Les développements de la délibération comportant des données à caractère personnel ou des secrets protégés par la loi sont remplacés par le signe […]

****

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, MM. Didier KLING et Bertrand DU MARAIS, membres,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret n°2019-536 du 29 mai 2019 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ;

Vu la décision n° 2024-051C du 13 mars 2024 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification ;

Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 3 juillet 2025 ;

Vu le rapport de M. Fabien TARISSAN, commissaire rapporteur, notifié à FRANCE TRAVAIL le 24 juillet 2025 ;

Vu les observations écrites de FRANCE TRAVAIL reçues le 22 septembre 2025 ;

Vu la réponse du rapporteur notifiée à la FRANCE TRAVAIL le 22 octobre 2025 ;

Vu les observations écrites de FRANCE TRAVAIL reçues le 21 novembre 2025 ;

Vu la clôture de l’instruction notifiée à FRANCE TRAVAIL le 2 décembre 2025 ;

Vu la demande de huis-clos formulée le 11 décembre 2025 et refusée le 12 décembre 2025 ;

Vu les observations orales formulées lors de la séance de la formation restreinte du 18 décembre 2025 ;

Vu les autres pièces du dossier,

Étaient présents, lors de la séance de la formation restreinte :

– M. Fabien TARISSAN, commissaire, entendu en son rapport ;

En qualité de représentants de FRANCE TRAVAIL :

– […]

En qualité de commissaire du Gouvernement :

– Monsieur Damien MILIC.

L’opérateur FRANCE TRAVAIL ayant été informé de son droit de garder le silence sur les faits qui lui étaient reprochés et ayant eu la parole en dernier ;

Après en avoir délibéré, a adopté la décision suivante :

I. Faits et procédure

A. Présentation de l’opérateur FRANCE TRAVAIL et du traitement mis en œuvre

1. L’opérateur FRANCE TRAVAIL (ci-après, « l’opérateur » ou « l’organisme ») sis Le Cinetic 1-5, 1 avenue du Docteur Gley à Paris (75020), est un établissement public administratif placé sous la tutelle du Ministère chargé de l’emploi. FRANCE TRAVAIL est doté de l’autonomie financière.

2. Les missions de FRANCE TRAVAIL sont définies à l’article L. 5312-1 du code du travail. L’opérateur assure notamment des missions d’indemnisation et d’accompagnement des demandeurs vers le retour à l’emploi, ainsi que de conseil aux entreprises dans leurs recrutements. L’opérateur a également pour mission de proposer un accompagnement adapté aux besoins des personnes ayant fait l’objet d’une décision de reconnaissance de la qualité de travailleur handicapé et bénéficiaires de l’obligation d’emploi.

3. FRANCE TRAVAIL assure cette dernière mission en lien avec les CAP EMPLOI, qui sont des organismes de placement spécialisés mentionnés à l’article L. 5214-3-1 du code du travail. Il existe 98 structures CAP EMPLOI en France, qui sont représentées auprès des pouvoirs publics, des décideurs économiques et des partenaires sociaux par le Conseil national handicap et emploi des organismes de placement spécialisés (CHEOPS). Les structures CAP EMPLOI sont autonomes et généralement créées sous forme associative, indépendantes de FRANCE TRAVAIL. Elles accompagnent environ 20 % des personnes en situation de handicap inscrites auprès de FRANCE TRAVAIL.

4. Depuis 2018, afin de pallier le morcellement de l’accompagnement, une offre de services unifiée permet aux demandeurs d’emploi ayant fait l’objet d’une décision de reconnaissance de la qualité de travailleur handicapé et bénéficiaires de l’obligation d’emploi d’être accompagnés au sein des agences de FRANCE TRAVAIL, que leur conseiller référent soit un conseiller FRANCE TRAVAIL ou un conseiller CAP EMPLOI.

5. Afin de permettre cette offre de service intégrée, un  » traitement de données de santé nécessaires à l’accompagnement adapté des demandeurs d’emploi en situation de handicap  » a été créé par le décret n° 2022-1161 du 16 août 2022 (articles D. 5312-50 à D. 5312-54 du code du travail). Ce décret autorise l’intégration de l’accompagnement par CAP EMPLOI au système d’information de FRANCE TRAVAIL. La Commission nationale de l’informatique et des libertés (ci-après  » la CNIL  » ou  » la Commission « ) a rendu un avis sur ce traitement dans sa délibération n° 2022-050 du 21 avril 2022 (non publique).

