Le 22 janvier 2026, la CNIL a infligé une amende de 5 millions d’euros à France Travail pour manquement à son obligation de sécurité des données personnelles des personnes en recherche d’emploi.
Rappel des faits Au premier trimestre 2024, France Travail a été victime d’une cyberattaque visant son système d’information. Les données de l’ensemble des personnes inscrites ou l’ayant été au cours des 20 dernières années ainsi que celles ayant un espace candidat sur francetravail.fr ont été compromises. Parmi les données concernées : numéros de sécurité sociale, adresses postales et électroniques, numéros de téléphone.
Constats de la CNIL Le contrôle mené par l’autorité a mis en évidence de graves insuffisances dans les mesures techniques et organisationnelles, notamment :
- des mécanismes d’authentification insuffisants,
- des droits d’accès trop larges, notamment pour certains conseillers,
- une journalisation des actions incomplète.
La CNIL souligne également que, bien que les mesures de sécurité appropriées aient été identifiées en amont dans les analyses d’impact, elles n’avaient pas été effectivement mises en œuvre.
Ce qu’il faut retenir Pour éviter de se retrouver dans une situation similaire, il est essentiel de :
- mettre en place des processus de sécurité robustes et adaptés,
- renforcer la culture interne du risque cyber,
- prévoir des plans d’action concrets, opérationnels et vérifiables pour prévenir et gérer les violations de données.
Au-delà du montant de la sanction, cette décision envoie un message clair à l’ensemble des organisations, publiques comme privées, la protection des données personnelles doit être une priorité, intégrée dès la conception des systèmes et tout au long de leur exploitation.
