Protection des données dans les systèmes de gestion de la formation (TMS) : enjeux et bonnes pratiques
La formation professionnelle fait partie intégrante de toute stratégie d’entreprise. En revanche, la mise en œuvre des actions de formation implique le recueil, le traitement et la conservation d’informations à caractère privé. À ce titre, la protection des données saisies dans le TMS de formation devient une préoccupation majeure pour toutes les entreprises visant la montée en compétences de leurs salariés et pour tout autre organisme d’enseignement. En quoi consiste la sécurisation de l’information et comment s’articule-t-elle concrètement ?
Introduction à la protection des données dans les TMS
Dès l’instant qu’une entreprise organise la montée en compétences de ses salariés, celle-ci ne peut échapper au traitement de diverses informations sensibles à leur sujet.
En effet, la mise en place d’une action de formation requiert de collecter certaines données à caractère personnel concernant les apprenants, comme :
- leur nom ;
- leur adresse postale ou e-mail ;
- leur niveau d’étude et diplômes obtenus ;
- un éventuel handicap (RQTH) ;
- les modules de formation auxquels ils sont inscrits ;
- ses temps de connexion à la plateforme pédagogique ;
- en somme, toute information se rapportant à une personne physique identifiée ou identifiable selon la CNIL.
Celles-ci font l’objet d’un enregistrement dans leur système de gestion de la formation (TMS) à des fins pédagogiques et administratives.
Il est fréquent de voir ces données dites « sensibles » être confiées à un organisme de formation lorsque l’entreprise externalise la gestion de la formation de ses collaborateurs. Tout comme l’entreprise cliente, le prestataire devient à son tour responsable des données qu’il détient. Il doit alors, lui aussi, se conformer au Règlement général sur la protection des données, mieux connu sous l’acronyme RGPD.
Importance de la conformité au RGPD pour les organismes de formation
Qu’est-ce que le RGPD ?
Le RGPD, ou Règlement général sur la protection des données, est un texte réglementaire européen entré en vigueur le 25 mai 2018. Il vise à harmoniser l’ensemble des règles relatives au traitement des données à caractère personnel des individus au sein des États membres de l’Union européenne.
La gestion des parcours de formation des actifs constitue le cœur de métier des organismes de formation. Pour accomplir leur mission dans les meilleures conditions, ceux-ci sont amenés à collecter, enregistrer et conserver un grand volume de données concernant leurs stagiaires. À ce titre, les organismes de formation implantés au sein de l’UE ont l’obligation de mettre leur outil de gestion de la formation (TMS) en conformité avec les dispositions du RGPD.
En quoi consiste la mise en conformité au RGPD des organismes de formation ?
Pour respecter leurs obligations légales, les établissements pédagogiques sont tenus de suivre les recommandations de la CNIL (Commission nationale de l’informatique et des libertés). Celles-ci sont résumées selon 6 grands principes :
- la légitimité des données collectées : ne sont recueillies que les informations ayant une finalité précise et légitime ;
- la transparence à l’égard des personnes sur ce qui sera fait de leurs données personnelles ;
- le droit d’accès, de consultation et de rectification des données ;
- une durée de conservation des informations limitée ;
- la sécurisation des données ;
- l’amélioration continue des procédures de mise en conformité engagées.
Pour s’inscrire dans ce cadre légal, les organismes de formation prendront soin de tenir un registre de traitement des données. Il relève de leur responsabilité de mettre en œuvre tous les moyens dont ils disposent pour obéir à ces recommandations, sous peine de mettre à mal leur intégrité et leur professionnalisme.
Principales mesures de sécurité pour protéger les données dans un TMS
Dès l’implémentation de votre système de gestion de la formation (TMS) ou de votre LMS (Learning management system), la question de la protection des données s’impose et requiert de prendre certaines précautions.
Cryptage des données et transmission sécurisée
La protection des données constitue un enjeu majeur dans le domaine de l’enseignement. Si la digitalisation de la formation opérée sur les dernières années contribue à redéfinir les méthodes d’apprentissage, elle impose également de nouvelles contraintes aux acteurs du secteur.
Ainsi, l’une des premières mesures à adopter réside dans le cryptage des données, celle-ci vise notamment à contrer les tentatives d’accès non autorisés aux informations. Cela passe par l’utilisation de diverses technologies :
- pare-feu ;
- logiciels anti-virus ;
- politique de mots de passe fort ;
- ou toute autre solution servant à sécuriser ses serveurs ou ses postes de travail.
Si vous ne disposez pas des ressources en cybersécurité suffisantes en interne, sachez qu’il est possible d’envisager d’externaliser cette compétence et de la confier à un prestataire. Ce dernier se charge alors d’héberger et de sécuriser vos données par le biais d’un « cloud », soit, un lot de serveurs distants, dont les services sont accessibles sur Internet.
