Brief — 43 millions de Français exposés, 5 M€ d'amende : France Travail avait écrit noir sur blanc les mesures de sécurité qu'elle n'a pas appliquées

Thème : données personnelles et cybersécurité — obligation de sécurité (article 32 RGPD), analyse d'impact et sanction CNIL

Le 22 janvier 2026, la formation restreinte de la CNIL a infligé à FRANCE TRAVAIL (ex-Pôle Emploi) une amende de 5 millions d'euros pour manquement à l'article 32 du RGPD, assortie d'une injonction sous astreinte de 5 000 € par jour de retard de justifier des mesures correctrices selon un calendrier précis — délibération SAN-2026-003, publiée sur Légifrance le 29 janvier 2026. Au premier trimestre 2024, des attaquants s'étaient introduits dans le système d'information par ingénierie sociale, en usurpant des comptes de conseillers de CAP EMPLOI — les structures d'accompagnement des personnes en situation de handicap — pour accéder aux données de l'ensemble des personnes inscrites ou l'ayant été au cours des vingt dernières années (numéros de sécurité sociale, adresses, téléphones) ; France Travail avait annoncé le 13 mars 2024 une fuite susceptible de concerner jusqu'à 43 millions de personnes, les dossiers complets contenant d'éventuelles données de santé n'ayant pas été atteints.

Trois défaillances fondent le manquement : des modalités d'authentification insuffisamment robustes pour les accès des conseillers CAP EMPLOI, une journalisation trop pauvre pour détecter les comportements anormaux, et des habilitations définies trop largement, permettant d'accéder aux données de personnes non accompagnées — ce qui a mécaniquement élargi le volume exfiltré. La circonstance qui pèse le plus sur le quantum n'est pas technique : la formation restreinte relève que la plupart des mesures adéquates avaient été identifiées par France Travail elle-même, en amont, dans ses analyses d'impact (article 35 RGPD), sans avoir été effectivement mises en œuvre. L'organisme étant un établissement public financé par cotisations, l'amende relève non d'un pourcentage de chiffre d'affaires mais de la fourchette plafonnée à 10 millions d'euros de l'article 83 § 4 a).

La leçon dépasse le cas d'espèce, à un moment où la France enchaîne les fuites revendiquées — dont celle du 26 juillet 2026 visant plus de 111 000 agents de l'État, attribuée par la presse spécialisée à une plateforme de formation de la Gendarmerie nationale, revendication à ce jour non confirmée officiellement. L'article 32 pose une obligation de *moyens* : être attaqué n'est pas une faute, mais avoir documenté le risque sans le traiter en devient une. Pour un praticien de l'automatisation de la conformité, cela signifie qu'un registre de mesures « identifiées » sans preuve horodatée de déploiement ne protège pas — il constitue, devant le régulateur, la démonstration que le risque était connu.

Brief — 43 millions de Français exposés, 5 M€ d'amende : France Travail avait écrit noir sur blanc les mesures de sécurité qu'elle n'a pas appliquées

Sources