Rapport communicable.pdf

Rapport présenté en séance plénière le 5 décembre 2024

Rapport relatif à une demande d’avis du ministère du travail et de
l’emploi sur deux projets de décrets relatifs aux systèmes
d’information France Travail et I-MILO et portant diverses
dispositions relatives aux traitements de données à caractère personnel
dans le champ de l’emploi, de l’insertion et de la formation
professionnelle

Rapporteur :

Avec le concours de :

Table des matières

Résumé / synthèse de la position de la CNIL ................................................................ 2
I.  Le contexte .............................................................................................................. 3
A.
Les conditions de saisine .................................................................................. 3
B.
Les enjeux .......................................................................................................... 3
II.  Sur la saisine ............................................................................................................ 4
A.
L’environnement général du service public de l’emploi ................................... 4
1.  Les dispositions de la « loi pour le Plein Emploi » .......................................... 4
2.
Les principaux acteurs du service public de l’emploi ................................... 5
B.
Les différents traitements concernés par la saisine ......................................... 7
1.  Présentation des traitements ............................................................................ 7
2.
Présentation  des  personnes  concernées  et  des  catégories  de  données
collectées ............................................................................................................... 10
Conclusion ..................................................................................................................... 12
Liste des annexes ........................................................................................................... 13
ANNEXE 1 : Projet de délibération n° 202x-xxx du 5 décembre 2024 portant avis sur
un projet de décret relatif au système d'information de l'opérateur France Travail et
portant  diverses  dispositions  relatives  aux  traitements  de  données  à  caractère
personnel dans le champ de l'emploi, de l'insertion et de la formation professionnelle
.................................................................................................................................... 13
ANNEXE 2 : Projet de délibération n° 202x-xxx du 5 décembre 2024 portant avis
sur  un  projet  de  décret  relatif  au  traitement  de  données  à  caractère  personnel
dénommé  «  i-milo  »  et  portant  diverses  dispositions  relatives  aux  traitements  de
données  à  caractère  personnel  dans  le  champ  de  l'emploi,  de  l'insertion  et  de  la
formation professionnelle .......................................................................................... 13

I.
Le contexte
A.  Les conditions de saisine
La CNIL a été saisie par le ministère du travail et de l’emploi le 31 octobre 2024 pour avis sur
un projet de décret en Conseil d’État ainsi qu’un projet de décret simple, avec invocation du
délai  d’urgence  d’un  mois.  Le  14  novembre  2024,  le  ministère  a  transmis  une  saisine
rectificative  afin,  principalement,  de  compléter  ces  projets  de  dispositions  d’application  à
l’Outre-Mer  et  d’ajustements  rédactionnels.  Les  éléments  d’instruction,  transmis  au  fil  de
l’eau, totalisent plus de mille pages de documents.

Le  projet  présenté  implique  de  multiples  traitements  de  données  à  caractère  personnel
concernant plusieurs  millions de personnes et aurait pu  donner lieu à  différentes saisines
distinctes.

Compte tenu de la procédure d’urgence invoquée, les délais laissés pour son analyse n’ont
absolument pas permis d’instruire correctement les projets de textes adressés.

De surcroît, le projet de décret couvre également des traitements de données existants, pour
certains desquels la CNIL n’a jamais été saisie - alors qu’elle aurait dû l’être.

Dans  ce  contexte,  les  services  et  votre  rapporteur  se  sont  trouvés  dans
l’impossibilité de procéder à une analyse approfondie de tous les traitements.

La proposition de délibération procède uniquement à une analyse globale des
projets de textes.
B.  Les enjeux
Les deux projets de décret prévoient des traitements à grande échelle des données
des demandeurs d’emploi, aussi bénéficiaires du RSA, de la prime d’activité et
de l’allocation aux adultes handicapés, de leur conjoint et des membres de leur
foyer. Ces projets de texte visent également à ériger le NIR en identifiant général
des demandeurs d’emploi, de leur conjoint et des membres de leur foyer.

3

Les  enjeux  de  sécurité  en  l’espèce  doivent  être  appréciés  au  regard  des
violations massives de données ayant récemment affecté certaines structures du
réseau pour l’emploi.

