5 millions d’eu­ros d’amende, 36,8 millions de personnes touchées et un constat impla­cable : chacune des défaillances sanc­tion­nées avait été iden­ti­fiée par FRANCE TRAVAIL lui-même, avant que les mesures censées y répondre ne soient différées.

La déli­bé­ra­tion n° SAN-2026–003 du 22 janvier 2026 détaille, grief par grief, ce qui était concrè­te­ment attendu de l’opé­ra­teur au titre de son obli­ga­tion de sécu­rité au sens de l’art. 32 RGPD, et ses ensei­gne­ments dépassent la seule fron­tière fran­çaise. Un peu de contexte avant d’en­trer dans le détail qui servira pour la suite.

FRANCE TRAVAIL est une insti­tu­tion natio­nale publique dotée de la person­na­lité morale et de l’au­to­no­mie finan­cière (cf. art. L. 5312–1 du code du travail). Le décret n° 2022–1161 du 17 août 2022 a créé un trai­te­ment des données de santé néces­saires à l’ac­com­pa­gne­ment adapté des deman­deurs d’emploi en situa­tion de handi­cap, dont l’opé­ra­teur et les orga­nismes de place­ment spécia­li­sés CAP EMPLOI sont conjoin­te­ment respon­sables (cf. art. D. 5312–51 du code du travail).

FRANCE TRAVAIL a ainsi ouvert son appli­ca­tif métier à envi­ron 2’300 sala­riés des 98 struc­tures CAP EMPLOI, asso­cia­tions auto­nomes et indé­pen­dantes de l’opérateur.

Entre le 6 février et le 5 mars 2024, des cybe­rat­ta­quants ont usurpé plusieurs de ces comptes au moyen de tech­niques dites d’in­gé­nie­rie sociale. Concrètement, ces derniers ont mani­pulé des sala­riés pour obte­nir leurs iden­ti­fiants et mots de passe, sans forcer la moindre barrière technique.

Une acti­vité anor­male avait été rele­vée le 29 février sur le système de mesure des perfor­mances, mais l’alerte n’a été prise en compte que le 4 mars en fin de jour­née et les inves­ti­ga­tions enga­gées le lende­main. 25 giga­oc­tets de données concer­nant 36’820’828 personnes ont été exfil­trés, notam­ment des données rela­tives à l’état civil, le numéro de sécu­rité sociale (NIR) ou encore l’adresse postale, les coor­don­nées de contact et le statut de deman­deur d’emploi. Étaient visées les personnes inscrites au cours des vingt dernières années, mais aussi les simples titu­laires d’un espace candi­dat. La viola­tion a été noti­fiée le 8 mars 2024 et un contrôle sur place a suivi.

La co-respon­sa­bi­lité n’al­lège pas la charge de celui qui maîtrise le système

FRANCE TRAVAIL soute­nait que les CAP EMPLOI, co-respon­sables du trai­te­ment, devaient assu­mer une part des mesures de sécu­rité, la docu­men­ta­tion contrac­tuelle leur attri­buant expres­sé­ment la charge de leur propre envi­ron­ne­ment de travail. En s’ap­puyant sur l’ar­rêt IAB Europe (CJUE, 7 mars 2024, IAB Europe, C‑604/​22 ; pour une analyse de l’arrêt, cf. swiss​pri​vacy​.law/​3​03/), la CNIL confirme que celle-ci ne se traduit pas néces­sai­re­ment par une respon­sa­bi­lité équi­va­lente. En effet, la Commission rappelle que le niveau de respon­sa­bi­lité de chacun s’ap­pré­cie au regard des circons­tances de l’espèce.

Or, l’exa­men des conven­tions révèle que FRANCE TRAVAIL s’en­ga­geait à mettre en œuvre les mesures de sécu­rité tech­nique des outils mis à dispo­si­tion, à contrô­ler le respect des règles d’ha­bi­li­ta­tion et à ordon­ner, le cas échéant, la décon­nexion des envi­ron­ne­ments insuf­fi­sam­ment sécu­ri­sés. Force est par consé­quent de consta­ter que c’est bien FRANCE TRAVAIL qui était réel­le­ment respon­sable de la sécu­rité du système d’in­for­ma­tion, ce que la CNIL retient à juste titre en jugeant que « c’est à FRANCE TRAVAIL que revient en premier lieu l’ini­tia­tive du déploie­ment et du pilo­tage des mesures desti­nées à assu­rer la sécu­rité de son système d’in­for­ma­tion ». La conclu­sion s’im­po­sait : celui qui conçoit, héberge et admi­nistre le système en déter­mine les règles de sécurité.

