RGPD et formation en entreprise : ce que les DRH doivent savoir sur les données des apprenants
Les plateformes de formation en ligne (LMS) collectent des données personnelles sur les apprenants : identité, progression dans les modules, résultats des évaluations, temps passé sur chaque contenu, données de connexion. Ces données sont soumises au Règlement général sur la protection des données (RGPD). Les entreprises qui déploient un LMS ont des obligations précises en matière de base légale, de durée de conservation, de droits des apprenants et d'information. La CNIL a prononcé plusieurs mises en demeure dans ce domaine depuis 2022.
Quelles données les LMS collectent-ils ?
Un LMS standard collecte plusieurs catégories de données sur chaque apprenant.
Les données d'identification : nom, prénom, adresse e-mail professionnelle, identifiant dans le HRIS, département, poste, manager.
Les données de comportement pédagogique : date et heure de connexion, temps passé sur chaque module, taux de progression, nombre de tentatives sur les évaluations, score obtenu, réponses aux questions (dans les systèmes qui les conservent individuellement).
Les données de performance : résultats des post-tests, synthèses des acquis obtenues, progression sur le référentiel de compétences, historique des formations suivies.
Dans les LMS intégrant des fonctionnalités IA, des données supplémentaires peuvent être collectées : analyse des patterns de navigation, inférences sur les lacunes de l'apprenant, recommandations personnalisées générées.
Le cadre juridique applicable
Le RGPD (Règlement UE 2016/679) s'applique à toute collecte et tout traitement de données personnelles concernant des personnes physiques établies dans l'Union européenne, quelle que soit la localisation du sous-traitant (éditeur du LMS). Les formalités CNIL préalables ont été supprimées par le RGPD, mais les obligations de fond sont renforcées.
La base légale. Pour les données de formation des salariés, la base légale la plus couramment invoquée est l'intérêt légitime de l'employeur (article 6.1.f du RGPD) ou l'exécution du contrat de travail (article 6.1.b). Pour les formations obligatoires réglementaires, la base légale est l'obligation légale (article 6.1.c). La base légale doit être documentée dans le registre des traitements.
Le registre des activités de traitement. Toute entreprise employant 250 salariés ou plus est tenue de tenir un registre des traitements. Les entreprises de moins de 250 salariés sont également tenues de tenir ce registre dès lors que le traitement est susceptible de présenter un risque pour les droits et libertés des personnes ou qu'il porte sur des données sensibles. Le traitement des données de formation des salariés entre dans cette catégorie pour plusieurs raisons : il porte sur l'ensemble des effectifs, il inclut des données de performance individuelle, et il peut révéler des informations sur les difficultés d'apprentissage.
La durée de conservation. Les données de formation des salariés actifs doivent être conservées pendant toute la durée du contrat de travail, augmentée du délai de prescription applicable aux litiges prud'homaux (en général 3 ans après la fin du contrat). Les synthèses des acquis et les historiques de formation peuvent être conservés plus longtemps si leur conservation est justifiée par un intérêt légitime documenté.
Les droits des apprenants
Les salariés dont les données sont traitées dans le LMS ont les droits suivants, qu'ils peuvent exercer à tout moment.
Le droit d'accès : toute personne peut demander à consulter les données la concernant traitées dans le LMS.
Le droit de rectification : toute erreur dans les données peut être corrigée sur demande.
Le droit à l'effacement : limité dans le contexte de la relation de travail, mais applicable après la fin du contrat et à l'expiration des délais de prescription.
Le droit à la portabilité : les données de formation peuvent être demandées dans un format réutilisable, ce qui inclut l'historique des formations suivies et les synthèses des acquis.
Le droit d'opposition au profilage automatisé : si le LMS utilise des algorithmes pour prendre des décisions automatisées affectant l'apprenant (orientation vers un parcours, exclusion d'une formation), l'apprenant a le droit de demander une révision humaine de ces décisions.
Ce que les entreprises doivent mettre en place
L'information des apprenants. Une notice d'information sur le traitement des données doit être fournie à chaque salarié avant son premier accès au LMS. Cette notice doit préciser les données collectées, la base légale, la durée de conservation, les destinataires des données (équipe RH, managers, éditeur du LMS en qualité de sous-traitant) et les modalités d'exercice des droits.
Le contrat de sous-traitance avec l'éditeur du LMS. L'éditeur du LMS est un sous-traitant au sens du RGPD. Un contrat de sous-traitance conforme à l'article 28 du RGPD doit être signé, précisant les instructions de traitement, les mesures de sécurité, les modalités de retour ou de destruction des données en fin de contrat, et les conditions d'audit.
L'analyse d'impact (AIPD). Si le LMS intègre des fonctionnalités de profilage des apprenants, de scoring automatique ou d'analyse comportementale, une analyse d'impact relative à la protection des données (AIPD) est obligatoire avant le déploiement.
La localisation des données. Les données des apprenants ne peuvent pas être transférées hors de l'Union européenne sans garanties appropriées (clauses contractuelles types, décision d'adéquation). Les LMS hébergés aux États-Unis sont soumis à des exigences spécifiques depuis l'invalidation du Privacy Shield en 2020.
Le cas particulier des données de résultats d'évaluation
Les scores obtenus aux évaluations de formation et les synthèses des acquis sont des données de performance individuelle. Leur accès doit être strictement limité aux personnes qui ont un besoin légitime de les consulter : le service formation, le responsable RH, le manager direct, et l'apprenant lui-même.
L'accès des managers aux résultats détaillés des évaluations de leurs collaborateurs est un sujet sensible. La CNIL a indiqué dans ses lignes directrices sur les données RH que les managers peuvent avoir accès aux informations de progression globale de leurs collaborateurs (la formation a été suivie, le niveau requis a été atteint), mais que l'accès aux réponses individuelles aux questions d'évaluation dépasse en général ce qui est nécessaire à l'exercice de leur mission managériale.