La Commission nationale de l'informatique et des libertés,
Saisie par la délégation générale à l'emploi et à la formation professionnelle d'une demande d'avis modificative concernant le Compte personnel d'activité et le Compte personnel de formation des agents des chambres d'agriculture, des chambres de commerce et des chambres de métiers et de l'artisanat et dans la fonction publique et des salariés licenciés suite au refus d'une modification du contrat de travail résultant de la négociation d'un accord d'entreprise ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code du travail, notamment les articles L. 2254-2, L. 3243-2 et L. 5151-6 et les articles R. 6323-15 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 27-I (1°) ;
Vu la loi n° 2016-1088 du 8 août 2016 relative au travail, à la modernisation du dialogue social et à la sécurisation des parcours professionnels, notamment ses articles 39 et 54 ;
Vu l'ordonnance n° 2017-43 du 19 janvier 2017 mettant en œuvre le compte personnel d'activité pour différentes catégories d'agents des chambres d'agriculture, des chambres de commerce et des chambres de métiers et de l'artisanat ;
Vu l'ordonnance n° 2017-53 du 19 janvier 2017 portant diverses dispositions relatives au compte personnel d'activité, à la formation et à la santé et la sécurité au travail dans la fonction publique ;
Vu l'ordonnance n° 2017-1385 du 22 septembre 2017 relative au renforcement de la négociation collective ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2016-344 du 17 novembre 2016 portant avis sur un projet de décret relatif à la mise en œuvre, par la Délégation générale à l'emploi et à la formation professionnelle, d'un traitement de données à caractère personnel dénommé « Système d'information du Compte personnel d'activité » (SI-CPA), et sur un projet de décret relatif à la dématérialisation des bulletins de paie et leur accessibilité via le CPA ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après entendu les observations de M. Michel TEIXEIRA, adjoint au commissaire du Gouvernement,
Emet l'avis suivant :
La loi n° 2016-1088 du 8 août 2016 relative au travail, à la modernisation du dialogue social et à la sécurisation des parcours professionnels, a créé l'article L. 5151-1 dans le code du travail qui institue le Compte personnel d'activité (CPA), ayant notamment pour objectif, « par l'utilisation des droits qui y sont inscrits, de renforcer l'autonomie et la liberté d'action de son titulaire et de sécuriser son parcours professionnel en supprimant les obstacles à la mobilité ». Ce compte comporte le compte personnel de formation (CPF), le compte professionnel de prévention (C2P, anciennement « compte personnel de prévention de la pénibilité ») et le compte engagement citoyen (CEC).
La commission, qui s'était prononcée sur les modalités de mise en oeuvre du CPA (délibération n° 2016-344), est saisie d'une demande d'avis sur un projet de décret modificatif, pris pour l'application des dispositions de l'ordonnance n° 2017-43 du 19 janvier 2017 mettant en oeuvre le compte personnel d'activité pour différentes catégories d'agents des chambres d'agriculture, des chambres de commerce et des chambres de métiers et de l'artisanat, de l'ordonnance n° 2017-53 du 19 janvier 2017 portant diverses dispositions relatives au compte personnel d'activité, à la formation et à la santé et la sécurité au travail dans la fonction publique, ainsi que de l'ordonnance n° 2017-1385 du 22 septembre 2017 relative au renforcement de la négociation collective.
Des modifications sont apportées aux dispositions réglementaires relatives au CPA ainsi qu'au CPF, et portent sur :

- les destinataires des données collectées au titre de la mise en oeuvre du CPA ;
- les données collectées dans le cadre du CPF ;
- les personnes pouvant accéder au CPF ;
- les sources d'alimentation du CPF.

La modification relative aux données collectées dans le cadre du CPF n'appelant pas d'observation de la Commission, elle n'est pas abordée dans la présente délibération.
