Après avoir entendu M. Eric PERES, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le 23 octobre 2014, la commission a rendu un avis sur un projet de décret portant création par le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social d'un traitement automatisé de données à caractère personnel, dénommé « Système d'information du compte personnel de formation » (SI-CPF), relatif à la gestion des droits inscrits ou mentionnés au compte personnel de formation.
La commission a été par la suite saisie par le ministre du travail, de l'emploi, de la formation professionnelle et du dialogue social d'une demande d'avis concernant un projet d'acte réglementaire relatif à la création, par certains des acteurs de la formation professionnelle, de traitements nécessaires à la mise en œuvre des comptes personnels de formation et à la connexion au SI-CPF.
Certains acteurs habilités à intervenir de la formation professionnelle ne sont toutefois pas concernés par ces actes réglementaires mais néanmoins amenés à mettre en œuvre des traitements similaires.
Dans la mesure où la connexion au SI-CPF est indispensable pour bénéficier d'une formation professionnelle et impose de renseigner le numéros d'inscription des personnes au répertoire national d'identification des personnes physiques du titulaire d'un compte accompagné de son nom, la commission a souhaité alléger les formalités pour les acteurs de la formation professionnelle n'étant pas autorisés à traiter de tels numéros.
En effet, lorsqu'un traitement de données à caractère personnel porte sur des données parmi lesquelles figurent des numéros d'inscription des personnes au répertoire national d'identification des personnes physiques, il y a lieu de faire application des dispositions du 6° du I de l'article 25 de la loi du 6 janvier 1978 modifiée prévoyant que le traitement doit être autorisé par la commission.
Toutefois, en application des dispositions du II de l'article 25 de la loi du 6 janvier 1978 modifiée, la commission peut autoriser par une décision unique une catégorie de traitements qui répondent aux mêmes finalités, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires.
Les traitements automatisés de données à caractère personnel mis en œuvre par les organismes de droit privé habilités à intervenir dans le domaine de la formation professionnelle pour mettre en œuvre des comptes personnels de formation et se connecter au SI-CPF sont de ceux qui peuvent, sous certaines conditions, relever de cette définition.
Les responsables de traitement qui adressent à la commission une déclaration comportant un engagement de conformité pour les traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à les mettre en œuvre.
Tout traitement de données à caractère personnel qui excède le cadre ou les exigences définis par la présente autorisation unique doit en revanche faire l'objet d'une demande d'autorisation spécifique.