Un ancien apprenant vous écrit :
Bonjour, je souhaite exercer mon droit à l'effacement et vous demande de supprimer toutes les données personnelles me concernant.
Sa formation est terminée depuis dix-huit mois. Il a obtenu sa certification, son dossier est payé et son compte e-learning n'est plus utilisé.
Vous ouvrez sa fiche dans votre logiciel de gestion.
Mais ses données ne se trouvent pas uniquement là.
Les feuilles d'émargement sont archivées sur le Drive. Ses évaluations ont été téléchargées par les formateurs. Ses copies d'examen ont été transmises au certificateur. Ses factures figurent dans le logiciel comptable.
Et son nom apparaît encore dans un tableau de suivi des cohortes. Une enquête d'insertion à deux ans est prévue.
Que pouvez-vous réellement supprimer ? Quels justificatifs devez-vous conserver ? Peut-on simplement masquer son nom sur certains documents ? Et que faire des données détenues par vos prestataires ?
Avant même de répondre à l'apprenant, une première question se pose : savez-vous précisément où se trouvent toutes ses données et qui peut encore y accéder ?
Réponse courte
Non, un organisme de formation ne supprime pas automatiquement tout le dossier d'un apprenant qui le demande, mais il ne peut pas non plus tout conserver par précaution. Le droit à l'effacement (article 17 du RGPD) s'examine catégorie de données par catégorie de données : ce qui n'est plus nécessaire est supprimé, ce qu'une obligation légale ou la défense de droits en justice justifie de conserver l'est avec un motif, une échéance et des accès limités. La réponse est due en principe sous un mois.
À retenir
- Le droit à l'effacement n'est pas absolu : conserver peut rester nécessaire, mais jamais « au cas où ».
- Supprimer, anonymiser, pseudonymiser, archiver sont quatre opérations différentes : archiver ou pseudonymiser ne remplace pas un effacement juridiquement dû.
- Conserver un justificatif n'oblige pas à en laisser l'accès : les droits d'accès se retirent à la fin de chaque besoin.
- CPF, régions, certificateurs : pas de durée unique. Les conditions Mon Compte Formation V16 (articles 7.3 des CG et 5.1.2 des CP OF) prévoient 5 ans pour les justificatifs, sans imposer de tout garder.
- Les enquêtes d'insertion ne justifient pas, à elles seules, de garder indéfiniment des données nominatives.
- Avant la demande : cartographier les données, les acteurs et les accès.
1. Retrouver les données : la première difficulté
Un dossier apprenant est rarement contenu dans un seul logiciel.
Au cours d'une formation, les informations peuvent être enregistrées, transmises, téléchargées, copiées ou archivées dans de nombreux environnements :
- Logiciel de gestion de la formation et CRM.
- Plateforme e-learning et outils de suivi pédagogique.
- Drive, messageries et tableaux de suivi.
- Ordinateurs et dossiers professionnels des formateurs.
- Logiciel de comptabilité et de facturation.
- Plateformes de financement et de certification.
- Outils de suivi des stages en entreprise.
- Fichiers de suivi de cohorte et enquêtes d'insertion.
- Archives papier, exports et sauvegardes informatiques.
Une seule information, quatre emplacements.
Questionnaire en ligne, tableau Excel, dossier pédagogique, copie chez le formateur : supprimer l'original ne suffit pas à effacer le reste.
Prenons un simple positionnement initial.
L'apprenant complète un questionnaire en ligne. Ses réponses sont téléchargées par un formateur, synthétisées dans un tableau Excel, puis conservées dans le dossier pédagogique.
Plusieurs exemplaires peuvent ainsi subsister, parfois longtemps après la formation.
Supprimer le questionnaire d'origine ne suffit donc pas nécessairement à effacer les autres copies.
Cartographier les données et les acteurs
Le registre des activités de traitement prévu à l'article 30 du RGPD constitue un point de départ. Il permet notamment de documenter les finalités, les catégories de données, les destinataires et les durées de conservation. Les dérogations prévues par cet article sont limitées, notamment pour les traitements non occasionnels.
Mais pour traiter concrètement une demande d'effacement, un inventaire plus opérationnel peut être nécessaire.
