# Brief — 43 millions de Français exposés, 5 M€ d'amende : France Travail avait écrit noir sur blanc les mesures de sécurité qu'elle n'a pas appliquées

**Thème : données personnelles et cybersécurité — obligation de sécurité (article 32 RGPD), analyse d'impact et sanction CNIL**

Le **22 janvier 2026**, la formation restreinte de la CNIL a infligé à **FRANCE TRAVAIL** (ex-Pôle Emploi) une amende de **5 millions d'euros** pour manquement à l'**article 32 du RGPD**, assortie d'une **injonction sous astreinte de 5 000 € par jour de retard** de justifier des mesures correctrices selon un calendrier précis — délibération **SAN-2026-003**, publiée sur Légifrance le 29 janvier 2026. Au premier trimestre 2024, des attaquants s'étaient introduits dans le système d'information par **ingénierie sociale**, en usurpant des comptes de conseillers de **CAP EMPLOI** — les structures d'accompagnement des personnes en situation de handicap — pour accéder aux données de l'ensemble des personnes inscrites ou l'ayant été au cours des vingt dernières années (numéros de sécurité sociale, adresses, téléphones) ; France Travail avait annoncé le 13 mars 2024 une fuite susceptible de concerner jusqu'à **43 millions de personnes**, les dossiers complets contenant d'éventuelles données de santé n'ayant pas été atteints.

Trois défaillances fondent le manquement : des **modalités d'authentification** insuffisamment robustes pour les accès des conseillers CAP EMPLOI, une **journalisation** trop pauvre pour détecter les comportements anormaux, et des **habilitations** définies trop largement, permettant d'accéder aux données de personnes non accompagnées — ce qui a mécaniquement élargi le volume exfiltré. La circonstance qui pèse le plus sur le quantum n'est pas technique : la formation restreinte relève que **la plupart des mesures adéquates avaient été identifiées par France Travail elle-même, en amont, dans ses analyses d'impact (article 35 RGPD), sans avoir été effectivement mises en œuvre**. L'organisme étant un établissement public financé par cotisations, l'amende relève non d'un pourcentage de chiffre d'affaires mais de la fourchette plafonnée à **10 millions d'euros** de l'article 83 § 4 a).

La leçon dépasse le cas d'espèce, à un moment où la France enchaîne les fuites revendiquées — dont celle du **26 juillet 2026** visant plus de **111 000 agents de l'État**, attribuée par la presse spécialisée à une plateforme de formation de la Gendarmerie nationale, revendication à ce jour **non confirmée officiellement**. L'article 32 pose une obligation de *moyens* : être attaqué n'est pas une faute, mais avoir documenté le risque sans le traiter en devient une. Pour un praticien de l'automatisation de la conformité, cela signifie qu'un registre de mesures « identifiées » sans preuve horodatée de déploiement ne protège pas — il constitue, devant le régulateur, la démonstration que le risque était connu.

## Sources

- [CNIL — Violation de données : sanction de 5 millions d'euros à l'encontre de FRANCE TRAVAIL (29 janvier 2026)](https://www.cnil.fr/fr/violation-de-donnees-sanction-5millions-france-travail)
- [Légifrance — Délibération SAN-2026-003 du 22 janvier 2026 de la formation restreinte de la CNIL](https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000053408671)
- [CNIL — Article 32 du RGPD (sécurité des données personnelles)](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article32)
- [CNIL — Les violations de données personnelles (notification, articles 33 et 34 du RGPD)](https://www.cnil.fr/fr/cybersecurite/les-violations-de-donnees-personnelles)
- [CNIL — Violations massives de données en 2024 : quels sont les principaux enseignements et mesures à prendre ?](https://www.cnil.fr/fr/violations-massives-de-donnees-en-2024-quels-sont-les-principaux-enseignements-mesures-a-prendre)
- [CNIL — Authentification multifacteur : les recommandations de la CNIL pour mieux protéger les données](https://www.cnil.fr/fr/recommandation-mfa)
- [CNIL — Recommandation relative aux mesures de journalisation](https://www.cnil.fr/fr/la-cnil-publie-une-recommandation-relative-aux-mesures-de-journalisation)
- [CNIL — Guide de la sécurité des données personnelles](https://www.cnil.fr/fr/guide-de-la-securite-des-donnees-personnelles)
- [CNIL — Victimes de violations de données : restez vigilants face aux offres d'accompagnement (24 juin 2026)](https://www.cnil.fr/fr/vigilance-accompagnement-violation-de-donnees)
- [IT-Connect — Cyberattaque France Travail de mars 2024 : fuite de données de 43 millions de personnes (contexte factuel de l'incident)](https://www.it-connect.fr/cyberattaque-france-travail-mars-2024-fuite-donnees-43-millions-de-personnes/)
- [InCyber News — Une fuite revendiquée viserait plus de 111 000 agents de l'État (juillet 2026, contexte d'actualité, revendication non confirmée officiellement)](https://incyber.org/article/une-fuite-revendiquee-viserait-plus-de-111-000-agents-de-letat/)