Ce que la CNIL reproche concrè­te­ment à FRANCE TRAVAIL

L’obligation de sécu­rité au titre de l’art. 32 RGPD est une obli­ga­tion de moyens. Il s’agit non pas d’empêcher toute attaque, mais de déployer des mesures appro­priées au risque. En l’espèce, le risque était consi­dé­rable entre volu­mé­trie du trai­te­ment, NIR et données de santé. C’est au regard d’un tel risque que la forma­tion restreinte de la CNIL a examiné les quatre manque­ments rete­nus, qui procèdent tous de cette seule et même obligation.

Le premier grief porte sur la robus­tesse de l’authentification.

En effet, la poli­tique en vigueur impo­sait des mots de passe d’au moins huit carac­tères combi­nant trois types de carac­tères, ce qui corres­pond au second cas prévu par la recom­man­da­tion de la CNIL rela­tive aux mots de passe et autres secrets parta­gés (déli­bé­ra­tion n° 2022-100 du 21 juillet 2022) et appelle donc une mesure de restric­tion complémentaire.

Or le compte n’était verrouillé qu’a­près 50 tenta­tives infruc­tueuses (sic !), contre 10 au maxi­mum selon cette recom­man­da­tion, sans qu’au­cun autre méca­nisme (exemple : un capt­cha) ne compense ce seuil. La CNIL relève que cette vulné­ra­bi­lité n’a pas été exploi­tée par les atta­quants, mais retient toute­fois le manque­ment à l’obli­ga­tion de sécu­rité au sens de l’art. 32 RGPD en raison du risque qu’il fait peser.

Ce premier grief mérite qu’on s’y arrête car il est le plus instructif !

Les atta­quants dispo­saient des iden­ti­fiants et des mots de passe. De ce fait, le seuil de 50 tenta­tives n’a joué aucun rôle dans la surve­nance de la viola­tion. Le manque­ment a toute­fois été retenu car la CNIL a suivi le raison­ne­ment de la juris­pru­dence de la Cour de justice de l’Union euro­péenne, selon laquelle la surve­nance d’une viola­tion ne suffit pas à carac­té­ri­ser un manque­ment à l’art. 32 RGPD, pas plus que son absence ne démontre la confor­mité (en ce sens, CJUE, 14 décembre 2023, VB c. Natsionalna agent­sia za priho­dite, C‑340/​21 ; pour une analyse des conclu­sions de l’avocat géné­ral, cf. swiss​pri​vacy​.law/​230/​).

Cela amène à consi­dé­rer que la confor­mité s’ap­pré­cie au regard du carac­tère appro­prié des mesures déployées, et non à la lumière du scéna­rio d’at­taque effec­ti­ve­ment réalisé. Ainsi, un contrôle déclen­ché par un inci­dent peut abou­tir à sanc­tion­ner des vulné­ra­bi­li­tés entiè­re­ment étran­gères à cet inci­dent, ce que la CNIL rappelle avoir déjà fait, par exemple s’agissant du stockage de mots de passe en clair (en ce sens, déli­bé­ra­tion n° SAN-2022–018 du 8 septembre 2022) ou encore en cas d’absence de poli­tique d’ha­bi­li­ta­tion (en ce sens, déli­bé­ra­tion n° SAN-2021–019 du 29 octobre 2021).

Le deuxième grief (le plus lourd) tient à l’ab­sence d’au­then­ti­fi­ca­tion multifacteur.

En effet, les analyses d’im­pact réali­sées en 2022 iden­ti­fiaient préci­sé­ment le risque et prévoyaient un déploie­ment pour 2023 que la CNIL avait accueilli favo­ra­ble­ment dans son avis. Toutefois, la mesure a été repous­sée à avril 2024, FRANCE TRAVAIL faisant valoir que la four­ni­ture des seconds termi­naux incom­bait contrac­tuel­le­ment aux CAP EMPLOI. Or, selon la forma­tion restreinte, il appar­te­nait à FRANCE TRAVAIL en sa qualité de déve­lop­peur et d’hé­ber­geur de l’ou­til d’ap­pré­cier la faisa­bi­lité de la solu­tion rete­nue et de l’adap­ter, par exemple, par la distri­bu­tion de calcu­lettes OTP. Est égale­ment reje­tée l’idée qu’une telle mesure aurait été inopé­rante face à l’in­gé­nie­rie sociale dès lors qu’elle aurait rendu l’au­then­ti­fi­ca­tion des atta­quants extrê­me­ment difficile.

