Mon Activité Formation : une plateforme au cœur de la conformité réglementaire
La plateforme Mon Activité Formation, gérée par le Ministère du Travail, de la Santé et des Solidarités, constitue aujourd'hui un outil incontournable pour les organismes de formation (OF), les centres de formation d'apprentis (CFA) et les formateurs indépendants. Elle permet notamment de déclarer l'activité de formation, d'accéder aux données de fréquentation des formations financées, et de renseigner les informations relatives aux actions menées. Mais derrière cet outil pratique se cache une réalité juridique que les acteurs du secteur ne peuvent ignorer : le traitement de données personnelles qu'il implique est soumis à un cadre réglementaire précis, en application du Règlement Général sur la Protection des Données (RGPD) et de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dite loi Informatique et Libertés.
À l'heure où la conformité RGPD devient un critère de plus en plus scruté — y compris dans le cadre des audits Qualiopi — il est essentiel pour les professionnels de la formation de comprendre précisément quelles données sont collectées, dans quel but, et quels sont leurs droits et obligations en la matière.
Quelles données personnelles sont traitées par la plateforme ?
La plateforme Mon Activité Formation collecte et traite plusieurs catégories de données à caractère personnel, principalement dans le but de piloter et de contrôler l'activité de formation professionnelle sur le territoire national. Parmi les données concernées, on peut distinguer :
- Les données d'identification des représentants légaux des organismes de formation (nom, prénom, coordonnées professionnelles).
- Les données relatives aux stagiaires et apprenants : identité, numéro de Sécurité sociale dans certains cas, parcours de formation suivi.
- Les données financières liées aux prises en charge (montants des formations, financeurs mobilisés, OPCO, CPF, etc.).
- Les données de connexion et de navigation sur la plateforme, à des fins de sécurité et de traçabilité.
Le Ministère du Travail agit en qualité de responsable de traitement pour l'ensemble de ces données, au sens de l'article 4 du RGPD. Les organismes de formation, lorsqu'ils transmettent des données via la plateforme, peuvent quant à eux être qualifiés de sous-traitants ou de responsables conjoints selon les cas, ce qui emporte des obligations spécifiques en matière de sécurité et de confidentialité des données.
Les bases légales du traitement et les droits des personnes concernées
Conformément aux exigences du RGPD, chaque traitement de données doit reposer sur une base légale identifiée. Dans le cadre de Mon Activité Formation, les traitements s'appuient principalement sur :
- L'exécution d'une mission d'intérêt public (article 6, paragraphe 1, point e du RGPD), dans la mesure où le suivi de l'activité de formation professionnelle relève des prérogatives de l'État.
- Le respect d'une obligation légale (article 6, paragraphe 1, point c), notamment au titre des dispositions du Code du travail relatives à la déclaration d'activité des organismes de formation (articles L. 6351-1 et suivants).
Les personnes dont les données sont traitées — qu'il s'agisse des dirigeants d'OF ou des apprenants — disposent de droits garantis par la loi Informatique et Libertés et le RGPD :
- Droit d'accès aux données les concernant.
- Droit de rectification en cas d'inexactitude.
- Droit à la limitation du traitement dans certaines circonstances.
- Droit d'opposition, sous réserve des motifs légitimes liés à l'intérêt public.
Ces droits s'exercent directement auprès du Ministère du Travail, via les canaux de contact officiels indiqués sur la plateforme, ou auprès du Délégué à la Protection des Données (DPO) ministériel.
Ce que cela implique concrètement pour les organismes de formation
Pour les dirigeants d'organismes de formation, les responsables de CFA et les formateurs indépendants, la publication de cette notice de traitement par le Ministère n'est pas anodine. Elle rappelle plusieurs obligations pratiques à respecter :
- Informer leurs propres apprenants du fait que leurs données sont transmises à la plateforme Mon Activité Formation dans le cadre légal de la déclaration d'activité. Cette information doit figurer dans la politique de confidentialité de l'OF.
- Mettre à jour leur registre des traitements (obligatoire pour tout organisme traitant des données à grande échelle ou de manière régulière, conformément à l'article 30 du RGPD) en y intégrant les flux de données vers Mon Activité Formation.
- Vérifier les clauses de leurs contrats avec les financeurs (OPCO, Caisse des Dépôts pour le CPF) afin de s'assurer de la cohérence des bases légales invoquées pour chaque traitement.
- Former leurs équipes à la manipulation sécurisée des données personnelles, notamment lors de la saisie sur la plateforme.
À noter que dans le cadre des audits de certification Qualiopi, le critère 6 relatif à la veille réglementaire inclut désormais le suivi des évolutions en matière de protection des données. Ne pas être en mesure de justifier d'une conformité RGPD peut constituer un point de non-conformité lors de l'audit.
Points clés à retenir
- Mon Activité Formation traite des données personnelles sous la responsabilité du Ministère du Travail, sur la base de l'intérêt public et d'obligations légales issues du Code du travail.
- Les organismes de formation ont l'obligation d'informer leurs apprenants de ces transferts de données dans leur documentation interne (CGV, règlement intérieur, politique de confidentialité).
- Le registre des traitements de l'OF doit être mis à jour pour intégrer les flux de données vers la plateforme ministérielle.
- Les droits des personnes (accès, rectification, opposition) s'exercent auprès du DPO du Ministère du Travail.
- La conformité RGPD est un enjeu croissant dans les audits Qualiopi — anticiper vaut mieux que corriger.
Face à la densification du cadre réglementaire autour des données personnelles dans le secteur de la formation, les organismes ont tout intérêt à se doter d'une politique de protection des données robuste, documentée et régulièrement mise à jour. La publication de cette notice par le Ministère du Travail est une occasion de faire le point sur sa propre conformité.