Il doit permettre de savoir dans quels outils se trouvent les données, qui les détient et qui est responsable des traitements.
Prenons une formation certifiante avec stage et financement public.
| Acteur | Données susceptibles d'être détenues |
|---|---|
| Organisme de formation | Inscription, suivi administratif, émargements, évaluations |
| Formateur indépendant | Positionnements, copies corrigées, notes pédagogiques |
| Plateforme e-learning | Connexions, progression, travaux déposés |
| Entreprise d'accueil | Convention, suivi et évaluation de stage |
| Certificateur | Identité du candidat, épreuves, résultats, procès-verbaux |
| Financeur | Justificatifs de réalisation, déclarations, données de financement |
| Prestataire d'enquête | Coordonnées, réponses et résultats de suivi d'insertion |
Cette carte est détaillée, avec le tableau des rôles à vérifier, dans le document à télécharger plus bas.
Attention : tous ces acteurs n'ont pas le même statut au regard du RGPD.
Un prestataire informatique peut être sous-traitant lorsqu'il agit pour le compte de l'organisme. Un certificateur ou un financeur peut être responsable de ses propres traitements. Une responsabilité conjointe peut également exister lorsqu'elle répond aux critères de l'article 26.
Un formateur indépendant peut lui-même avoir des responsabilités différentes selon les opérations réalisées.
La sous-traitance pédagogique ne doit pas être confondue avec la sous-traitance au sens du RGPD.
Cette distinction est importante : elle détermine qui peut décider de l'effacement, qui doit exécuter des instructions et quelles démarches doivent être effectuées auprès des autres acteurs.
2. Que peut-on réellement supprimer ?
L'article 17 du RGPD reconnaît le droit à l'effacement, notamment lorsque les données ne sont plus nécessaires aux finalités pour lesquelles elles ont été collectées.
Mais ce droit n'est pas absolu.
Une conservation peut notamment rester nécessaire pour respecter une obligation légale ou pour la constatation, l'exercice ou la défense de droits en justice.
Il ne faut pas pour autant en conclure qu'un organisme de formation peut conserver tous les documents d'un ancien apprenant au seul motif qu'un contrôle pourrait un jour survenir.
Idée reçue : « Je garde tout le dossier, au cas où il y aurait un contrôle. »
Un contrôle possible un jour ne justifie pas, à lui seul, de conserver tous les documents d'un ancien apprenant. Chaque catégorie de données demande son propre motif.
Pour chaque catégorie de données, trois questions doivent être distinguées :
- Sur quelle base juridique les informations sont-elles traitées ?
- Pourquoi leur conservation reste-t-elle nécessaire, et jusqu'à quand ?
- Existe-t-il un motif juridiquement valable de refuser leur effacement ?
Ce raisonnement est essentiel : une obligation de conserver certaines preuves de formation ne justifie pas automatiquement la conservation de toutes les données du dossier.
La CJUE, dans son arrêt NTH Haustechnik du 18 juin 2026 (C-484/24), rappelle notamment que l'exception relative à la défense de droits en justice ne constitue pas, à elle seule, une base juridique autonome de traitement.
Supprimer, anonymiser, pseudonymiser ou archiver ?
Ces opérations répondent à des besoins différents.
Supprimer, c'est effacer les données concernées lorsqu'elles ne doivent plus être conservées.
Anonymiser, c'est transformer les informations pour empêcher toute identification raisonnablement possible de la personne, directement ou indirectement. Une anonymisation réellement effective fait sortir les informations obtenues du champ du RGPD.
Pseudonymiser, c'est remplacer les identifiants directs par des codes ou d'autres identifiants. Les données restent personnelles lorsqu'une réidentification demeure possible.
Archiver, c'est conserver des données dont l'utilisation courante est terminée, lorsqu'un motif de conservation subsiste, avec une durée définie et des accès adaptés.
La différence est particulièrement importante pour les copies d'examen.
Dans l'arrêt Peter Nowak du 20 décembre 2017 (C-434/16), la Cour de justice de l'Union européenne a reconnu que les réponses d'un candidat et les annotations de son correcteur constituent des données personnelles.
Cela ne signifie pas que ces copies doivent automatiquement être supprimées sur demande.
Il faut examiner les obligations de conservation, les possibilités de contestation des résultats et les responsabilités du certificateur.