À ce stade, il convient de préci­ser que cette doctrine est anté­rieure à la déli­bé­ra­tion n° 2025-019 du 20 mars 2025 rela­tive à l’au­then­ti­fi­ca­tion multi­fac­teur qui l’a conso­li­dée. La néces­sité d’une telle mesure avait déjà été souli­gnée par l’ANSSI dans ses recom­man­da­tions rela­tives à l’au­then­ti­fi­ca­tion multi­fac­teur et aux mots de passe de 2021, puis par la CNIL en 2022 (cf. déli­bé­ra­tion n° 2022-100 préci­tée) et en 2024 dans son guide de la sécu­rité des données person­nelles, et la forma­tion restreinte avait même retenu dès 2018 qu’elle aurait été de nature à empê­cher une viola­tion de données (cf. déli­bé­ra­tion n° SAN-2018–011 du 19 décembre 2018).

Le troi­sième grief vise l’ex­ploi­ta­tion des jour­naux d’ac­ti­vité de l’ap­pli­ca­tif métier, c’est-à-dire l’en­re­gis­tre­ment horo­daté des opéra­tions effec­tuées par les utili­sa­teurs dans l’outil.

En effet, FRANCE TRAVAIL dispo­sait d’une jour­na­li­sa­tion conser­vée un an et d’un centre des opéra­tions de sécu­rité, mais aucun dispo­si­tif ne géné­rait d’alerte. Les anoma­lies étaient pour­tant consi­dé­rables, qu’il s’agisse des horaires et de la fréquence des requêtes, du taux d’er­reur de 69 % sur l’un des comptes usur­pés ou encore, pour la seule jour­née du 6 février 2024, des neuf giga­oc­tets extraits (soit l’équi­valent de plus de treize millions de fiches pour un unique conseiller !). La collecte des traces ne suffit toute­fois pas. C’est la CNIL elle-même qui l’exige dans sa recom­man­da­tion rela­tive à la jour­na­li­sa­tion (déli­bé­ra­tion n° 2021-122 du 14 octobre 2021), laquelle réclame un système de trai­te­ment et d’ana­lyse permet­tant de géné­rer des alertes. Circonstance aggra­vante, elle avait déjà appelé l’at­ten­tion de l’opé­ra­teur sur ce point en 2022.

Enfin, le quatrième grief concerne les habilitations.

En ce sens, les conseillers CAP EMPLOI pouvaient consul­ter l’en­semble des données de tous les deman­deurs d’emploi (y compris ceux qui ne béné­fi­ciaient pas de l’obli­ga­tion d’emploi) et modi­fier de leur seule initia­tive le péri­mètre géogra­phique de recherche sans limi­ta­tion. Si la CNIL admet l’uti­lité de ces accès, elle juge leur péri­mètre supé­rieur à ce qui est stric­te­ment nécessaire.

En défi­ni­tive, la forma­tion restreinte conclut que l’opé­ra­teur n’a pas mis en place des mesures tech­niques et orga­ni­sa­tion­nelles adéquates et propor­tion­nées aux exigences de l’art. 32 RGPD, alors même qu’il avait iden­ti­fié la plupart de ces risques avant la mise en œuvre du trai­te­ment. Le constat est d’au­tant plus sévère que son système d’in­for­ma­tion a voca­tion à s’ou­vrir à davan­tage d’ac­teurs du réseau pour l’emploi.

Sanctionner un établis­se­ment public : possible, mais discuté 

De nombreux manque­ments étant consta­tés, restait la ques­tion de la sanc­tion. FRANCE TRAVAIL a tenté de s’en sortir autre­ment. L’opérateur contes­tait en ce sens le prin­cipe même de l’amende, l’art. 20 de la loi Informatique et Libertés excluant les trai­te­ments « mis en œuvre par l’État ».

