Par une délibération SAN-2026-013 du 23 septembre 2026, rendue publique le 8 octobre, la formation restreinte de la CNIL a clos l’injonction prononcée contre France Travail en janvier, sans liquider l’astreinte. L’opérateur a prouvé dans les délais qu’il avait corrigé les failles relevées. Pour un DPO, ce dossier vaut surtout pour la liste précise des mesures exigées au titre de la sécurité des données (article 32 du RGPD) : authentification, supervision des journaux, limitation des accès. Elle se transpose facilement à n’importe quel organisme qui ouvre son système d’information à des partenaires.
Rappel de la sanction de janvier 2026
Le 22 janvier 2026 (délibération SAN-2026-003), la CNIL a infligé à France Travail une amende de 5 millions d’euros pour des mesures de sécurité insuffisantes sur les données des demandeurs d’emploi. Elle l’accompagnait de quatre injonctions, assorties d’une astreinte de 5 000 euros par jour de retard :
- adopter une politique de mots de passe robuste, avec des mécanismes qui limitent les tentatives d’accès aux comptes ;
- imposer une authentification multifacteur aux conseillers Cap emploi ;
- superviser activement le système d’information et les journaux d’activité de l’outil MAP ;
- restreindre l’accès des conseillers Cap emploi aux données nécessaires à leurs missions.
Selon le communiqué de clôture de la CNIL, France Travail a renforcé l’authentification des comptes de ces conseillers, déployé une nouvelle politique de mots de passe et le multifacteur, complété son système d’analyse des journaux et réduit les données visibles selon les fonctions. Le texte de la délibération est publié sur Légifrance.
Sécurité des données : ce que l’article 32 attend des accès partenaires
Les conseillers Cap emploi relèvent d’organismes partenaires qui accèdent à l’outil de France Travail. Beaucoup de structures que j’accompagne vivent la même configuration. Une collectivité ouvre son logiciel à un prestataire, un SPST donne accès au dossier médical en santé au travail à un éditeur pour la maintenance, un établissement de santé reçoit des intervenants extérieurs. Dans chaque cas, le compte externe est souvent le moins surveillé et le plus exposé au hameçonnage.
L’article 32 demande des mesures adaptées au risque, en tenant compte de l’état des connaissances. Quand de nombreux comptes externes donnent accès aux données d’une large population, la CNIL attend aujourd’hui le multifacteur, une supervision réelle des journaux et un périmètre d’accès calé sur le métier. Un mot de passe seul ne suffit plus pour ce type d’accès.
Check-list accès et journalisation pour votre organisme
Authentification
- Recenser les comptes qui accèdent à des données personnelles depuis l’extérieur : partenaires, prestataires, télétravail, comptes de service.
- Vérifier que la politique de mots de passe suit la recommandation de la CNIL et qu’un blocage ou une temporisation s’applique après plusieurs échecs.
- Activer le multifacteur en priorité sur les comptes externes, les comptes à privilèges et les accès à des données de santé ou au NIR.
- Supprimer les comptes génériques partagés, qui rendent les journaux inexploitables.
Habilitations
- Écrire une matrice des profils : qui voit quoi, pour quelle mission.
- Limiter les recherches de masse et les exports quand le métier ne les justifie pas.
- Planifier une revue des habilitations, avec la fermeture des comptes des personnes parties et des partenaires dont la convention a pris fin.
Journalisation et supervision
- Journaliser les consultations, créations, modifications et suppressions dans les applications métier, pas seulement les connexions.
- Mettre en place des alertes sur les volumes anormaux (un compte qui consulte des centaines de fiches en une heure), les connexions à des horaires ou depuis des pays inhabituels, les exports massifs.
- Désigner une personne qui lit ces alertes et sait quoi en faire. Des journaux que personne ne regarde ne protègent rien.
- Fixer une durée de conservation des journaux : la recommandation de la CNIL sur la journalisation retient en général de six mois à un an.
Contrats et documentation
- Inscrire ces exigences dans les conventions avec les partenaires et dans les contrats de sous-traitance (article 28) : multifacteur, signalement des incidents, droit d’audit.
- Mettre à jour l’analyse d’impact quand un traitement à grande échelle ouvre de nouveaux accès.
- Conserver les preuves des mesures : captures de configuration, comptes rendus de revue, rapports d’alertes.
Ce que montre la clôture sans astreinte
France Travail a évité l’astreinte parce qu’il a pu démontrer ses corrections dans le délai fixé. La démonstration repose sur des pièces : politique écrite, configuration du multifacteur, description du dispositif de supervision, matrice des droits. Un organisme qui reçoit une mise en demeure ou une injonction et qui n’a jamais documenté sa sécurité perd des semaines à reconstituer ces éléments.
Le dossier rappelle aussi que la clôture de l’injonction n’efface pas l’amende de 5 millions d’euros, prononcée sur l’état antérieur de la sécurité. Mieux vaut traiter la check-list ci-dessus avant qu’un compte partenaire compromis serve de porte d’entrée.
Les DPO du réseau DPO FRANCE accompagnent les organismes dans la revue des habilitations, la rédaction des politiques d’accès et la mise à jour des contrats de sous-traitance. Le logiciel DPO SUITE rattache à chaque traitement ses mesures de sécurité, ses sous-traitants et les preuves associées, ce qui permet de répondre vite à une demande de la CNIL.
