art. 32 RGPD — sécurité du traitement : mesures techniques et organisationnelles appropriées au risque (obligation de moyens)art. 35 RGPD — analyse d’impact relative à la protection des données (AIPD)art. 33 RGPD — notification d’une violation à l’autorité de contrôle dans les 72 heuresart. 34 RGPD — communication de la violation aux personnes concernées en cas de risque élevéart. 5 § 1 f) RGPD — principe d’intégrité et de confidentialitéart. 83 § 4 a) RGPD — plafond de 10 M€ ou 2 % du chiffre d’affaires mondial pour un manquement à l’article 32art. 20 de la loi n° 78-17 du 6 janvier 1978 modifiée — pouvoirs de sanction et d’injonction sous astreinte de la formation restreinteAu premier trimestre 2024, un ou plusieurs attaquants pénètrent le système d’information de France Travail (ex-Pôle Emploi) par ingénierie sociale : ils usurpent des comptes de conseillers de CAP EMPLOI, les structures d’accompagnement des personnes en situation de handicap, et accèdent par cette porte latérale aux données de l’ensemble des personnes inscrites ou l’ayant été au cours des vingt dernières années — numéros de sécurité sociale, adresses postales et électroniques, numéros de téléphone. France Travail avait annoncé publiquement, le 13 mars 2024, une fuite susceptible de concerner jusqu’à 43 millions de personnes. Les dossiers complets des demandeurs d’emploi, qui peuvent contenir des données de santé, n’ont pas été atteints.
Le 22 janvier 2026, la formation restreinte de la CNIL prononce une amende de 5 millions d’euros pour manquement à l’article 32, assortie d’une injonction sous astreinte de 5 000 € par jour de retard de justifier des mesures correctrices selon un calendrier précis. Trois défaillances sont relevées : des modalités d’authentification insuffisamment robustes pour les conseillers CAP EMPLOI ; une journalisation trop pauvre pour détecter les comportements anormaux ; des habilitations trop larges, permettant à un conseiller d’accéder aux données de personnes qu’il n’accompagnait pas — ce qui a mécaniquement élargi le butin. Circonstance déterminante du quantum : la plupart de ces mesures avaient été identifiées par France Travail elle-même, en amont, dans ses analyses d’impact, sans avoir été effectivement déployées. L’organisme étant un établissement public financé par cotisations, l’amende n’est pas calculée sur un chiffre d’affaires mais dans une fourchette plafonnée à 10 M€.
L’été 2026 offre à cette décision un écho brutal : la France a enchaîné les fuites revendiquées sur les forums criminels, jusqu’à celle du 26 juillet 2026 portant sur plus de 111 000 agents de l’État, attribuée par la presse spécialisée à une plateforme de formation de la Gendarmerie nationale — revendication à ce jour non confirmée officiellement, et dont l’auteur revendique une motivation politique liée aux projets européens de surveillance des messageries. Le point commun avec France Travail n’est pas la faille exotique : c’est l’identifiant volé d’un partenaire périphérique, moins surveillé que le cœur du système.
Pour qui conçoit ou audite des systèmes, la décision est presque une grille de test : authentification multifacteur sur les accès tiers, journalisation exploitable, cloisonnement des habilitations au périmètre réellement accompagné. Elle contient surtout un avertissement méthodologique — une AIPD est une pièce à charge. Documenter un risque sans le traiter fournit au régulateur la preuve de la connaissance du risque, et transforme un incident subi en manquement caractérisé. En automatisation de conformité, cela signifie qu’un registre de mesures « identifiées » doit être couplé à une preuve de déploiement, pas seulement à une date de rédaction.