Ces  différents  enjeux  sont  d’autant  plus  importants  que  le  ministère  semble  prévoir
d’étendre  à  l’avenir  le  périmètre  du  partage  des  données  des  demandeurs
d’emploi,  de  leur  conjoint  et  des  membres  de  leur  foyer  entre  davantage
d’acteurs, publics et privés.

II.
Sur la saisine
A.   L’environnement général du service public de l’emploi
1.  Les dispositions de la « loi pour le Plein Emploi »
La  loi  n°2023-1196  du  18  décembre  2023  pour  le  plein  emploi  présente  quatre  axes
principaux :

1)  la transformation du service public de l’emploi par une organisation rénovée
et une coopération renforcée en créant un « réseau pour l’emploi » composé de
l’ensemble des acteurs du champ de l’emploi et de l’insertion, dont le cercle principal
comprend  l’Etat,  les  régions,  les  départements,  les  communes  et  groupements  de
communes,  l’opérateur  France  Travail  (FT),  les  missions  locales  pour  l'insertion
professionnelle et sociale des jeunes (missions locales) et les Cap emploi. Ils ont pour
mission  d’assurer  l’accueil,  l’orientation  l’accompagnement,  la  formation,  le
placement  des  demandeurs  d’emploi  ou  personnes  en  difficultés  sociales  ou
d’insertion et la réponse aux besoins des employeur, ainsi que des missions communes
visant une meilleure coordination et complémentarité de leurs actions.
Une  partie  des  dispositions  de  la  loi,  qui  prévoyaient  un  partage
obligatoire des données collectées, notamment de nature médicale, à un
nombre très important d’acteurs publics et privés, a été censurée par le
Conseil  constitutionnel  au  motif  qu’elles  ne  présentaient  pas
suffisamment  de  garanties  et  portaient  ainsi  atteinte à  la  vie privée  des
personnes concernées. Aussi, à ce stade, le partage est limité au cercle principal
du réseau, mais il est prévu à terme d’y ajouter d’autres acteurs ;
2)  la  refonte  du  processus  d’accompagnement  des  demandeurs  d’emploi :
d’une part, en inscrivant automatiquement certaines catégories de personnes sur la
liste des demandeurs d’emploi, notamment les demandeurs du revenu de solidarité
active (RSA), et, d’autre part, en les orientant, sur la base de critères nationaux, vers
un  organisme  référent  chargé  du  suivi  de  leur  accompagnement.  Un  contrat
d’engagement, signé entre le demandeur d’emploi et l’organisme référent, fixe, sur la
base  d’un  diagnostic  global  de  la  situation  de  la  personne,  ses  objectifs  d’insertion
sociale  et  professionnelle  et  le  niveau  d’accompagnement  requis.  En  cas  de  non-

4

Dans les territoires de La Réunion, Guyane et Mayotte, ces compétences ont été transférées
à France Travail, qui les délègue par convention aux caisses (CAF et caisse gestionnaire du
régime des prestations familiales à Mayotte).
b.  France Travail :
•  au titre de ses missions propres (article L. 5312-1, I° du CT), notamment :

▪  l’accompagnement,  en  tant  qu’organisme  référent,  des  personnes  relevant  de  sa
compétence (personnes de plus de 26 ans, non bénéficiaires du RSA et n’étant pas
en situation de handicap), qu'elles disposent ou non d'un emploi, à la recherche
d'un emploi, d'une formation ou d'un conseil professionnel,
▪  la  participation  à  l’accompagnement  des  autres  personnes,  en  lien  avec  leur
organisme référent (Cap emploi, mission locale, etc.),
▪  la gestion des inscriptions sur la liste des demandeurs d'emploi, et l’orientation des
demandeurs d'emploi vers un organisme référent,
▪  le contrôle de la recherche  d'emploi et des  engagements  et la mise en œuvre du
nouveau mécanisme gradué de sanctions, etc. ;

•  au titre de ses missions dites « pour compte commun » (article L. 5312-1, II° du CT),
notamment :