6. Le traitement autorise à ce titre l’intégration au système d’information préexistant de FRANCE TRAVAIL (article R. 5312-38 du code du travail) de données permettant à l’opérateur FRANCE TRAVAIL et aux organismes CAP EMPLOI d’assurer les missions listées à l’article D. 5312-50 du même code. L’article D. 5312-51 du code du travail prévoit une co-responsabilité de traitement entre l’opérateur FRANCE TRAVAIL et les organismes de placement spécialisés (représentés par le CHEOPS).

7. Les données traitées dans ce cadre et enregistrées dans le système d’information de FRANCE TRAVAIL concernent : le type de handicap, l’origine du handicap, le besoin lié à la compensation du handicap, le besoin lié au rétablissement de la personne, les limitations de capacités et le titre justifiant du bénéfice de l’obligation d’emploi (article D. 5312-51 du code du travail).

8. Elles sont ensuite intégrées à l’application métier de FRANCE TRAVAIL nommée […]. Les utilisateurs habilités des CAP EMPLOI peuvent se connecter à cet outil, […] depuis un navigateur web. Environ 2 300 salariés des structures CAP EMPLOI disposent d’un tel accès.

9. L’outil […] dispose d’une fonctionnalité […] qui permet de réaliser une recherche, selon différents critères, parmi l’ensemble des personnes présentes dans la base de données de FRANCE TRAVAIL […]. La recherche peut être effectuée au sein de la région de l’agent connecté, mais également d’autres régions sans limitation géographique.

B. La notification de violation de données à caractère personnel

10. Le jeudi 29 février 2024, une activité anormale a été détectée sur le système de mesure de performances du système d’information de FRANCE TRAVAIL, entraînant une indisponibilité partielle du service et une forte consommation en ressources. L’alerte a été constatée et prise en compte le lundi 4 mars 2024 en fin de journée, puis a donné lieu à des investigations le mardi 5 mars 2024.

11. Les investigations menées par FRANCE TRAVAIL ont permis d’établir une intrusion sur son système d’information. L’attaque, qui s’est étendue du mardi 6 février au mardi 5 mars 2024, a ciblé spécifiquement des comptes de salariés CAP EMPLOI.

12. L’attaque a été menée par des techniques dites  » d’ingénierie sociale « , c’est-à-dire selon des techniques consistant à obtenir un bien ou une information, en exploitant la confiance, l’ignorance ou la crédulité de tierces personnes (définition de l’Agence nationale de la sécurité des systèmes d’information (ANSSI)). En effet, après avoir réussi à récupérer les données nécessaires à la réinitialisation du mot de passe d’un compte de conseiller CAP EMPLOI, les attaquants ont fait une demande de réinitialisation auprès du prestataire du support informatique en se faisant passer pour des employés CAP EMPLOI et ont ainsi pu usurper les comptes. Les attaquants ont ensuite contacté les conseillers CAP EMPLOI dont ils avaient usurpé le compte en se faisant passer pour le support informatique afin de leur communiquer leur nouveau mot de passe. […].

13. Les investigations menées ont révélé que les attaquants ont accédé aux données de […] (nom d’usage, nom de naissance, prénom, sexe, date de naissance, NIR, adresse, code postal, numéro de téléphone, adresse électronique, adresse géographique (région d’appartenance), référence individuelle, statut de demandeur d’emploi (inscrit, radié ou identifié), date de début et de fin d’inscription) […].

14. FRANCE TRAVAIL a précisé que les attaquants ont exfiltré de cette manière 25 giga octets (Go) de données concernant 36 820 828 personnes vers des plateformes d’hébergement externes. Cela correspond aux données non seulement des personnes inscrites auprès de FRANCE TRAVAIL au cours des 20 dernières années, mais également de celles non inscrites sur la liste des demandeurs d’emploi mais possédant un espace candidat sur le site web  » francetravail.fr « , qui permet par exemple de consulter les offres d’emploi.

15. Le 8 mars 2024, FRANCE TRAVAIL a procédé à une notification de violation de données auprès de la CNIL, complétée le 15 mai 2024.

16. En application de la décision n° 2024-051C du 13 mars 2024 de la présidente de la Commission, une délégation de la CNIL a effectué une mission de contrôle sur place de l’opérateur FRANCE TRAVAIL afin de vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi  » du 6 janvier 1978 modifiée  » ou  » la loi Informatique et Libertés « ) et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 sur la protection des données (ci-après  » le RGPD  » ou  » le Règlement « ).

