son identification et le montant attribué.

Une somme d'un montant égal à celui de cette alimentation en droits supplémentaires est versée à la Caisse des dépôts et consignations qui en assure la gestion. Le compte du titulaire est alimenté du montant correspondant dès réception de cette somme (art. R6323-42 du C. trav.).

Les obligations en matière de droits complémentaires ou supplémentaires entrent en vigueur le 1er janvier 2020.

L'arrêté du 11 octobre 2019 définit par annexes :

• les données à caractère personnel pouvant être enregistrées dans le traitement automatisé (Annexe 1) ;
• les organismes dont les personnes et agents sont habilités à accéder aux données à caractère personnel incluses dans le SI-CPF (Annexe 2) ;
• les organismes dont les personnes et agents sont habilités à être destinataires des données à caractère personnel incluses dans le SI-CPF (Annexe 3) ;
• les traitements automatisés pouvant alimenter le SI-CPF et ceux pouvant être mis en relation avec lui (Annexe 4)

Décret n° 2019-1049 du 11 octobre 2019 (JO du 13 octobre 2019)

Délibération CNIL n° 2019-094 du 11 juillet 2019