Sur les personnes destinataires des données du CPA :
L'article 1er du projet de décret ajoute à l'article R. 5151-6 du code du travail, les agents de la direction générale de l'administration et de la fonction publique (DGAFP), les agents de la direction générale des collectivités locales, les agents de la direction générale de l'offre de soins ainsi que les agents de la direction de la recherche, des études, de l'évaluation et des statistiques (DREES).
La Commission prend acte du fait que ces organismes sont destinataires des données dans le but de réaliser un suivi statistique du déploiement du CPA, et selon des modalités équivalentes à celles prévues pour les organismes visés à l'article R. 5151-6 dans sa version actuelle.
La Commission recommande que le projet de décret indique, conformément aux précisions apportées par la DGEFP, que la DREES a accès aux données collectées dans le cadre du CPA à des fins statistiques portant sur le personnel de la fonction publique hospitalière.
Sur les personnes accédant directement aux données contenues dans le CPF :
Parmi les agents listés par l'article 2 (2°) du projet de décret figurent les agents des établissements du réseau des chambres d'agriculture et des organismes inter-établissements de ce réseau. Ceux-ci accèdent aux données du CPF pour accompagner les agents dans le dépôt d'une demande de mobilisation de compte (CPA et CPF), ainsi que pour réaliser des statistiques sur la mobilisation de ces comptes.
La Commission recommande que, par souci de transparence et de cohérence, ces compléments d'information figurent dans l'acte réglementaire qui, par ailleurs, énonce les besoins d'accéder aux données, des autres organismes listés.
Sur les sources d'alimentation du CPF :
L'article 2 (3°) du projet de décret ajoute deux sources d'alimentation du CPF permettant de collecter les données utiles au calcul du nombre d'heures de formation acquises par les agents concernés depuis 2007, date d'entrée en vigueur du Droit individuel à la formation ou DIF.
D'une part, le CPF peut être alimenté par les données collectées par la Caisse des dépôts et consignations (CDC) pour la gestion du régime de retraite additionnel de la fonction publique (RAFP) et du Fonds spécial des pensions des ouvriers des établissements industriels de l'Etat (FSPOIE).
D'autre part, le CPF peut être alimenté par les données collectées par les employeurs dans la mesure où, s'agissant des agents non titulaires de l'Etat et des collectivités publiques, les données de la caisse de retraite complémentaire (IRCANTEC) ne seraient pas exploitables du fait que ses fichiers sont annuels. En effet, les agents contractuels étant susceptibles de connaître des ruptures de contrats en cours d'année, selon le responsable de traitement, il serait quasiment impossible de déterminer, à partir des fichiers annuels de l'IRCANTEC, la durée d'ancienneté des agents contractuels pour pré-alimenter leur CPF.
Il serait donc envisagé de procéder à un échange de fichiers de données ou à une alimentation manuelle de la part des employeurs. A terme, le CPF devrait être alimenté uniquement par la DADS puis, à compter de 2020, par la Déclaration sociale nominative (DSN).
La Commission rappelle que quel que soit le moyen de transmission utilisé, seules les informations pertinentes au regard de la finalité poursuivie devront être transmises conformément aux dispositions de l'article 6 (3°) de la loi du 6 janvier 1978 modifiée. Cette transmission d'informations devra s'accompagner de mesures adéquates permettant de garantir la confidentialité et la sécurité des données échangées.
La Commission relève enfin, à l'article 3 du projet de décret, la référence à l'article L. 2254-2 du code du travail comme source d'alimentation du CPF qui prévoit l'abondement en heures de formation, par l'employeur, du CPF d'un salarié licencié suite au refus d'une modification de son contrat de travail résultant de la négociation d'un accord d'entreprise. Cet article précise également que les modalités d'abondement du compte devront être définies par décret.
La Commission souligne que l'article 3 du présent projet de décret ne vise qu'à permettre le transfert de données vers le CPF. Elle note que le décret fixant les modalités d'abondement du CPF est actuellement en cours d'élaboration. Celui-ci devrait être soumis à l'avis de la Commission dans la mesure où il serait relatif à un traitement de données à caractère personnel.