# L'article 32 du RGPD, ou pourquoi France Travail a payé 5 millions d'euros pour un document qu'elle avait pourtant rédigé

## Le point de départ : une porte latérale, pas une faille spectaculaire

Au premier trimestre 2024, un ou plusieurs attaquants sont parvenus à s'introduire dans le système d'information de France Travail, l'opérateur public français du service de l'emploi, anciennement Pôle Emploi. La méthode n'a rien d'une prouesse technique : il s'agit d'ingénierie sociale, c'est-à-dire l'exploitation de la confiance, de l'ignorance ou de la crédulité de personnes plutôt que d'une vulnérabilité logicielle. Les attaquants ont usurpé des comptes de conseillers de CAP EMPLOI, réseau de structures chargées de l'accompagnement et du maintien dans l'emploi des personnes en situation de handicap. Ces conseillers ne sont pas des agents de France Travail, mais disposent d'accès à son système d'information : au sens de l'architecture de sécurité, des tiers périphériques dotés de droits centraux.

Une fois ces comptes détournés, les attaquants ont accédé aux données de l'ensemble des personnes inscrites, ou l'ayant été au cours des vingt dernières années, ainsi que des personnes disposant d'un espace candidat sur francetravail.fr : noms, adresses postales et électroniques, numéros de téléphone et numéros de sécurité sociale. Dans son communiqué du 13 mars 2024, France Travail avait indiqué que la fuite était susceptible de concerner jusqu'à quarante-trois millions de personnes — l'un des incidents les plus massifs jamais rendus publics dans le pays. Un point a compté dans l'appréciation ultérieure : les dossiers complets des demandeurs d'emploi, qui peuvent contenir des données de santé, n'ont pas été atteints.

## La décision : cinq millions d'euros et une astreinte

Le 22 janvier 2026, la formation restreinte de la CNIL — l'organe collégial chargé de prononcer les sanctions, distinct des services qui mènent les contrôles — a infligé à France Travail une amende de cinq millions d'euros pour manquement à l'obligation d'assurer la sécurité des données. La délibération porte le numéro SAN-2026-003 ; elle a été publiée sur Légifrance le 29 janvier 2026, date du communiqué explicatif de la CNIL.

À l'amende s'ajoute une injonction : France Travail doit justifier des mesures correctrices apportées selon un calendrier précis, faute de quoi elle devra payer une astreinte de cinq mille euros par jour de retard. L'articulation est classique — l'amende sanctionne le passé, l'astreinte contraint l'avenir — mais c'est souvent l'injonction, et non l'amende, qui pèse le plus lourd dans l'organisation interne d'une entité sanctionnée.

Le montant appelle une précision de méthode. France Travail est un établissement public national à caractère administratif dont le budget, déterminé par la loi, repose principalement sur les cotisations sociales : il n'a pas de chiffre d'affaires. Le plafond de l'article 83, paragraphe 4, sous a), du RGPD — dix millions d'euros ou deux pour cent du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu — s'applique donc dans sa seule branche forfaitaire. L'amende représente ainsi la moitié du maximum encouru, ce qui, dans la pratique décisionnelle de la CNIL, correspond à une sanction sévère. Les amendes de la CNIL, qu'elles visent des acteurs privés ou publics, sont recouvrées par le Trésor public et versées au budget de l'État.

## Le fond du droit : une obligation de moyens, et ce qu'elle implique vraiment

L'article 32 du RGPD impose au responsable du traitement et au sous-traitant de mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, compte tenu de l'état des connaissances, des coûts de mise en œuvre, ainsi que de la nature, de la portée, du contexte et des finalités du traitement. La formulation est délibérément relative : elle crée une obligation de moyens, non de résultat.

Cette distinction est le cœur pédagogique du dossier. Être victime d'une attaque n'est pas, en soi, une violation du RGPD : aucun système n'est inviolable, et le régulateur ne le prétend pas. Ce que sanctionne l'article 32, c'est l'écart entre les mesures qu'un responsable de traitement diligent aurait dû mettre en place au regard du risque encouru et celles effectivement en place au moment des faits. Le raisonnement est comparatif, jamais automatique : la CNIL ne déduit pas le manquement de l'existence de la fuite, elle le démontre point par point.