Contrôle des accès et gestion des permissions
La bonne gestion des accès est l’un des fondements de toute stratégie de protection des données dans le TMS de formation. Celle-ci repose essentiellement sur un principe d’authentification et d’autorisation.
Ces fonctionnalités permettent de restreindre le champ d’action de certains utilisateurs, afin de le limiter au cadre de leur fonction ou de leur statut. Les 4 types de contrôle d’accès sont les suivants :
- le contrôle d’accès discrétionnaire (à la discrétion du propriétaire du système) ;
- le contrôle d’accès obligatoire (une autorité centrale accorde l’autorisation) ;
- le contrôle d’accès en fonction du rôle (selon la fonction de l’utilisateur) ;
- le contrôle d’accès en fonction de l’attribut (selon un ensemble de paramètres).
Il s’agit de réduire considérablement le risque de vol ou de divulgation de données confidentielles, qui pourraient être captées par de potentiels hackers malveillants.
Audit et traçabilité des actions
L’audit constitue un outil de contrôle du respect des procédures de protection des choses. Il peut s’agir de répertorier et de conserver des données sur l’activité des apprenants, mais aussi de détecter et d’analyser d’éventuelles tentatives de violation d’accès.
Organiser des audits constitue un gage de transparence sur la mise en œuvre des bonnes pratiques du centre de formation en matière de protection des données au sein de son TMS. Cela permet notamment de conserver des preuves de services, mais aussi de rendre compte de sa bonne foi dans la mobilisation des moyens auprès des organismes financeurs ou des organismes de réglementation.
Certifications et normes de sécurité applicables aux TMS
Le RGPD
Nous l’avons vu, les mesures de protection des données enregistrées au sein du TMS portant sur la formation des individus, doivent scrupuleusement observer les règles relatives au RGPD. Cette disposition vise à harmoniser le traitement des données au sein des États membres de l’UE.
La certification ISO 27001
Par ailleurs, les entités chargées de la formation des actifs doivent également se conformer au cahier des charges de la certification ISO 27001. Celle-ci représente le standard d’excellence en matière de sécurité de l’information. Elle s’inscrit dans la mise en œuvre de la politique SMSI (Système de management de la sécurité de l’information), et s’articule autour des compétences suivantes :
- chiffrage des données ;
- contrôles d’accès ;
- audit et surveillance ;
- détection des risques et gestion des incidents ;
- mises à jour et actions correctives.
La norme SOC 2 (Service organization control 2)
Enfin, la norme SOC 2 mérite également toute notre attention. Elle désigne une procédure d’audit destinée aux prestataires de services qui stockent les données qui leur sont confiées au sein du cloud.
Bonnes pratiques pour assurer la protection des données dans un TMS
Afin de garantir le respect des règles édictées par le RGPD, il peut s’avérer pertinent de commencer par consulter le guide de mise en conformité mis à disposition par la CNIL. Celui-ci invite les organisations à désigner un DPO (délégué à la protection des données), chargé de superviser la mise en conformité de la structure.
Sensibilisation et formation du personnel
La nomination d’un DPO au sein du personnel constitue la première étape du processus de sécurisation des données. Ce collaborateur devient alors la personne référente en matière de protection de l’information et de respect de la confidentialité.
Il est tenu de se former sur les bonnes pratiques à adopter. Il œuvre dans le but de sensibiliser l’ensemble des équipes aux implications d’un tel enjeu et au rôle de chacun à titre individuel (comme ne pas cliquer sur un lien douteux par exemple).
Mise en place de politiques de confidentialité claires
Le DPO devient également l'interlocuteur privilégié au moment de déployer l’outil TMS. Sa mission consiste à s’assurer que les fonctionnalités implémentées sont bien compatibles avec les mesures de protection des données liées à la formation, telles que :
- le moyen d’obtenir le consentement du propriétaire des éléments collectés ;
- l’accès pour ce dernier à ses données pour modification ou suppression ;
- la nature des données recueillies ;
- la finalité de la collecte ;
- le temps de conservation des éléments ;
- etc.
Il revient au chargé de la protection des données du TMS de formation de piloter la politique de sauvegarde de l’information. Ce processus s’opère à partir d’un état des lieux des mesures déjà existantes. Il est ensuite plus aisé de définir les axes d’amélioration possibles pour une sécurisation optimale des données.
Enfin, il appartient aux entreprises d’apporter la preuve qu’elles ont effectivement mis en place les actions nécessaires à la protection des données personnelles. Pour ce faire, le DPO s’emploie à réunir l’ensemble des documents qui l’atteste : étude d’impact sur la vie privée (EIVP), plan d’actions, tenue du registre des traitements, etc.
Besoin d’un accompagnement dans la mise en conformité de votre plan de formation ? Les équipes du Groupe CIMES mettent à disposition des entreprises un système de gestion de la formation parfaitement sécurisé et conforme à la législation. N’hésitez pas à planifier votre démo du TMS E-gos.
