Contexte : pourquoi cette mise à jour réglementaire est importante
Le ministère du Travail, de la Santé et des Solidarités a publié, le 10 septembre 2026, une actualisation de sa page officielle relative au traitement des données personnelles dans le cadre du pilotage des dispositifs de la politique de l'emploi et de la formation professionnelle. Cette publication intervient dans un contexte de renforcement général des obligations issues du Règlement général sur la protection des données (RGPD, Règlement UE 2016/679) et de la loi Informatique et Libertés modifiée (loi n°78-17 du 6 janvier 1978), dont la mise en conformité reste une obligation permanente pour tous les acteurs du secteur.
Pour les organismes de formation (OF), les centres de formation d'apprentis (CFA), les opérateurs de compétences (OPCO) et les prestataires intervenant dans le cadre du Compte Personnel de Formation (CPF) ou d'autres dispositifs publics, cette mise à jour constitue un signal d'alerte : le ministère réaffirme son rôle de responsable de traitement sur plusieurs bases de données nationales, et précise les conditions dans lesquelles les données des stagiaires, apprentis et demandeurs d'emploi sont collectées, utilisées et conservées.
Ce qui change concrètement
La mise à jour ministérielle porte sur la clarification des finalités de traitement des données personnelles collectées dans le cadre :
- Du suivi statistique et du pilotage des politiques publiques d'emploi et de formation ;
- De la gestion des dispositifs financés par l'État (CPF, FNE-Formation, Pro-A, etc.) ;
- Des systèmes d'information partagés entre les acteurs institutionnels (France Travail, OPCO, Caisse des dépôts).
Le ministère rappelle notamment que les traitements s'appuient sur la base légale de mission d'intérêt public (article 6.1.e du RGPD), ce qui implique que les personnes concernées disposent d'un droit d'opposition limité, mais que les droits d'accès, de rectification et de limitation restent pleinement applicables.
Qui est concerné et quelles obligations s'appliquent
Tous les acteurs transmettant des données à caractère personnel dans le cadre des dispositifs publics de formation sont potentiellement co-responsables de traitement ou sous-traitants au sens du RGPD. Sont directement visés :
- Les organismes de formation certifiés Qualiopi collectant des données sur leurs stagiaires via des SI connectés aux plateformes de l'État ;
- Les CFA transmettant des données apprentis à des systèmes nationaux (DECA, SI-APPRENTISSAGE) ;
- Les prestataires CPF utilisant la plateforme Mon Compte Formation gérée par la Caisse des dépôts ;
- Les OPCO et organismes financeurs en contact avec les systèmes d'information ministériels.
Actions à mener immédiatement
- Vérifier votre registre des activités de traitement (RAT) : assurez-vous que les traitements liés aux dispositifs publics y figurent bien, avec les bases légales correctement identifiées.
- Mettre à jour vos mentions d'information : les stagiaires, apprentis et bénéficiaires doivent être informés des traitements réalisés dans le cadre du pilotage public, conformément à l'article 13 du RGPD.
- Vérifier vos contrats de sous-traitance : si vous transmettez des données à des plateformes ou SI publics, une clause de sous-traitance conforme à l'article 28 du RGPD doit être formalisée.
- Consulter votre DPO ou référent RGPD : en l'absence de délégué à la protection des données, rapprochez-vous de la CNIL (cnil.fr) pour obtenir des ressources adaptées aux petites structures.
Points clés à retenir
- Publication le 10 septembre 2026 par le ministère du Travail, de la Santé et des Solidarités.
- Fondement juridique : RGPD (Règlement UE 2016/679) et loi Informatique et Libertés n°78-17 du 6 janvier 1978 modifiée.
- Tous les acteurs transmettant des données dans le cadre de dispositifs publics sont concernés.
- Aucun délai de grâce : les obligations RGPD sont d'application immédiate et permanente.
- En cas de manquement, les sanctions peuvent atteindre 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros (article 83 du RGPD).