France Travail : la CNIL clôt l'injonction sans liquider l'astreinte de 5 000 euros par jour

Par une délibération du 23 septembre 2026, annoncée par la CNIL le 8 octobre, la formation restreinte de la CNIL a clos l'injonction prononcée le 22 janvier 2026 contre France Travail, sans liquider l'astreinte de 5 000 euros par jour de retard. L'établissement a justifié, dans les délais impartis, s'être mis en conformité sur les quatre points exigés : mots de passe, authentification multifacteur, journalisation et habilitations. Pour un DPO, c'est la liste exacte de ce qu'une autorité attend après une violation massive, et la preuve qu'elle vérifie l'exécution.

Ce qui s'est passé

Au premier trimestre 2024, un ou plusieurs attaquants ont usurpé, par ingénierie sociale, des comptes de conseillers de Cap emploi, les structures chargées d'accompagner les personnes en situation de handicap vers l'emploi. Selon la CNIL, ils ont ainsi accédé aux données de l'ensemble des personnes inscrites, ou qui l'ont été au cours des 20 dernières années, ainsi que des titulaires d'un espace candidat : numéros de sécurité sociale, adresses e-mail et postales, numéros de téléphone. Les dossiers complets des demandeurs d'emploi, qui peuvent contenir des données de santé, n'ont pas été atteints.

Le 22 janvier 2026 (délibération SAN-2026-003), la formation restreinte a prononcé une amende de 5 millions d'euros et assorti la sanction d'une injonction sous astreinte. Le 23 septembre 2026 (délibération SAN-2026-013), elle a constaté la mise en conformité, renoncé à liquider l'astreinte et clos l'injonction.

Ce que la CNIL avait exigé, et ce que France Travail a mis en place

L'injonction portait sur des mesures de sécurité conformes à l'article 32 du RGPD, en quatre volets :

• Mots de passe : une politique prévoyant des mécanismes de restriction d'accès au compte. France Travail a déployé une nouvelle politique, plus robuste.
• Authentification : une authentification multifacteur pour les comptes des conseillers Cap emploi, désormais en place.
• Journalisation : une supervision active du système d'information et des journaux d'activité de l'outil MAP. L'établissement a ajouté des mesures dans son système d'analyse et de suivi des journaux.
• Habilitations : limiter l'accès des conseillers Cap emploi aux seules données nécessaires à leurs missions d'accompagnement. La CNIL relève une limitation des données accessibles au regard de leurs fonctions.

Pourquoi c'est important

La sanction de janvier portait un constat que beaucoup de DPO reconnaîtront : d'après la CNIL, la plupart des mesures de sécurité adéquates avaient été identifiées par France Travail en amont, dans ses analyses d'impact, sans être effectivement mises en œuvre. Une AIPD qui liste des mesures sans plan d'exécution ne protège ni les personnes, ni l'organisme : elle documente le manquement.

La clôture montre aussi la mécanique de l'injonction sous astreinte. L'astreinte n'est pas une seconde amende automatique : selon la CNIL, c'est le non-respect de l'injonction qui expose à son paiement. Ici, la mise en conformité justifiée dans les délais a conduit la formation restreinte à ne pas la liquider. C'est le même schéma que pour la clôture de l'injonction visant Solocal, publiée par la CNIL le 24 septembre.

Dernier point de cadre : France Travail est un établissement public administratif. La CNIL a précisé en janvier que son amende ne se calcule pas sur un chiffre d'affaires, mais dans une fourchette plafonnée à 10 millions d'euros pour un manquement à la sécurité des données.

Ce que ça change pour les organisations

• Relire les mesures prévues dans vos AIPD et vérifier, mesure par mesure, qu'elles sont en production, avec une date et un responsable.
• Recenser les comptes à privilèges ou à large périmètre, en particulier ceux de partenaires et de prestataires, et y imposer l'authentification multifacteur.
• Vérifier que les journaux d'activité sont réellement supervisés, avec des alertes sur les comportements anormaux (volumes de consultation, horaires, périmètre).
• Revoir les habilitations selon le besoin d'en connaître : un conseiller n'a pas à voir les dossiers de personnes qu'il n'accompagne pas.
• En cas d'injonction, tenir un dossier de preuves daté par point exigé : c'est ce dossier qui permet à l'autorité de clore sans liquider l'astreinte.

Pour aller plus loin sur les fondamentaux, notre guide sur la sécurité des données détaille les mesures techniques et organisationnelles attendues.

Ce que Leto en pense

Le dossier France Travail se lit en deux temps : la sanction de janvier dit ce qu'il ne fallait pas laisser en suspens, la clôture de septembre dit ce qui suffit à refermer le dossier. Entre les deux, il n'y a rien de spectaculaire : des mesures connues, suivies jusqu'à leur mise en œuvre et prouvées. C'est précisément le travail d'un registre et d'un plan d'action tenus à jour, plus que d'un document de conformité figé. Si vous voulez voir comment suivre vos AIPD jusqu'à l'exécution des mesures, demandez une démo.

Sources

• CNIL, « Clôture de l'injonction prononcée à l'encontre de FRANCE TRAVAIL », 8 octobre 2026
• CNIL, « Violation de données : sanction de 5 millions d'euros à l'encontre de FRANCE TRAVAIL », 29 janvier 2026
• CNIL, délibérations de la formation restreinte n° SAN-2026-003 du 22 janvier 2026 et n° SAN-2026-013 du 23 septembre 2026