Rayer le nom du candidat ne suffit pas nécessairement à anonymiser une copie. Cela peut même compromettre sa valeur probatoire.
Lorsque l'original doit encore être conservé, une solution peut consister à le placer dans un environnement sécurisé, avec des accès restreints.
Mais attention : archiver ou pseudonymiser ne remplace pas un effacement lorsque celui-ci est juridiquement dû.
3. Conserver les données ne signifie pas conserver tous les accès
C'est une distinction parfois oubliée.
Un organisme peut devoir conserver certains documents pendant plusieurs années pour répondre à des obligations légales, contractuelles ou probatoires.
Pour autant, les personnes qui utilisaient ces documents pendant la formation n'ont pas nécessairement besoin de continuer à y accéder.
Prenons les feuilles d'émargement.
Elles peuvent rester nécessaires pour justifier la réalité de la formation. Mais le formateur qui intervenait sur cette session n'a plus forcément besoin de les consulter.
L'organisme peut donc conserver les justificatifs tout en retirant les habilitations devenues inutiles.
Cette logique s'applique aussi aux évaluations, aux copies d'examen, aux dossiers administratifs et aux pièces comptables.
L'archivage ne nécessite pas toujours un nouvel outil
La CNIL distingue la conservation en base active et l'archivage intermédiaire.
La séparation peut être physique, dans un espace d'archivage spécifique, ou logique, grâce à une limitation des habilitations dans le logiciel existant.
Un dossier de formation clôturé peut ainsi rester dans le logiciel de gestion, tout en devenant inaccessible aux intervenants pédagogiques qui n'en ont plus besoin.
Les droits d'accès doivent évoluer au fil du parcours : fin d'intervention d'un formateur, passage du jury, clôture administrative, archivage ou départ d'un collaborateur.
La CNIL recommande une revue au moins annuelle des habilitations, sans attendre cette échéance pour retirer les accès devenus inutiles. Cette fréquence est une recommandation de sécurité, non une périodicité légale uniforme.
Et les données plus sensibles ?
Les dossiers de formation peuvent contenir des copies de pièces d'identité ou des informations relatives à des aménagements pédagogiques.
Certaines données liées à la santé ou au handicap relèvent des catégories particulières protégées par l'article 9 du RGPD. Lorsqu'il s'applique, une condition spécifique doit être identifiée en complément de la base juridique prévue par l'article 6.
Un formateur peut avoir besoin de connaître les adaptations à mettre en œuvre sans devoir accéder aux justificatifs médicaux qui ont permis de les définir.
Il faut donc distinguer les données nécessaires à l'accompagnement de celles qui doivent rester accessibles uniquement à quelques personnes habilitées.
La question n'est pas seulement de savoir combien de temps conserver une donnée, mais également qui doit encore pouvoir la consulter et pour quelle raison.
4. Les obligations varient selon le moment du parcours et le dispositif de formation
Reprenons notre apprenant.
Sa formation est terminée depuis dix-huit mois. Mais aurait-on pris les mêmes décisions s'il avait demandé l'effacement avant le jury ou alors que son dossier de financement était encore en cours ?
Pas nécessairement.
Pendant la formation, certaines informations restent nécessaires au suivi pédagogique et à l'exécution du parcours.
Après la formation, avant le jury, les évaluations et les éléments d'identification peuvent encore être nécessaires au processus de certification.
Après le jury, avant le paiement, l'organisme peut devoir justifier le service fait et produire les documents nécessaires au financement.
Après le paiement, certaines obligations documentaires et possibilités de contrôle peuvent subsister, même si les accès courants aux dossiers peuvent être retirés.
Après l'expiration des durées applicables, les données devenues inutiles doivent être effacées, sauf autre motif de conservation légalement justifié.
Le moment de la demande est donc important, mais il ne détermine pas, à lui seul, le sort de toutes les données.
Le cas du CPF
Les conditions Mon Compte Formation, version 16 applicable depuis le 22 octobre 2026, contiennent deux dispositions importantes :
- L'article 7.3 des conditions générales prévoit que l'organisme conserve tout document et pièce de nature à justifier la réalité de la formation pendant cinq ans à compter de l'exécution de la formation, et en assure l'intégrité. La version 15 mentionnait quatre ans.