▪  la  mise  à  disposition  des  membres  du  réseau  pour  l'emploi  d’outils  et  services
numériques  communs,  permettant  de  centraliser  et  partager  les  données
nécessaires à l’accompagnement des usagers afin d’assurer un meilleur suivi,
▪  la contribution à l’élaboration de critères d’orientation des demandeurs d’emploi, la
production d’indicateurs communs de pilotage et d’évaluation des actions du réseau
pour l’emploi, la mise à disposition d’actions de développement des compétences
aux acteurs du service public de l’emploi, etc.

c.  les missions locales : notamment l’orientation et l’accompagnement des jeunes de
seize à vingt-cinq ans révolus vers la formation professionnelle ou vers un emploi.

d.  les Cap emploi : notamment la participation au dispositif d'insertion professionnelle
et d'accompagnement spécifique prévu pour les travailleurs handicapés.
e.  la Caisse nationale d’allocations familiales (CNAF) et la Caisse centrale de
la mutualité sociale agricole (CCMSA) (ci-après « les caisses »), notamment pour :
•  le recueil des demandes de RSA et la transmission des informations aux conseils
départementaux pour instruction et le recueil et l’instruction de la PA,
•  la gestion du versement du RSA et de la PA.

f.  les  régions :  la  définition  et  mise  en  œuvre  de  la  politique  régionale  d’accès  à  la
formation professionnelle des jeunes et des adultes à la recherche d’un emploi ou d’une
nouvelle orientation professionnelle (notamment le financement d’aides, l’organisation
de formations, l’évaluation de la politique en place, etc.).

6

g.  les communes et les groupements de communes : plusieurs dispositions du CT
(antérieures à la loi pour le Plein Emploi) leur permettent de concourir au service public
de  l’emploi,  par  exemple  afin  de  faciliter  l'accès  à  l'emploi  des  personnes  en  grande
difficulté d'insertion sociale et professionnelle.

D’autres acteurs, qui ne sont pas membres du réseau pour l’emploi, traitent des données à
caractère personnel pour exécuter leurs missions dans le champ de l’insertion professionnelle
et sociale, notamment :
h.  le  Comité  national  pour  l’emploi  (CNE),  présidé  par  le  ministre  chargé  de
l’emploi, qui fixe les règles de fonctionnement du réseau pour l’emploi et définit les
orientations  stratégiques  au  niveau  national,  ainsi  que  les  comités  territoriaux
pour l'emploi (CDE) pour la mise en œuvre de la stratégie nationale aux niveaux
régional et départemental et dans les bassins d'emploi.

La mise en œuvre de la réforme implique un partage des données à caractère
personnel  des  usagers  concernés,  mais  aussi  de  leur  conjoint,  concubin,  ou
partenaire par lequel ils sont liés par un pacte civil de solidarité (ci-après « leur
conjoint ») et parfois de tous les membres de leur foyer (enfants ou personnes à
charge de moins de 25 ans, au sens de l’article R. 262-3 du CASF), entre autres
aux acteurs précités et par le biais de différents flux.
B.   Les différents traitements concernés par la saisine
1.  Présentation des traitements
Le projet de décret en Conseil d’Etat porte sur six traitements de données à caractère
personnel :

a.  Le  recueil  et  la  transmission  à  FT  par  la  CNAF  et  la  CCMSA  de  données
relatives à une demande de RSA et de PA, ci-après « T1 - RSA et PA » (articles
R. 262-102 à R. 262-110 du code de l’action sociale et des familles (CASF))
b.  La transmission à FT par les présidents des CD des données relatives aux
bénéficiaires du RSA, à leurs conjoints, ci-après « T2 - bRSA » (articles R. 262-
111 à R. 262-116-6 du CASF)
c.  Les transmissions à FT par la CNAF et la CCMSA de données relatives aux
bénéficiaires  du  RSA,  de  la  PA  et  de  l’allocation  aux  adultes  handicapés
(AAH), ainsi qu’à leurs conjoints et aux autres membres du foyer, ci-après
« T3 - bRSA, PA et AAH » (articles R. 5312-32 à R. 5312-37 du CT).
d.  Le  système  d’information  France  Travail,  ci-après  « T4  -  SI-FT »  (articles
R. 5312-38 à R. 5312-45 du CT).

