RGPD et formation en entreprise : ce que les DRH doivent savoir

Quelles données la formation produit-elle ?

Une plateforme de formation (LMS ou autre) traite plusieurs catégories de données :

• identification : nom, adresse électronique professionnelle, service, poste, manager ;
• activité pédagogique : connexions, temps passé, progression, tentatives, réponses aux questions lorsqu'elles sont conservées ;
• résultats : scores, niveaux atteints, attestations, historique des formations suivies ;
• données produites par l'IA, le cas échéant : lacunes estimées, recommandations de parcours, niveau de maîtrise inféré.

Le référentiel de la CNIL range explicitement la formation parmi les finalités de la gestion du personnel : gestion des demandes de formation et des périodes effectuées, organisation des sessions, évaluation des connaissances et des formations.

Quel est le cadre de référence ?

Le RGPD (règlement (UE) 2016/679) s'applique à tout traitement de données de salariés. Pour la gestion du personnel, la CNIL a adopté un référentiel relatif aux traitements de données à caractère personnel mis en œuvre aux fins de gestion du personnel (délibération n° 2019-160 du 21 novembre 2019, modifiée le 23 mai 2022). Ce référentiel n'est pas obligatoire, mais un organisme qui s'en écarte doit pouvoir justifier ses choix. Il exclut de son champ les traitements algorithmiques à des fins de profilage.

Quelle base légale retenir ?

Le référentiel propose, à titre indicatif :

Traitement lié à la formation	Base légale indiquée par la CNIL
Gestion des demandes de formation et des périodes de formation effectuées	Exécution du contrat de travail
Organisation des sessions et évaluation des connaissances et des formations	Intérêt légitime de l'employeur
Gestion prévisionnelle des emplois et des compétences, gestion des compétences	Intérêt légitime

Le consentement est rarement une base adaptée dans la relation de travail, car le salarié n'est libre de refuser que si son refus n'a aucune conséquence pour lui.

Quelles obligations pour l'employeur ?

Tenir le registre. L'exemption de registre prévue pour les organismes de moins de 250 salariés ne s'applique pas lorsque le traitement n'est pas occasionnel (article 30, paragraphe 5, du RGPD). Un suivi de formation continu doit donc figurer au registre, quelle que soit la taille de l'entreprise.

Informer les salariés. Avant le premier accès à la plateforme : finalités, base légale, destinataires, durée de conservation, droits et modalités d'exercice. La CNIL recommande une information écrite.

Limiter l'accès. Selon le référentiel, seules les personnes habilitées au titre de leurs fonctions accèdent aux données, dans la stricte limite de leurs attributions : service RH ou formation, supérieurs hiérarchiques. En application du principe de minimisation (article 5 du RGPD), un manager a besoin de savoir si la formation a été suivie et quel niveau a été atteint ; l'accès au détail des réponses individuelles doit être justifié par un besoin précis.

Fixer une durée de conservation. Elle dépend de la finalité : en principe la durée de la relation de travail, puis un archivage intermédiaire à accès restreint lorsque des règles de prescription ou des obligations légales le justifient. Le référentiel donne des exemples chiffrés pour la paie ou les registres, pas de durée spécifique pour la formation : c'est à l'employeur de la fixer et de la documenter.

Encadrer l'éditeur. L'éditeur de la plateforme est en général sous-traitant : un contrat conforme à l'article 28 du RGPD fixe les instructions, la sécurité, le sort des données en fin de contrat et les audits. Tout transfert hors de l'Union européenne doit reposer sur une décision d'adéquation ou des garanties appropriées (articles 44 et suivants).

Quand une analyse d'impact (AIPD) est-elle obligatoire ?

Le référentiel de la CNIL classe la gestion des formations, pour les organismes de moins de 250 personnes et sans profilage, parmi les traitements qui ne requièrent pas d'AIPD. À l'inverse, les traitements visant à proposer des formations personnalisées grâce à un algorithme figurent parmi les exemples de traitements pour lesquels une AIPD est requise. Dans les autres cas, une AIPD est obligatoire dès que deux des neuf critères du Comité européen de la protection des données sont réunis, dont l'évaluation ou la notation, la décision automatisée et les personnes vulnérables ; la CNIL rappelle que les salariés peuvent être considérés comme vulnérables du fait du déséquilibre avec l'employeur.

Quels droits pour les salariés ?

• Accès et rectification de leurs données, à tout moment.
• Opposition pour des raisons tenant à leur situation particulière, lorsque le traitement repose sur l'intérêt légitime (article 21) ; l'employeur peut poursuivre s'il démontre des motifs légitimes et impérieux.
• Portabilité, limitée aux données fournies par le salarié et traitées sur la base du contrat ou du consentement, par des procédés automatisés (article 20).
• Effacement, limité pendant la relation de travail, applicable une fois les durées de conservation écoulées.
• Ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets significatifs, par exemple l'exclusion automatique d'un parcours (article 22).

Ce que change le règlement européen sur l'IA

Le règlement (UE) 2024/1689 (AI Act) s'ajoute au RGPD lorsque la plateforme utilise l'IA.

• Pratique interdite. Depuis le 2 février 2025, l'utilisation de systèmes d'IA pour inférer les émotions d'une personne sur le lieu de travail et dans les établissements d'enseignement est interdite, sauf raisons médicales ou de sécurité (article 5, paragraphe 1, point f). Un outil qui analyserait les émotions des apprenants par webcam est concerné.
• Systèmes à haut risque. L'annexe III vise notamment les systèmes destinés à évaluer les acquis d'apprentissage dans les établissements d'enseignement et de formation professionnelle (point 3) et ceux destinés à suivre et évaluer les performances et le comportement des personnes dans la relation de travail ou à attribuer des tâches (point 4). Un usage de l'IA pour évaluer des salariés en formation peut donc relever de cette catégorie selon sa finalité.
• Calendrier. Le règlement (UE) 2026/1744 dit « omnibus numérique » a reporté au 2 décembre 2027 l'application des obligations relatives à ces systèmes de l'annexe III.
• Information des représentants. Avant d'utiliser un système à haut risque sur le lieu de travail, l'employeur informe les représentants des travailleurs et les salariés concernés (article 26, paragraphe 7).

Pour l'obligation de formation à l'IA elle-même, voir AI Act article 4 : ce que votre entreprise doit mettre en place.