- L'article 5.1.2 des conditions particulières des organismes prévoit que la Caisse des Dépôts peut demander des justificatifs pendant cinq ans à compter de l'exécution de la formation, avec un délai de transmission de cinq jours ouvrés.
Ces deux dispositions portent sur des pièces de preuve, avec une même durée de cinq ans à compter de l'exécution de la formation. Elles ne signifient pas que toutes les données personnelles d'un apprenant doivent être conservées cinq ans. Pour une formation exécutée avant le 22 octobre 2026, l'article 15 renvoie aux dispositions transitoires et à la version en vigueur à la date d'utilisation du service : n'en déduisez pas automatiquement que les cinq ans valent pour tout dossier ancien. Ne les confondez pas non plus avec les deux autres délais de quatre ans des mêmes conditions (archivage par la Caisse des Dépôts des actions référencées, article 14.1.1 des CG ; annulation d'un dossier resté sans action après rappel, article 5.1.1 des CP OF), qui ne fixent pas la durée de conservation des pièces par l'organisme.
Elles imposent néanmoins à l'organisme d'identifier les preuves nécessaires, de préserver leur intégrité et d'organiser leur disponibilité en cas de contrôle.
Par ailleurs, l'article R.6323-38, II, du Code du travail prévoit un régime particulier concernant le droit à l'effacement dans le système d'information CPF visé à l'article R.6323-32. Cette disposition ne constitue pas une dispense générale pour les traitements propres à l'organisme de formation.
Le cas des financements régionaux
Les règles varient selon les marchés, les conventions, les règlements et les éventuels financements européens.
Par exemple, le dispositif Former Pour l'Emploi 2026-2030 de la Région Auvergne-Rhône-Alpes mobilise plusieurs outils de candidature, de suivi administratif, de rémunération et d'émargement.
Une même personne peut donc avoir des données réparties entre les systèmes de l'organisme et plusieurs plateformes utilisées pour le dispositif.
Les exigences de conservation doivent être vérifiées dans les documents applicables au dossier concerné, y compris leur version et leur date d'application.
Et les certificateurs ?
Les copies d'examen, les dossiers d'évaluation, les résultats et les procès-verbaux de jury n'ont pas nécessairement les mêmes fonctions ni les mêmes règles de conservation.
Le vademecum de France compétences de janvier 2026 souligne notamment l'importance de la traçabilité des décisions de jury et de la politique de protection des données des certificateurs.
Certaines certifications font également l'objet de dispositions particulières. Il n'existe donc pas de durée unique à appliquer à toutes les copies d'examen de la formation professionnelle.
La fin de la formation, la délibération du jury et le paiement du dossier ne constituent pas des dates universelles de suppression.
5. Et les suivis de cohorte et enquêtes d'insertion ?
La formation est terminée, mais l'organisme peut continuer à suivre les parcours professionnels de ses anciens apprenants.
Enquêtes à six mois, à un an ou à deux ans, mesure de l'insertion, suivi des poursuites d'études, indicateurs de résultats : ces activités peuvent se prolonger après la clôture administrative.
Elles peuvent répondre à des objectifs de pilotage ou à des exigences particulières de qualité, de certification ou de financement.
Mais il faut distinguer plusieurs types d'informations.
Les coordonnées de contact, utilisées pour envoyer les questionnaires et effectuer les relances.
Les réponses individuelles, qui peuvent contenir des informations sur l'emploi, les études ou la situation professionnelle.
Les statistiques consolidées, qui peuvent être conservées sous une forme réellement anonyme, sans nécessiter le maintien de toutes les fiches nominatives.
Une organisation dédiée au suivi des cohortes
Plutôt que de conserver plusieurs fichiers d'anciens apprenants dans les dossiers pédagogiques, l'organisme peut organiser un espace dédié au suivi de l'insertion.
Les informations nécessaires sont centralisées, sous la responsabilité d'un référent identifié, avec des habilitations limitées aux personnes chargées de ce suivi.
Les coordonnées de relance peuvent être séparées des résultats individuels et des indicateurs statistiques.
Cette organisation permet de mieux maîtriser les accès et les échéances de conservation.