17. Ce contrôle sur place a donné lieu à un procès-verbal n° 2024-051/1 du 21 mars 2024.

18. Les 2 avril et 15 mai 2024, FRANCE TRAVAIL a fourni des éléments complémentaires sollicités par la délégation lors du contrôle sur place et durant les investigations.

19. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 3 juillet 2025, désigné M. Fabien TARISSAN en qualité de rapporteur sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.

20. Le 24 juillet 2025, à l’issue de son instruction, le rapporteur a fait notifier à l’organisme un rapport aux termes duquel il estimait que FRANCE TRAVAIL avait commis un manquement à l’article 32 du RGPD et proposait à la formation restreinte de prononcer à son encontre une amende administrative, ainsi qu’une injonction de mettre ses traitements en conformité avec les dispositions susvisées, assortie d’une astreinte. Il proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément l’organisme à l’expiration d’un délai de deux ans à compter de sa publication.

21. Le 22 septembre 2025, FRANCE TRAVAIL a produit des observations en réponse au rapport.

22. Le 22 octobre 2025, la réponse du rapporteur a été notifiée à FRANCE TRAVAIL.

23. Le 21 novembre 2025, FRANCE TRAVAIL a adressé de nouvelles observations en réponse.

24. Par courrier du 2 décembre 2025, le rapporteur a, en application de l’article 40, III, du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés, informé l’organisme que l’instruction était close.

25. Par courrier du 2 décembre 2025, l’opérateur FRANCE TRAVAIL a été informé que le dossier était inscrit à l’ordre du jour de la séance de la formation restreinte du 18 décembre 2025.

26. Le 12 décembre 2025, le président de la formation restreinte a refusé la demande de huis-clos formée par FRANCE TRAVAIL dans son courrier du 11 décembre 2025. Il a rappelé que la procédure devant la formation restreinte étant écrite et que si l’organisme ne souhaitait pas dévoiler devant des tiers des éléments susceptibles de lui porter préjudice, elle pouvait, lors de la séance, renvoyer à ses observations écrites. Il a également ajouté que les risques d’atteintes à l’intégrité du système d’information et aux agents de FRANCE TRAVAIL n’étaient pas étayées en l’état.

27. Le 18 décembre 2025, le rapporteur et l’organisme ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur la responsabilité de FRANCE TRAVAIL vis-à-vis du traitement en cause

28. Aux termes de l’article 4, alinéa 7 du RGPD, le responsable de traitement est  » la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l’Union ou le droit d’un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l’Union ou par le droit d’un État membre « .

29. L’article 26 du RGPD dispose que  » lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement. Les responsables conjoints du traitement définissent de manière transparente leurs obligations respectives aux fins d’assurer le respect des exigences du présent règlement […] « .

30. Les lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, adoptées par le CEPD le 7 juillet 2021 indiquent que  » l’existence d’une responsabilité conjointe ne se traduit pas nécessairement par une responsabilité équivalente des différents opérateurs concernés par un traitement de données à caractère personnel. Au contraire, la CJUE a précisé que ces opérateurs peuvent être impliqués à différents stades de ce traitement et selon différents degrés, de telle sorte que le niveau de responsabilité de chacun d’entre eux doit être évalué en tenant compte de toutes les circonstances pertinentes du cas d’espèce « .

31. Le rapporteur considère que FRANCE TRAVAIL est responsable de la mise en œuvre des mesures techniques et organisationnelles appropriées pour son système d’information, y compris lorsque celui-ci est mis à disposition de ses co-responsables de traitement les CAP EMPLOI (représentés par le CHEOPS). Il estime que les CAP EMPLOI ont pour leur part la responsabilité de respecter les règles imposées par FRANCE TRAVAIL pour l’accès à ce système d’information.

32. FRANCE TRAVAIL conteste avoir la responsabilité exclusive de la mise en œuvre de ces mesures techniques et organisationnelles et soutient que les CAP EMPLOI jouent nécessairement un rôle en leur qualité de co-responsables du traitement. L’opérateur ajoute que le périmètre de la responsabilité conjointe a clairement été défini dans les différents documents contractuels, dont il ressort que les CAP EMPLOI ont été chargés des mesures qui se trouvent dans leur environnement et qui leur permettent d’accéder au système d’information de FRANCE TRAVAIL.