En l'espèce, la formation restreinte a relevé trois défaillances concrètes. D'abord, les modalités d'authentification des conseillers CAP EMPLOI n'étaient pas suffisamment robustes — ce qui, dans le vocabulaire de la CNIL, renvoie à ses recommandations sur l'authentification multifacteur. Ensuite, les mesures de journalisation étaient insuffisantes pour détecter les comportements anormaux : un accès massif et atypique depuis un compte de conseiller aurait dû déclencher une alerte, ce qui suppose non seulement de produire des journaux mais de les exploiter. Enfin, les habilitations des comptes CAP EMPLOI étaient définies trop largement, permettant de consulter les données de personnes non accompagnées — défaut de cloisonnement qui a transformé la compromission de quelques comptes en exposition de dizaines de millions de dossiers.

## Le point qui fait la différence : l'analyse d'impact comme pièce à charge

L'élément le plus instructif de la décision tient en une phrase du communiqué de la CNIL : pour déterminer la sanction, la formation restreinte a tenu compte du fait que la plupart des mesures de sécurité adéquates avaient été identifiées par France Travail, en amont de la mise en œuvre du traitement, dans les analyses d'impact, sans pour autant avoir été effectivement mises en œuvre.

L'analyse d'impact relative à la protection des données, ou AIPD, est prévue par l'article 35 du RGPD. Elle est obligatoire lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes — manifestement le cas d'un fichier couvrant des dizaines de millions de personnes et contenant des numéros de sécurité sociale. Son contenu minimal est fixé par le texte : description du traitement, évaluation de la nécessité et de la proportionnalité, évaluation des risques, et — c'est là que tout se joue — les mesures envisagées pour y faire face.

L'AIPD est donc, par construction, un document dans lequel une organisation écrit ce qu'elle sait de ses propres vulnérabilités et ce qu'elle prévoit d'y opposer. Bien menée, elle est un outil de pilotage ; non suivie d'effet, elle devient la meilleure preuve possible que le risque était connu, compris, documenté — et néanmoins accepté sans traitement. Un responsable de traitement qui n'aurait rien vu venir pourrait, à la rigueur, plaider l'imprévisibilité ; celui qui a lui-même rédigé la liste des mesures manquantes ne le peut pas. Renversement contre-intuitif pour beaucoup d'équipes conformité : le livrable qui protège en amont peut condamner en aval si l'écart entre le plan et l'exécution n'est ni comblé ni tracé.

## Le contexte : un été français saturé de fuites

Cette décision de janvier 2026 prend un relief particulier à l'été 2026, marqué en France par une succession de fuites revendiquées sur des forums criminels, touchant acteurs privés comme publics. Le 26 juillet 2026, une revendication portant sur plus de cent onze mille agents de l'État a circulé, attribuée par plusieurs médias spécialisés à une plateforme de formation rattachée à la Gendarmerie nationale. Il faut être précis sur son statut : il s'agit d'une revendication, non confirmée officiellement par le ministère de l'Intérieur, dont l'authenticité, le volume réel et l'origine technique restent à établir — mentionnée ici comme contexte d'actualité, non comme fait juridiquement acquis.

Ce contexte éclaire deux autres articles du RGPD, qui se déclenchent au moment où une organisation découvre l'incident. L'article 33 impose de notifier la violation à l'autorité de contrôle dans les meilleurs délais et, si possible, dans les soixante-douze heures, à moins qu'elle ne soit pas susceptible d'engendrer un risque pour les droits et libertés. L'article 34 impose, lorsque le risque est élevé, de communiquer la violation aux personnes concernées elles-mêmes. Ces obligations sont procédurales et indépendantes de l'article 32 : on peut avoir une sécurité irréprochable et manquer à son obligation de notification, ou l'inverse. Dans le dossier France Travail, c'est le manquement de fond à la sécurité qui a été sanctionné.

## Ce que le praticien en retient

Pour un chercheur en cybersécurité ou un consultant en automatisation, la décision se lit comme une grille de contrôle validée par le régulateur : authentification des accès tiers, journalisation réellement exploitable pour la détection d'anomalies, cloisonnement des habilitations au strict périmètre fonctionnel. Aucun de ces points n'est original — et c'est précisément ce qui rend la décision utile, car elle confirme que le standard attendu par la CNIL correspond à l'état de l'art courant, non à une sophistication de pointe.