Toutefois, le fichier de suivi reste soumis au RGPD. Il doit reposer sur une finalité, une base juridique et une durée justifiées.
Et si l'apprenant demande sa suppression avant la prochaine enquête ?
L'organisme ne peut pas simplement répondre : « Nous devons conserver vos coordonnées jusqu'à l'enquête prévue l'année prochaine. »
Il doit examiner les conditions du traitement et les droits exercés par la personne.
Une enquête future ne suffit pas, à elle seule, à justifier indéfiniment le maintien des données nominatives.
En revanche, les résultats statistiques déjà réellement anonymisés peuvent continuer à être exploités.
C'est tout l'intérêt de distinguer les données individuelles nécessaires aux relances des indicateurs destinés au pilotage de la formation.
6. Concrètement, comment traiter la demande ?
Le RGPD impose une réponse en principe dans un délai d'un mois à compter de la réception de la demande. Une prolongation de deux mois supplémentaires peut être appliquée dans les conditions prévues à l'article 12, à condition d'en informer la personne dans le premier mois.
L'organisme doit donc disposer d'un circuit de traitement opérationnel.
Étape 1 : Enregistrer la demande.
Identifier la date de réception, son périmètre et la personne chargée de la coordonner.
Étape 2 : Identifier le dossier.
Vérifier le stade du parcours : formation, jury, paiement, contrôle, recours éventuels ou suivi d'insertion. Ne demander une preuve d'identité supplémentaire qu'en cas de doute raisonnable.
Étape 3 : Localiser les données.
Rechercher les informations dans les logiciels, les documents partagés, les archives et auprès des prestataires concernés.
Étape 4 : Examiner les règles applicables.
Vérifier pour chaque catégorie la finalité, la base juridique, la durée de conservation et les éventuelles exceptions à l'effacement.
Étape 5 : Prendre les décisions.
Identifier les données à supprimer, celles qui peuvent encore être conservées et les éventuelles mesures complémentaires de restriction d'accès ou d'archivage.
Étape 6 : Exécuter et vérifier.
Réaliser les opérations nécessaires, transmettre les instructions appropriées aux sous-traitants et contrôler leur exécution.
Il faut aussi tenir compte des fichiers locaux, exports et sauvegardes. Le retrait d'un accès ne garantit pas la disparition des copies précédemment téléchargées.
Lorsqu'un effacement est effectué, il faut examiner les obligations de notification aux destinataires prévues à l'article 19 du RGPD.
Étape 7 : Répondre à l'apprenant et clôturer.
Informer la personne des suppressions réalisées, des éventuelles conservations justifiées et des motifs d'un refus partiel ou total. Préciser les possibilités de recours.
Conserver une trace proportionnée du traitement de la demande, sans recréer inutilement un dossier contenant toutes les informations supprimées.
Quelle réponse apporter à l'apprenant ?
Imaginons que l'organisme ait effectivement supprimé les données de prospection et certaines informations devenues inutiles, mais conserve encore des justificatifs de formation nécessaires à un contrôle.
Il pourrait lui répondre :
Bonjour,
Nous avons examiné votre demande d'effacement et les différentes catégories de données vous concernant.
Les informations suivantes, dont la conservation n'était plus nécessaire, ont été supprimées : [préciser].
En revanche, certains justificatifs relatifs à votre formation doivent encore être conservés pour les motifs suivants : [documents et fondements précis].
Ces informations sont conservées jusqu'au [date ou critère de conservation], avec des accès limités aux personnes habilitées.
Vous pouvez nous contacter pour obtenir des précisions. Si vous estimez que vos droits ne sont pas respectés, vous pouvez également introduire une réclamation auprès de la CNIL.
Cordialement,
[Organisme de formation]
Une bonne réponse tient en quatre informations.
Ce qui est supprimé, ce qui est conservé, pour quel motif et jusqu'à quand. L'apprenant sait ainsi où en sont ses données.
Cette réponse doit être adaptée aux décisions réellement prises. L'organisme ne peut pas confirmer un effacement qu'il n'a pas effectué.
Et lorsqu'un certificateur ou un financeur est responsable distinct de certains traitements, l'organisme doit éviter de promettre une suppression qui ne relève pas de son pouvoir de décision.
