- Sécurisation de la collecte du NIR par les organismes de formation
L’organisme de formation peut donc organiser la collecte du NIR par deux moyens :
- Soit auprès de l’employeur qui le sollicite, en tant qu’il participe également à la mise en œuvre et à l’alimentation du passeport de prévention, et qu’il peut traiter le NIR dans ce cadre (arrêté du 11 octobre 2019 relatif à la mise en œuvre du traitement automatisé de données à caractère personnel dénommé « Système d’information du compte personnel de formation » listant les données à caractère personnel pouvant être enregistrées dans le traitement automatisé SI-CPF, dont le NIR ; décret n° 2019-341 du 19 avril 2019).
Cette transmission par l’employeur peut s’effectuer sans que celui-ci n’ait à obtenir l’accord du salarié : en effet, le traitement du NIR par l’organisme de formation étant « nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis » (article 6.1.c du RGPD et article L. 4141-5 du code du travail), il n’est pas conditionné au recueil du consentement des personnes concernées prévu à l’article 6.1.a du RGPD. De même, le droit d’opposition des personnes concernées au traitement de leurs données, prévu à l’article 21 du RGPD, n’est pas applicable s’agissant des opérations de traitement de données mises en œuvre pour l’alimentation du compte personnel de formation et du passeport de prévention.
- Soit directement auprès des stagiaires qu’il forme.
Dans les deux cas, et conformément aux articles 12 à 14 du RGPD, il lui revient d’informer le stagiaire que son NIR est collecté, par qui et que cette collecte est justifiée par l’obligation légale liée à l’alimentation de son passeport de prévention, et sans que cela n’emporte le risque que le stagiaire informé refuse la collecte de son NIR et empêche la déclaration de la formation concernée dans le passeport de prévention, dès lors que l’information des personnes concernées n’emporte pas la nécessité de recueillir leur consentement pour traiter leurs données.
Dans le cadre de la collecte et de la conservation du NIR, et conformément à l’article 32 du RGPD, l’organisme de formation et l’employeur, en tant que responsables de traitement, « mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». Le NIR étant une donnée sensible, un niveau hautement sécurisé de transmission de cette donnée est requis par la CNIL. Ainsi, par exemple, sa transmission ne peut pas être faite par mail simple, une messagerie n’étant pas considérée comme un moyen de transfert sécurisé.
Deux moyens de transmission sécurisés sont possibles :
- L’utilisation d’une plateforme sécurisée : assurant un transfert chiffré du document, une telle plateforme permet de s’assurer de la sécurité de la transmission du NIR (par exemple, l’outil « Lockself » https://www.lockself.com/)
- L’envoi du document par mail dans une archive sécurisée :
-Archiver le document à l’aide d’une outil tel que 7-Zip (solution gratuite)
-Sécuriser l’archive avec un mot de passe (mot de passe fort répondant aux exigences de sécurité de l’ANSSI en la matière – 12 caractères minimum, incluant lettres, chiffres et caractères spéciaux)
-Envoyer l’archive ainsi sécurisée par mail
-Envoyer le mot de passe permettant l’accès à l’archive par un autre moyen.
Par ailleurs, un accès restreint et tracé à ces données doit être prévu aux personnes dûment habilitées au sein de l’organisme de formation, et la collecte de ce NIR ne doit servir qu’à l’alimentation du passeport de prévention et ne doit être conservée que pour la durée nécessaire au traitement.
À noter : Si l’employeur ou le titulaire refuse de transmettre le numéro de sécurité sociale (NIR) à l’organisme de formation, ce dernier sera dans l’impossibilité de compléter le passeport de prévention pour le stagiaire concerné. Dans ce cas, la responsabilité de renseigner le passeport reviendra à l’employeur, conformément à l’article 7, II du décret n° 2025-748 du 1er août 2025.
Sur la base de ces éléments, l’administration devrait rapidement mettre à jour la FAQ sur le site du passeport de prévention.
2. Ouverture du passeport de prévention aux titulaires
La date d’ouverture du passeport de prévention aux titulaires est fixée au 16 novembre 2026.