33. À titre liminaire, la formation restreinte relève que la co-responsabilité de traitement entre l’opérateur FRANCE TRAVAIL et les organismes de placement spécialisés (CAP EMPLOI) est prévue par l’article D. 5312-51 du code du travail.

34. Elle relève également que tant les lignes directrices 07/2020 précitées, que la Cour de justice de l’Union européenne (ci-après la  » CJUE « ), ont estimé qu’une co-responsabilité ne se traduit pas nécessairement par une responsabilité équivalente. Le niveau de responsabilité de chacune des parties doit être évalué en tenant compte des circonstances pertinentes du cas d’espèce (CJUE, 7 mars 2024,  » IAB Europe c. Gegevensbeschermingsautoriteit « , C-604/22, point 58).

35. En l’espèce, la formation restreinte rappelle que le traitement en cause est un traitement préexistant de FRANCE TRAVAIL, auquel le décret n° 2022-1161 du 16 août 2022 a autorisé l’intégration de données pour l’accompagnement des demandeurs d’emploi bénéficiaires de l’obligation d’emploi. Pour pouvoir assurer cet accompagnement, les conseillers CAP EMPLOI se connectent à distance, […], à l’applicatif métier […] du système d’information de FRANCE TRAVAIL.

36. La formation restreinte relève que les CAP EMPLOI signent une demande d’adhésion permettant de formaliser, en complément de la convention de responsabilité conjointe de traitement, les conditions de cet accès. Par cette adhésion, les CAP EMPLOI manifestent  » leur accord sur les caractéristiques du système d’information commun  » et s’engagent à respecter, diffuser et appliquer les consignes communiquées par FRANCE TRAVAIL relatives à la protection des données à caractère personnel et à la sécurité de son système d’information.

37. En plus de ces engagements, les CAP EMPLOI offrent à FRANCE TRAVAIL un appui dans le contrôle du respect de ces règles, notamment en  » facilitant la réalisation des audits de sécurité des postes de travail des Cap emploi et en informant Pôle emploi [FRANCE TRAVAIL] des difficultés rencontrées par les Cap emploi « .

38. Ensuite, la formation restreinte observe que FRANCE TRAVAIL s’engage à  » mettre en œuvre les mesures de sécurité technique pour les outils mis à disposition des salariés Cap emploi  » et s’assure du bon respect des règles liées aux habilitations, à la minimisation, et à la conformité au droit de la protection des données à caractère personnel. De manière plus générale, FRANCE TRAVAIL s’assure que le niveau de sécurité de l’environnement de travail des CAP EMPLOI est suffisamment élevé, ce que l’opérateur se réserve le droit de vérifier par des audits. La formation restreinte relève qu’en cas de non-conformités des environnements de travail des CAP EMPLOI, l’opérateur FRANCE TRAVAIL peut formuler des préconisations, voire ordonner la déconnexion des environnements jugés insuffisamment sécurisés en cas de persistance de ces non-conformités.

39. Par ailleurs les analyses d’impact relatives à la protection des données (AIPD) – réalisées préalablement à la mise en œuvre du traitement en 2022 – précisent que ce sont les règles du corpus documentaire de la politique de sécurité des systèmes d’information de FRANCE TRAVAIL qui s’appliquent au traitement en cause. Si FRANCE TRAVAIL soutient qu’il s’agit là  » simplement d’une mesure normale de bonne gestion par France Travail de ses propres solutions auxquelles il donne accès à des tiers « , la formation restreinte estime qu’il ressort clairement de ce passage ainsi que de l’ensemble des documents contractuels transmis que le déploiement effectif des mesures techniques permettant d’assurer la sécurité, de son propre système d’information, incombe à FRANCE TRAVAIL.

40. La formation restreinte souscrit à l’argument de FRANCE TRAVAIL selon lequel  » cela ne décharge [pas] ces tiers de leurs obligations de mettre leur propre environnement en condition de respecter ces conditions  » et reconnaît à ce titre le rôle important que jouent les CAP EMPLOI dans la diffusion et l’application des règles de sécurité. Néanmoins et indépendamment de ces obligations des CAP EMPLOI qui résultent de leur co-responsabilité de traitement (voir paragraphe 33), la formation restreinte observe que c’est à FRANCE TRAVAIL que revient en premier lieu l’initiative du déploiement et du pilotage des mesures destinées à assurer la sécurité de son système d’information, dont il a ouvert l’accès aux CAP EMPLOI pour l’accompagnement des demandeurs d’emploi ayant fait l’objet d’une décision de reconnaissance de la qualité de travailleur handicapé et bénéficiaires de l’obligation d’emploi.