7. Votre organisme serait-il capable de traiter cette demande demain ?
Le droit à l'effacement constitue finalement un test intéressant de l'organisation documentaire d'un organisme de formation.
Pour le vérifier, prenez un dossier d'ancien apprenant et réalisez un exercice à blanc, sans modifier les données.
Essayez de répondre à quelques questions :
- Savez-vous où se trouvent toutes les données de cet apprenant, y compris chez les intervenants et prestataires ?
- Pouvez-vous expliquer pourquoi chaque catégorie est encore conservée et jusqu'à quelle date ?
- Connaissez-vous les exigences du financeur et du certificateur ?
- Savez-vous qui peut encore consulter les documents et quels accès devraient être retirés ?
- Avez-vous identifié les données utilisées pour les enquêtes d'insertion ?
- Disposez-vous d'une procédure, d'un responsable et d'un moyen de tracer les opérations ?
- Les informations communiquées dans vos contrats, CGV et notices RGPD correspondent-elles réellement à vos pratiques ?
Si certaines réponses manquent, votre organisation mérite peut-être d'être examinée.
Cela ne signifie pas automatiquement qu'elle est non conforme. Mais ces difficultés révèlent des points de vigilance en matière de cartographie, de conservation et de gestion des habilitations.
Une procédure ne suffit pas non plus à elle seule : encore faut-il que les équipes sachent l'appliquer, que les outils le permettent et que les documents contractuels soient à jour.
Ces éléments doivent évoluer avec les nouveaux logiciels, les changements de prestataires, les exigences des financeurs et les évolutions réglementaires.
C'est pourquoi une veille organisée et des révisions régulières sont utiles, sans qu'une fréquence universelle de revue de l'ensemble des documents soit imposée par le RGPD.
Pour aller plus loin
Chaque organisme possède ses propres logiciels, ses intervenants, ses modalités de suivi et ses contraintes de financement.
Cartographier les données des apprenants, définir les règles de conservation, maîtriser les habilitations et formaliser une procédure d'effacement demande donc une approche adaptée à chaque structure.
Cette démarche peut être menée en interne ou faire l'objet d'un accompagnement personnalisé.
L'objectif n'est pas de tout conserver ni de tout supprimer, mais de savoir précisément quelles données sont nécessaires, pourquoi elles le sont, qui peut y accéder et quand leur conservation doit prendre fin.
Pour structurer cette démarche dans votre organisme, vous pouvez découvrir l'accompagnement FormaSwift ou échanger sur vos besoins.
À lire aussi :
- Durée de conservation des documents d'un organisme de formation : durées par pièce et par financeur, avec une matrice Excel.
- Cartographier le parcours apprenant : repérer où circulent les données au fil du parcours.
- CGU Mon Compte Formation version 15 : analyse comparative de la version précédente (la version 16 est applicable depuis le 22 octobre 2026).
- Encadrer les formateurs freelances : le cadre à poser avec les intervenants indépendants.
- Le rôle du référent handicap : les données liées aux aménagements.
- État des lieux des pratiques numériques : plus de 30 repères sur les outils, la cybersécurité et l'IA, avec une synthèse immédiate et sans envoi de vos réponses.
Quatre documents à télécharger
Pour passer de la lecture à l'exercice à blanc, quatre ressources accompagnent cet article.
- La cartographie type multi-acteurs : une carte visuelle fictive (formation certifiante avec stage et financement) qui relie les flux de données, les rôles à vérifier et les actions à prévoir en fin d'utilisation courante.
- La matrice opérationnelle, en Excel et en Word : la version Excel est directement utilisable, sur douze onglets. Un référentiel de 17 règles (catégorie de données et finalité) à qualifier, le suivi des lots et de leurs échéances de réexamen, les habilitations, les partenaires et sous-traitants, le registre des demandes d'effacement (réponse sous un mois, trois seulement si la prolongation est motivée et notifiée à temps), les actions à exécuter puis à vérifier, et une synthèse. Rien n'est effacé automatiquement : une date calculée invite à réexaminer. La version Word reprend la fiche de décision et le circuit de traitement.
- Le dossier de références et de réserves : les textes, la jurisprudence et les règles sectorielles utilisés, avec ce qui relève d'une obligation, d'une recommandation ou d'un engagement contractuel, et les points encore à vérifier.
