Le 8 octobre 2026, la CNIL a publié la clôture de l'injonction prononcée contre France Travail. Sa délibération du 23 septembre 2026 met fin à la mise en demeure du 22 janvier 2026. Aucune astreinte n'a été liquidée : l'organisme avait mis en place les quatre mesures exigées. Cette décision n'est pas anodine. Elle documente, pour la première fois de manière aussi précise, les mesures que la CNIL considère comme nécessaires et suffisantes pour répondre aux obligations de sécurité de l'article 32 RGPD après une violation de données à très grande échelle.
La brèche, la sanction, l'injonction
En mars 2024, des attaquants ont accédé aux systèmes de France Travail par ingénierie sociale, en ciblant des comptes utilisés par le personnel de Cap emploi, organisme partenaire. Les données exposées comprennent les noms, dates de naissance, numéros de sécurité sociale, adresses électroniques et postales, et numéros de téléphone. Après vérifications et élimination des doublons, France Travail a confirmé 36,8 millions de personnes concernées — soit l'une des plus grandes violations de données personnelles jamais enregistrées en France (source : déclaration France Travail, 2024).
Le 22 janvier 2026, la formation restreinte de la CNIL a prononcé une amende de 5 millions d'euros. Elle a également assortit la décision d'une injonction portant sur quatre points précis, avec une astreinte conditionnelle de 5 000 euros par jour en cas de non-respect dans le délai imparti. Le fondement juridique : l'article 32 du RGPD, qui impose aux responsables de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque (source : délibération CNIL SAN-2026-003, 22 janvier 2026).
La CNIL a relevé dans sa décision que la plupart des mesures adéquates avaient été identifiées par France Travail dans ses analyses d'impact sur la protection des données, sans avoir jamais été effectivement mises en œuvre. L'organisation savait ce qu'elle aurait dû faire. Elle ne l'avait pas fait.
Les quatre mesures : un repère pour votre programme de sécurité
Les quatre points de l'injonction constituent un repère opérationnel rare : la CNIL y documente explicitement ce qui manquait, et son acceptation de la conformité documente ce qui suffit pour y répondre.
1. Politique de mots de passe robuste. La mesure porte sur la robustesse des mots de passe utilisés sur les systèmes concernés. France Travail a dû mettre en place une politique imposant des mots de passe de longueur et de complexité suffisantes, assortie de mécanismes de restriction d'accès aux comptes après tentatives échouées. Cette mesure concerne aussi bien les comptes internes que les comptes des partenaires accédant aux systèmes — Cap emploi en l'occurrence.
2. Authentification multifacteur pour les conseillers partenaires. L'injonction ciblait spécifiquement les conseillers Cap emploi accédant aux systèmes de France Travail. L'accès d'un partenaire à votre système d'information est une surface d'attaque distincte, soumise aux mêmes obligations de sécurité que les accès internes. Les comptes de partenaires non protégés par MFA représentent un vecteur d'entrée documenté : c'est exactement celui utilisé dans cette attaque. Vous trouverez une analyse détaillée des lacunes de contrôle d'accès que NIS2 et DORA font remonter en priorité d'audit.
3. Supervision des journaux d'activité de l'outil MAP. MAP est l'outil interne utilisé par France Travail pour gérer les dossiers des demandeurs d'emploi. L'injonction exigeait la mise en place d'une supervision effective des journaux d'activité de cet outil. Sans supervision des logs, une exfiltration de données peut durer des semaines sans déclencher d'alerte. La détection tardive de l'incident France Travail illustre exactement ce risque.
4. Limitation des habilitations aux seules données nécessaires. Le principe de minimisation des accès impose que chaque utilisateur — interne ou partenaire — n'accède qu'aux données strictement nécessaires à sa mission. France Travail devait réviser ses droits d'accès pour appliquer ce principe à l'ensemble des comptes concernés par l'injonction. Cette mesure est directement liée à l'étendue de la brèche : 36,8 millions de dossiers accessibles depuis des comptes dont les droits n'avaient pas été circonscrits.
Ce que la CNIL dit implicitement sur l'article 32 RGPD
La CNIL n'a pas inventé ces quatre mesures. Elle les a tirées des analyses d'impact que France Travail avait elle-même produites. C'est là que réside l'enseignement le plus important : la faille n'était pas dans l'absence d'une analyse de risque. Elle était dans l'absence d'une mise en œuvre de ce que cette analyse prescrivait.
L'article 32 RGPD impose des mesures « appropriées » au risque. La CNIL précise ici ce qu'elle entend par approprié pour une organisation traitant des données à très grande échelle : politique de mots de passe robuste avec blocage des comptes, MFA sur les accès à risque, supervision des journaux d'activité, principe de moindre privilège appliqué. Ces quatre mesures ne sont pas des recommandations de bonne pratique. Ce sont, selon la délibération, les minima exigibles dans ce contexte.
Aucune de ces mesures n'est techniquement complexe. Chacune figure depuis des années dans les guides de l'ANSSI, dans les contrôles ISO 27001 et dans les exigences NIS2. Ce qui a manqué à France Travail, ce n'est pas la connaissance : c'est le mécanisme de transformation d'une analyse de risque en mesures opérationnelles déployées et vérifiées.
Trois questions à poser à votre programme de sécurité
Vos analyses d'impact produisent-elles des mesures déployées ou des documents archivés ? Une AIPD qui identifie un risque sans générer un plan d'action daté, assigné et vérifié reproduit exactement la situation de France Travail avant l'incident. Le document existe. La mesure n'existe pas.
Les comptes de vos partenaires bénéficient-ils des mêmes contrôles que les comptes internes ? Dans la plupart des organisations, les accès partenaires sont gérés avec moins de rigueur que les accès internes. Or ils partagent le même système d'information. Le vecteur d'entrée de l'attaque France Travail — l'ingénierie sociale sur un compte Cap emploi — est reproductible sur n'importe quelle organisation dont les partenaires disposent d'accès non protégés par MFA.
Votre supervision des logs couvre-t-elle les outils qui accèdent aux données sensibles à grande échelle ? Les systèmes de gestion RH, les outils CRM, les plateformes de gestion des bénéficiaires : chacun accède à des volumes de données personnelles pour lesquels une supervision insuffisante retarde la détection d'une exfiltration de plusieurs semaines. Le délai de détection est directement corrélé à l'étendue des données exfiltrées.
La conformité qui ne se vérifie pas ne compte pas
La clôture de l'injonction France Travail marque la fin d'une procédure administrative. Elle ne marque pas la fin du risque. Les 36,8 millions de numéros de sécurité sociale exposés en 2024 circulent encore dans des bases de données criminelles. L'organisation a mis en place les mesures requises. Elle aurait pu les mettre en place deux ans plus tôt, avant l'incident.
Pour votre organisation, la question n'est pas de savoir si vos analyses de risque identifient les bons contrôles. C'est de savoir si ces contrôles sont effectivement déployés, vérifiés et maintenus. La CNIL ne sanctionne pas l'absence de documentation. Elle sanctionne l'absence de mise en œuvre. La différence entre les deux se mesure, dans ce cas, à 5 millions d'euros et à 36,8 millions de personnes concernées.