Toutefois, la forma­tion restreinte inter­prète stric­te­ment cette excep­tion et lui oppose la notion voisine de trai­te­ment mis en œuvre « pour le compte de l’État », qui n’en béné­fi­cie pas. En effet, la CNIL relève que l’opé­ra­teur dispose de la person­na­lité morale et d’un budget financé pour un tiers seule­ment par l’État, le reste prove­nant de contri­bu­tions obli­ga­toires des employeurs. L’amende était donc possible, sans qu’une mise en demeure préa­lable soit requise. Sur le quan­tum, la CNIL retient une négli­gence grave au sens de l’art. 83 RGPD dès lors que les analyses d’im­pact avaient listé les risques exacts qui se sont maté­ria­li­sés plus de deux ans plus tard. Les 5 millions d’eu­ros, pour un plafond légal de dix millions, s’ac­com­pagnent d’une injonc­tion de justi­fier la mise en confor­mité sur les quatre points, sous astreinte de 5’000 euros par jour de retard, ainsi que d’une publi­ca­tion qui n’iden­ti­fiera plus l’opé­ra­teur à l’ex­pi­ra­tion d’un délai de deux ans.

Cette sanc­tion appelle cepen­dant de nombreuses réserves et laisse scep­tique. Une amende infli­gée par une auto­rité publique à un opéra­teur public dont le budget provient, direc­te­ment ou indi­rec­te­ment, de la collec­ti­vité inter­roge sur son effet réel­le­ment correc­tif, dès lors que c’est, in fine, le contri­buable qui règle la facture.

Un passage moins commenté mérite pour­tant l’at­ten­tion. FRANCE TRAVAIL deman­dait à la forma­tion restreinte, plutôt qu’une amende, de lui enjoindre d’al­louer une somme déter­mi­née à la sécu­ri­sa­tion de son système d’in­for­ma­tion, ce qui est une propo­si­tion plutôt sédui­sante pour un orga­nisme dont chaque euro provient de la collec­ti­vité. Elle est toute­fois écar­tée en deux temps. D’une part, l’in­jonc­tion et l’amende ont des objets distincts, la première visant à faire cesser une pratique, la seconde à sanc­tion­ner des manque­ments passés. D’autre part, il n’ap­par­tient pas à l’au­to­rité de contrôle de flécher les attri­bu­tions budgé­taires de l’or­ga­nisme qu’elle contrôle.

Ce qu’il faut en rete­nir, en France comme en Suisse

Quatre réflexes se dégagent de cette décision.

D’abord, une analyse d’im­pact qui iden­ti­fie un risque et plani­fie une mesure crée une véri­table dette de confor­mité. En effet, si elle est en prin­cipe conçue comme un outil de maîtrise des risques, une analyse d’impact se mue en pièce à charge lorsque les mesures qu’elle annonce restent lettre morte. Tout report doit donc être daté, motivé et compensé par une mesure inter­mé­diaire, faute de quoi il docu­mente la négli­gence au lieu de la prévenir.

Ensuite, la répar­ti­tion contrac­tuelle des rôles entre co-respon­sables n’exo­nère pas celui qui déve­loppe et héberge le système. Ainsi, des clauses dans un contrat qui répar­tissent les coûts ne déplacent pas l’ini­tia­tive des mesures de sécu­rité, laquelle demeure atta­chée à la maîtrise effec­tive de l’outil.

En outre, la jour­na­li­sa­tion ne vaut que par son exploi­ta­tion. Ainsi, collec­ter des traces sans les analy­ser en continu ne protège de rien.

Enfin, une poli­tique d’ha­bi­li­ta­tion se mesure au péri­mètre effec­ti­ve­ment consul­table par chaque utili­sa­teur, non aux profils théo­ri­que­ment définis.

Les lecteurs suisses auraient tort de n’y voir qu’une affaire fran­çaise, car chacune des défaillances sanc­tion­nées trouve un répon­dant en droit suisse.