Ces documents sont des modèles de travail. Ils ne déterminent pas à votre place les durées de conservation ni les responsabilités des acteurs : chaque ligne doit être validée pour votre organisme, ses contrats et les textes applicables à ses dossiers.
Pour les durées par pièce et par financeur, voir aussi Durée de conservation des documents d'un organisme de formation, qui propose une matrice Excel des durées.
Sources et références
Textes et recommandations
- Règlement (UE) 2016/679 du 27 avril 2016 - RGPD, notamment articles 5, 6, 9, 12 à 14, 17 à 19, 24 à 28, 30 et 32.
- CNIL - Les durées de conservation des données, mise à jour du 2 avril 2026.
- CNIL - Sécurité : gérer les habilitations, 13 mars 2024.
- CNIL - Droit à l'effacement : bilan des contrôles, 18 février 2026.
Jurisprudence
Formation professionnelle
- Code du travail, article R. 6323-38.
- Caisse des Dépôts - Conditions Mon Compte Formation, version 16 applicable depuis le 22 octobre 2026, articles 7.3 (CG) et 5.1.2 (CP OF).
- France compétences - Vademecum de la certification professionnelle, janvier 2026.
- Région Auvergne-Rhône-Alpes - Guide Former Pour l'Emploi 2026-2030.
Questions fréquentes
Un organisme de formation doit-il supprimer toutes les données d'un apprenant qui le demande ?
Non, pas automatiquement. Le droit à l'effacement (article 17 du RGPD) n'est pas absolu : une conservation peut rester nécessaire pour respecter une obligation légale ou pour défendre des droits en justice. En revanche, les données devenues inutiles doivent être supprimées, et la demande doit faire l'objet d'un examen catégorie par catégorie.
Sous quel délai répondre à une demande d'effacement ?
Le RGPD prévoit une réponse en principe dans un délai d'un mois à compter de la réception de la demande. Une prolongation de deux mois peut être appliquée dans les conditions de l'article 12, à condition d'en informer la personne dans le premier mois.
Archiver ou pseudonymiser une donnée équivaut-il à l'effacer ?
Non. Une donnée pseudonymisée reste personnelle tant qu'une réidentification est possible, et l'archivage consiste à conserver des données dont l'usage courant est terminé. Lorsqu'un effacement est juridiquement dû, ni l'un ni l'autre ne le remplace.
Les enquêtes d'insertion permettent-elles de refuser l'effacement des coordonnées ?
Une enquête future ne suffit pas, à elle seule, à justifier le maintien indéfini de données nominatives. Le traitement doit reposer sur une finalité, une base juridique et une durée justifiées, et les statistiques déjà réellement anonymisées peuvent continuer à être exploitées.
Que répondre à un ancien apprenant qui demande la suppression de ses données ?
Une réponse motivée et conforme aux décisions réellement prises : les données supprimées, les justificatifs encore conservés avec leur motif et leur échéance, les accès limités aux personnes habilitées, et la possibilité d'introduire une réclamation auprès de la CNIL. L'organisme ne peut pas confirmer un effacement qu'il n'a pas effectué.
Faut-il demander une pièce d'identité avant de traiter une demande d'effacement ?
Une preuve d'identité supplémentaire ne se demande qu'en cas de doute raisonnable sur l'identité de la personne. Dans les autres cas, l'organisme enregistre la demande, identifie le dossier et poursuit l'examen.
Que faire quand le certificateur ou le financeur détient aussi les données ?
Il faut qualifier leur rôle traitement par traitement : un certificateur ou un financeur peut être responsable de ses propres traitements. L'organisme décide pour les siens, transmet les instructions à ses sous-traitants et évite de promettre une suppression qui ne relève pas de son pouvoir de décision.
Les sauvegardes et les fichiers locaux des formateurs sont-ils concernés ?
Oui, il faut en tenir compte : retirer un accès ne garantit pas la disparition des copies déjà téléchargées, des exports ou des sauvegardes. La procédure doit prévoir leur recherche et le contrôle de leur traitement, ainsi qu'une politique technique évitant de réintroduire des données effacées lors d'une restauration.


