Clôture de l’injonction prononcée à l’encontre de FRANCE TRAVAIL

Le contexte

En janvier 2026, la formation restreinte – organe de la CNIL chargé des sanctions – avait prononcé à l’encontre de FRANCE TRAVAIL une amende de 5 millions d’euros en raison de l’insuffisance des mesures mises en œuvre afin d’assurer la sécurité des données des personnes en recherche d’emploi.

La formation restreinte avait, en plus de l’amende, prononcé des injonctions afin de s’assurer de la mise en œuvre des mesures de sécurité conformes à l’article 32 du RGPD et plus particulièrement :

• s’agissant de la robustesse des mots de passe, mettre en œuvre une politique de mots de passe prévoyant des mécanismes de restriction d’accès au compte ;
• s’agissant des modalités d’authentification aux comptes utilisateurs des conseillers CAP EMPLOI, mettre en œuvre une authentification multifacteur ;
• s’agissant du suivi des journaux d’activité de l’outil MAP, prévoir une supervision active du système d’information et des journaux d’activité ;
• s’agissant de la gestion des habilitations d’accès aux données à caractère personnel, limiter l’accès, par les conseillers CAP EMPLOI, aux seules données nécessaires à l’exercice de leurs missions d’accompagnement.

Le non-respect de cette injonction exposait FRANCE TRAVAIL au paiement d’une astreinte (c’est-à-dire d’une amende supplémentaire) de 5 000 euros par jour de retard.

La clôture de l’injonction

En réponse à cette injonction, FRANCE TRAVAIL a, dans les délais impartis, justifié s’être mis en conformité avec l’ensemble des injonctions qui lui avaient été faites afin d’assurer la sécurité des données personnelles traitées. Pour cela, FRANCE TRAVAIL a mis en place une sécurité plus élevée pour l’authentification aux comptes des conseillers CAP EMPLOI, dont une nouvelle politique de mots de passe plus robuste, ainsi qu’une authentification multifacteur pour l’accès à ces comptes. FRANCE TRAVAIL a également prévu des mesures complémentaires dans le système d’analyse et de suivi de ses journaux d’activité ainsi qu’une limitation des données auxquelles les conseillers CAP EMPLOI peuvent accéder au regard de leurs fonctions.

Compte tenu de cette mise en conformité, la formation restreinte a décidé de ne pas liquider l’astreinte (c’est-à-dire de ne pas exiger le paiement de l’amende supplémentaire évoquée ci-dessus) et de clore l’injonction.