Le SI-FT est une plateforme sur laquelle sont accessibles :

-  Un  socle  commun,  à  l’image  d’un  entrepôt  de  données  comportant  des  données  de
référence ;
-  Un socle dédié à FT et ses partenaires dans le cadre de leurs missions propres ;

7

organismes débiteurs de prestations familiales chargés du service du RSA et l'Agence
de services et de paiement, afin de permettre l'exercice des missions légales de chacun,
• l’échange de données avec les présidents des CD et leurs délégataires afin de permettre
l’exercice de leurs missions et de satisfaire à leurs obligations légales,
• la prévention et la lutte contre la fraude,
• la production de statistiques et d’indicateurs permettant le pilotage des activités de FT
ainsi  que  le  développement  d’une  expertise  sur  l’emploi  et  l’évaluation  des  actions
menées,
• la  mise  à  disposition,  au  moyen  des  outils  et  services  numériques  communs,  des
informations nécessaires aux membres du réseau pour l’emploi ainsi qu’aux autorités
et organismes délégataires des CD, à la CNAF, à la CCMSA et aux organismes débiteurs
de prestations familiales chargés du  service  du RSA, pour la réalisation des finalités
prévues au II de l’article R. 5312-38-1 du CT.

Ce  traitement  est  placé  sous  la  responsabilité  de  FT,  et  dans  certains  cas  qui  seront
déterminés  par  arrêté  du  ministre  chargé  de  l’emploi,  en  co-responsabilité  avec  d’autres
organismes (par exemple les Cap emploi).

• Le  système  d’information  relatif  à  l’activité  partielle,  ci-après  « T5  -  SI-
APART » (articles R. 5122-20 à R. 5122-25 du CT).

Ce traitement est placé sous la responsabilité de l’Agence de services et de paiement.
• La plateforme de l’inclusion, ci-après « T6 – plateforme de l’inclusion »
(articles R. 5132-1-19 à R. 5132-1-23 du CT)

Ce  traitement  est  placé  sous  la  responsabilité  du  groupement  d'intérêt  public  dénommé
« Plateforme de l'inclusion ».

Le projet de décret simple porte également application des dispositions de la loi pour le
Plein Emploi sur quatre traitements de données à caractère personnel :

-  le traitement automatisé de données à caractère personnel dénommé « PIX emploi »
créé par le décret n°2022-160 du 9 février 2022 qui est abrogé par le projet de décret.

-  les transmissions tant par les CD que par les CNAF et les CCMSA de données agrégées
relatives à la gestion du RSA et l’accompagnement de leurs bénéficiaires et  de leurs
conjoints aux représentants de l'Etat dans le département et aux services statistiques
des ministères chargés de l'action sociale et de l'emploi.

-  le traitement automatisé de données à caractère personnel relatif à l'accompagnement
des jeunes pour l'accès à l'emploi et dénommé « I-MILO » ci-après « SI-MILO », créé
par le décret n° 2015-59 du 26 janvier 2015 et dont la Délégation générale à l’emploi et
à  la  formation  professionnelle  (DGEFP)  et  les  missions  locales  sont  responsables
conjoints  du  traitement.  Le  système  d’information  I-Milo  est  la  dernière  version  du
système d’information d’aide à la gestion des parcours de qualification et d’insertion
sociale et professionnelle des jeunes accompagnés par les missions locales.

9

A terme, l’objectif est de parvenir à un système d’organisation commun partagé qui sera celui
de l’opérateur France Travail et sur lequel les missions locales comme déjà les Cap emploi,
s’appuieront pleinement.

2.  Présentation  des  personnes  concernées  et  des  catégories  de  données
collectées
Les  projets  de  décrets  permettent  la  collecte  et  le  partage  de  données  à  grande
échelle, puisque sont concernés les demandeurs d’emploi, les bénéficiaires du RSA,
de la PA et de l’AAH, mais également leur conjoint et membres du foyer.

Le ministère a précisé qu’étaient visés par « membres du foyer » au sens de l’article précité,
les conjoints, concubins ou partenaires de PACS et les enfants ou personnes à
charge de moins de 25 ans qui sont pris en compte pour l’éligibilité et le calcul
du droit (cf. R. 842-3 CSS).