En effet, l’exi­gence d’une authen­ti­fi­ca­tion robuste et d’une sécu­rité adap­tée au risque découle de l’art. 8 LPD, dont le Conseil fédé­ral a précisé les exigences mini­males aux art. 1 à 6 OPDo. Le besoin d’en connaître, qui fonde le quatrième grief, est formulé presque à l’iden­tique à l’art. 3 OPDo, qui impose de restreindre l’ac­cès de chaque personne auto­ri­sée aux seules données néces­saires à l’ac­com­plis­se­ment de ses tâches. La jour­na­li­sa­tion défaillante du troi­sième grief corres­pond à une obli­ga­tion expresse de l’art. 4 OPDo, appli­cable aux organes fédé­raux et, notam­ment en cas de trai­te­ment auto­ma­tisé de données sensibles à grande échelle, aux personnes privées. Quant à la détec­tion tardive de l’at­taque, elle aurait direc­te­ment mis à l’épreuve l’obli­ga­tion d’an­non­cer au PFPDT, dans les meilleurs délais, toute viola­tion entraî­nant vrai­sem­bla­ble­ment un risque élevé (art. 24 LPD).

La diffé­rence déci­sive tient à l’aval. La LPD ne connaît pas la sanc­tion admi­nis­tra­tive dès lors que l’art. 61 let. c LPD punit d’une amende de 250‘000 francs au plus la viola­tion inten­tion­nelle des exigences mini­males de sécu­rité, mais cette sanc­tion pénale vise la personne physique respon­sable, l’en­tre­prise ne pouvant être condam­née à sa place que dans des cas précis (art. 64  LPD renvoyant à la Loi fédé­rale sur le droit pénal admi­nis­tra­tif, RS 313.0). Surtout, ces dispo­si­tions pénales ne visent que les personnes privées.

Transposée en Suisse, une telle affaire se dénoue­rait donc tout autre­ment. En effet, un organe fédé­ral placé dans la situa­tion de FRANCE TRAVAIL n’en­cour­rait aucune sanc­tion, et la menace pénale pèse­rait plutôt sur les épaules de ses colla­bo­ra­teurs, une divul­ga­tion de données person­nelles secrètes rele­vant du secret des fonc­tions (art. 320 CP). A défaut, le devoir de discré­tion au titre de l’art. 62 LPD pren­drait le relais.

Le PFPDT, dont la surveillance s’étend pour­tant aux trai­te­ments des organes fédé­raux (art. 4 LPD), devrait quant à lui s’en tenir aux mesures admi­nis­tra­tives telles que la modi­fi­ca­tion, la suspen­sion ou encore la cessa­tion du trai­te­ment (art. 51 LPD).

Ce résul­tat tient d’ailleurs moins au silence de la loi qu’à un renon­ce­ment assumé. Le Conseil fédé­ral a effec­ti­ve­ment écarté l’idée d’ar­mer le préposé d’un pouvoir de sanc­tion contre les organes fédé­raux lors des travaux de révi­sion totale, esti­mant que la faculté d’interdire ou de suspendre leurs trai­te­ments et le renfor­ce­ment du volet pénal de la loi suffi­saient (en ce sens, Message LPD, FF 2017 6565, 6589). Le débat fran­çais sur la légi­ti­mité d’une sanc­tion pécu­niaire entre enti­tés publiques est ainsi réglé en amont, par un choix déli­béré du légis­la­teur Suisse.

L’exigence maté­rielle reste pour­tant compa­rable. Un respon­sable suisse qui aurait, comme l’opé­ra­teur fran­çais, iden­ti­fié le besoin d’une authen­ti­fi­ca­tion multi­fac­teur puis différé sa mise en œuvre pour des motifs budgé­taires pour­rait diffi­ci­le­ment soute­nir avoir assuré une sécu­rité adéquate au risque encouru.

L’actualité immé­diate donne du reste à la déci­sion un écho parti­cu­lier, et une raison de s’en souve­nir. Le 14 août 2026, le minis­tère de l’Économie et des Finances a signalé une viola­tion affec­tant le système d’in­for­ma­tion de la Direction géné­rale des finances publiques (DGFiP), et la CNIL a indi­qué le 18 août être saisie et pouvoir procé­der à des véri­fi­ca­tions. Cette fois, l’ex­cep­tion tenant aux trai­te­ments mis en œuvre par l’État pour­rait bien trou­ver à s’ap­pli­quer. La déci­sion France Travail n’en conser­ve­rait que davan­tage sa valeur d’éta­lon : celle de ce que l’obli­ga­tion de sécu­rité exige, concrè­te­ment, d’un grand opéra­teur public.