L’essentiel
Au titre des articles 24 et 32 du RGPD, les mesures techniques et organisationnelles doivent être appropriées aux risques, réexaminées et adaptées à la nature, au volume et à la sensibilité des données. La violation n’est pas nécessaire pour caractériser le manquement : des vulnérabilités présentant un risque pour les droits et libertés peuvent être sanctionnées. L’ingénierie sociale ne constitue pas une circonstance exonératoire et impose une défense en profondeur.
La CNIL considère également qu’un établissement public administratif distinct de l’État peut faire l’objet d’une amende, le traitement étant mis en œuvre pour le compte de l’État et non par celui-ci au sens de l’article 20 de la loi du 6 janvier 1978. Une amende de cinq millions d’euros est prononcée sur le fondement de l’article 83 du RGPD, en tenant compte de la négligence grave, du volume des personnes concernées et de la sensibilité des données. Une injonction de mise en conformité, assortie d’une astreinte de 5 000 euros par jour, est également ordonnée faute de justificatifs suffisants.
En résumé
- Sanction de cinq millions d’euros pour manquement à l’obligation de sécurité.
- La co-responsabilité n’exonère pas l’opérateur principal du système d’information.
- Les vulnérabilités suffisent, même sans être seules à l’origine d’une violation.
- Le volume et la sensibilité des données aggravent le risque juridique.
- Des justificatifs de conformité sont nécessaires pour éviter l’astreinte.
Contexte de l’affaire
Entre février et mars 2024, des attaquants ont usurpé des comptes de conseillers CAP EMPLOI au moyen de techniques d’ingénierie sociale. Ils ont accédé à des données concernant plus de 36,8 millions de personnes et en ont exfiltré 25 Go vers des plateformes externes. FRANCE TRAVAIL a notifié la violation à la CNIL, qui a réalisé un contrôle puis engagé une procédure de sanction.
La CNIL a retenu un manquement à l’obligation de sécurité, notamment en raison de vulnérabilités affectant l’authentification et la protection du système d’information. Elle a prononcé une amende de cinq millions d’euros, une injonction assortie d’une astreinte et la publication de la décision.
Conditions / critères (ce que le juge vérifie)
- Détermination principale des règles de sécurité du système d’information
- Existence de mesures techniques et organisationnelles adaptées aux risques
- Prise en compte du volume et de la sensibilité des données traitées
- Protection effective contre les accès non autorisés
- Évaluation des vulnérabilités et déploiement d’une défense en profondeur
- Production de justificatifs démontrant les mesures correctrices
Preuves retenues (ce qui a fait pencher la décision)
- Procès-verbal de contrôle sur place n° 2024-051/1
- Résultats des investigations établissant l’intrusion et l’exfiltration
- Documents contractuels et demandes d’adhésion des organismes CAP EMPLOI
- Analyses d’impact relatives à la protection des données
- Politique de sécurité et règles d’accès au système d’information
Conséquences pratiques
- Amende administrative de cinq millions d’euros
- Injonction de renforcer authentification, habilitations et journaux
- Astreinte de 5 000 euros par jour de retard
- Justification documentaire de chaque mesure de conformité
- Publication de la sanction pendant deux ans sous identification nominative
Checklist pour Avocats
À faire
- Déployer une authentification multifacteur pour les comptes exposés
- Renforcer la politique de mots de passe
- Restreindre les habilitations selon les besoins métiers
- Surveiller et conserver les journaux d’activité
- Documenter chaque mesure corrective et son efficacité
À éviter
- Se reposer sur la seule vigilance des utilisateurs
- Considérer la co-responsabilité comme une exonération
- Reporter les mesures de sécurité identifiées dans les AIPD
- Maintenir des accès excessivement larges ou non contrôlés
- Déclarer des corrections sans fournir de justificatifs
FAQ / Q-R juridiques
La responsabilité du responsable conjoint de traitement
La co-responsabilité prévue par l’article D. 5312-51 du code du travail n’implique pas une responsabilité équivalente. Au regard des articles 4, paragraphe 7, et 26 du RGPD, FRANCE TRAVAIL reste principalement responsable des règles de sécurité et du déploiement des mesures techniques concernant son système d’information, même lorsque des organismes partenaires y accèdent.
Les mesures de sécurité adaptées aux risques
Les articles 24 et 32 du RGPD imposent des mesures techniques et organisationnelles appropriées aux risques, à la nature des données et à l’ampleur du traitement. La CNIL précise qu’une violation n’est pas nécessaire pour établir le manquement : des vulnérabilités présentant un risque suffisent. L’ingénierie sociale ne dispense pas le responsable de mettre en place une défense en profondeur.
La sanction administrative d’un établissement public
L’article 20 de la loi du 6 janvier 1978 n’exclut l’amende que pour les traitements mis en œuvre par l’État. FRANCE TRAVAIL, personne morale distincte et autonome financièrement, agit pour le compte de l’État. L’article 83 du RGPD permet donc une amende, fixée ici à cinq millions d’euros selon la gravité, la négligence, le volume des personnes concernées et la sensibilité des données.
Textes cités
RGPD & protection des données
Approfondir ce sujet :