Ces  traitements  concernent  donc  de  nombreuses  personnes,  notamment
vulnérables car mineures ou en situation de handicap.

Par ailleurs, ces textes prévoient le traitement de nombreuses données à caractère personnel
de ces personnes, dont beaucoup sont hautement personnelles et sensibles.

-  Des données de santé : à titre d’illustration, s’agissant du « T4 – SI-FT », le projet
d’article  R.  5312-42  du  CT  prévoit  la  collecte  de  données  relatives  aux  contraintes
rencontrées  pour  accéder  à  un  emploi  et  notamment  à  l’état  de  santé  pour  les
demandeurs d’emploi pour lesquels FT est l’organisme référent.

-  Des données relatives à des infractions ou condamnations pénales :
• S’agissant par exemple du « T4 – SI-FT », le projet d’article R. 5312-42 du CT prévoit
la collecte des données relatives à la situation pénitentiaire des personnes sous-main
de  justice  aptes  à  exercer  un  emploi  et  disponibles  dans  un  délai  de  six  mois,  y
compris  les  données  relatives  à  la  durée  de  la  peine,  son  aménagement  et  ses
modalités d’exécution.
• Le dossier de présentation indique également que « dans le cadre du contentieux lié
à  la  lutte  contre  la  fraude,  certaines  données  concernant  les  infractions  et  les
condamnations  pénales  sont  également  traitées  (date  et  nature  de  la  décision,
montant condamnation, prison (ferme, avec sursis)) ».

-  Des données dites hautement personnelles : par exemple, dans le cadre du « T4
– SI-FT », le projet d’article R. 5312-42 du CT prévoit la collecte, pour les demandeurs
d’emploi, des  données relatives à l’attestation de prise en charge par l’aide sociale à
l’enfance ou celles relatives au titre de séjour et à la décision d’obligation de quitter le
territoire français.

S’agissant de l’utilisation du NIR, il ressort du projet de décret que le NIR est utilisé
comme  identifiant  général  des  demandeurs  d’emploi  de  leur  conjoint  et  des
membres de leur foyer

10

Conclusion
Il convient de porter une vigilance particulière sur le croisement de données et l’ouverture
des  données  à  de  nombreux  acteurs,  membres  du  réseau  pour  l’emploi,  collectivités  ainsi
qu’aux organismes débiteurs de prestations familiales chargés du service du RSA, et qui aura
vocation à s’élargir. En ce sens, le ministère a notamment indiqué dans le dossier de saisine
que  « les  modifications  nécessaires  au  partage  d’informations,  dans  le  cadre  du  SI
Plateforme,  avec  les  autres  membres  du  réseau  pour  l’emploi  (opérateurs  publics  et
organismes  paritaires,  associations  et  autres  acteurs  privés  porteurs  de  solution
d’accompagnement) feront l’objet d’un autre texte réglementaire au cours de l’année 2025,
en raison notamment des contraintes calendaires et des enjeux juridiques et opérationnels
inhérents à un tel chantier ».

Par  ailleurs,  il  convient  également  de  se  prononcer  sur  la  problématique  de
l’extension  significative  de  l’utilisation  du  NIR,  au  regard  du  choix,  par  le
ministère,  de  recourir  au  NIR  comme  identifiant  général  et  national  des
demandeurs d’emploi, de leur conjoint et des membres de leur foyer.

12

Liste des annexes
ANNEXE 1 : Projet de délibération n° 202x-xxx du 5 décembre 2024 portant avis
sur un projet de décret relatif au système d'information de l'opérateur France
Travail et portant diverses dispositions relatives aux traitements de données à
caractère personnel dans le champ de l'emploi, de l'insertion et de la formation
professionnelle
ANNEXE 2 : Projet de délibération n° 202x-xxx du 5 décembre 2024 portant avis
sur un projet de décret relatif au traitement de données à caractère personnel
dénommé « i-milo » et portant diverses dispositions relatives aux traitements de
données à caractère personnel dans le champ de l'emploi, de l'insertion et de la
formation professionnelle

13