Le deuxième enseignement est organisationnel : la chaîne de compromission n'a pas visé le cœur du système mais un partenaire périphérique, doté d'accès larges et probablement moins surveillé. La surface d'attaque réelle d'une organisation inclut ses partenaires et ses prestataires, et son niveau de sécurité effectif est celui du maillon le moins contrôlé disposant de droits significatifs.

Le troisième est méthodologique, et c'est le plus transposable. Un dispositif de conformité qui produit des documents sans produire de preuves d'exécution crée un risque net supérieur à l'absence de documentation. La conclusion opérationnelle : coupler tout registre de mesures identifiées à une preuve horodatée de déploiement et de vérification — traiter chaque mesure d'AIPD comme un ticket doté d'un état, d'une date de clôture et d'un contrôle de non-régression, plutôt que comme une ligne de texte dans un document figé.

## Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Voici cinq angles possibles pour orienter la conversation générée à partir de cette source. Choisissez celui qui correspond à ce que vous voulez approfondir aujourd'hui, et collez-le tel quel dans le champ de personnalisation.

**Angle 1 — Audit offensif : reconstituer la chaîne d'attaque.** Concentre-toi sur le scénario technique de la compromission — usurpation de comptes de conseillers partenaires par ingénierie sociale, absence d'authentification multifacteur, habilitations non cloisonnées, journalisation non exploitée — et traduis chacune des trois défaillances relevées par la CNIL en points de contrôle concrets pour un test d'intrusion ou un audit de sécurité. Discute des indicateurs qu'un défenseur aurait dû voir se déclencher et de la raison pour laquelle un accès massif atypique n'a pas généré d'alerte.

**Angle 2 — Architecture des accès tiers et gestion des identités.** Explique comment un réseau de partenaires externes (ici CAP EMPLOI, mais transposable à tout écosystème de prestataires) doit être intégré dans une architecture d'identité : fédération, granularité des rôles, principe du moindre privilège appliqué au périmètre réellement accompagné, revue périodique des habilitations, API d'administration des comptes tiers. Mets en évidence ce qu'une conception correcte aurait changé au volume de données exposées, à compromission initiale identique.

**Angle 3 — L'AIPD comme pièce à charge : conformité documentaire contre conformité effective.** Développe le mécanisme juridique par lequel un document destiné à protéger l'organisation — l'analyse d'impact de l'article 35 — s'est retourné contre elle en établissant que le risque était connu. Compare cette logique avec d'autres régimes déjà traités dans le dépôt où la traçabilité fait basculer la charge de la preuve, notamment les lignes directrices du CEPD sur le moissonnage et l'anonymisation (module du 1er août 2026, qui déplace l'examen du résultat vers le pipeline). Conclus sur ce que doit contenir un dispositif de conformité pour que la documentation reste un atout.

**Angle 4 — Comparaison des régimes de sanction du dépôt.** Mets en regard la sanction de la CNIL contre France Travail — plafond forfaitaire de 10 M€ faute de chiffre d'affaires, injonction sous astreinte, entité publique — avec les autres régimes déjà couverts : les 890 M€ infligés à Google au titre du DMA (module du 28 juillet 2026), les paliers de l'article 99 de l'AI Act (modules des 30 juillet et 2 août 2026), et les sanctions européennes contre Clearview AI pour collecte illicite (module du 1er août 2026). Dégage ce que ces échelles disent de la manière dont le droit européen calibre la dissuasion selon la nature de l'acteur.

**Angle 5 — Veille automatisée sur les sanctions et les violations de données.** Réfléchis à l'architecture d'un pipeline de veille qui suivrait en continu ce type de dossier : collecte des délibérations SAN publiées sur Légifrance et des communiqués de la CNIL, corrélation avec les revendications apparaissant sur les forums et les agrégateurs de fuites françaises, détection des écarts entre revendication et confirmation officielle, et suivi des échéances d'injonction sous astreinte. Précise les sources, la fréquence, les déclencheurs d'alerte, et surtout les garde-fous méthodologiques permettant de ne pas traiter une revendication non vérifiée comme un fait établi — problème central de l'été 2026 en France.