41. La formation restreinte estime que FRANCE TRAVAIL reste responsable de traitement et principal responsable de la détermination des règles de sécurité applicables.

B. Sur le manquement à l’obligation d’assurer la sécurité des données à caractère personnel traitées

1. Sur la portée de l’obligation de FRANCE TRAVAIL s’agissant de la sécurité du traitement

42. Aux termes de l’article 24-1 du RGPD,  » compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s’assurer et être en mesure de démontrer que le traitement est effectué conformément au présent règlement. Ces mesures sont réexaminées et actualisées si nécessaire « .

43. L’article 32-1 du RGPD dispose :  » Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque y compris entre autres, selon les besoins :

a) la pseudonymisation et le chiffrement des données à caractère personnel ;

b) des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;

c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l’accès à celles-ci dans des délais appropriés en cas d’incident physique ou technique ;

d) une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement […] « .

44. L’article 32-2 du RGPD prévoit :  » Lors de l’évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l’altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou de l’accès non autorisé à de telles données, de manière accidentelle ou illicite « .

45. Le rapporteur estime que le niveau de sécurité assuré par un responsable de traitement doit s’apprécier au regard du risque lié à la divulgation et à l’accès non autorisé aux données traitées. En l’espèce, il souligne que le traitement comporte de nombreuses données à caractère personnel, dont des catégories particulières au sens de l’article 9, paragraphe 1 du RGPD, ainsi que des données faisant l’objet d’une protection particulière comme le NIR. Il considère que FRANCE TRAVAIL a commis un manquement à l’article 32 du RGPD en n’assurant pas un niveau de sécurité des données traitées suffisamment élevé pour le traitement mis en œuvre.

46. En défense, FRANCE TRAVAIL fait valoir que contrairement à ce qui est avancé par le rapporteur, les vulnérabilités reprochées ne sont pas la conséquence de l’absence de mise en œuvre par FRANCE TRAVAIL de mesures qualifiées de  » basiques « . FRANCE TRAVAIL soutient avoir au contraire déployé des mesures de sécurité fortes sur la composante du traitement conjoint sous son contrôle, et ce dès la mise en œuvre du traitement.

47. À titre liminaire, la formation restreinte relève que la CJUE a estimé dans son arrêt  » Natsionalna agentsia za prihodite  » (14 décembre 2023, C/2024/1065, point 47), que l’absence de violation de données à caractère personnel ne suffit pas à démontrer l’absence de manquement, pas plus que la survenance d’une violation de données ne suffit à caractériser en elle-même l’existence d’un manquement à l’article 32 du RGPD. Des défauts de sécurité peuvent être sanctionnés en tant que tels en raison du risque qu’ils ont fait peser sur l’intégrité des données traitées. La formation restreinte sanctionne régulièrement des manquements à l’obligation de sécurité sans que ceux-ci soient nécessairement à l’origine d’une violation de données, tels qu’une politique de mot de passe insuffisamment robuste (délibération de la formation restreinte n° SAN-2018-009 du 6 septembre 2018, publiée), le stockage de mots de passe en clair (délibération de la formation restreinte n° SAN-2022-018 du 8 septembre 2022), l’absence de politique d’habilitation (délibération de la formation restreinte n°SAN-2021-019 du 29 octobre 2021, publiée) ou encore l’utilisation d’une version obsolète du protocole TLS (décision du président de la formation restreinte n°SANPS-2024-011 du 31 janvier 2024, non publiée).

48. Le respect de l’obligation de moyens par un responsable de traitement ou un sous-traitant s’apprécie au regard du caractère approprié des mesures techniques et organisationnelles mises en œuvre, en tenant compte des risques et en appréciant si la nature, la teneur et la mise en œuvre de ces mesures sont adaptées à ces risques. Elle rappelle que s’il n’apparait pas possible pour un responsable de traitement de se prémunir contre l’ensemble des attaques dites  » d’ingénierie sociale « , c’est-à-dire qui exploitent la psychologie humaine, cela ne saurait exonérer le responsable de traitement de ses obligations en vertu des articles 24-1 et 32 du RGPD.

49. Par ailleurs la formation restreinte observe que l’ANSSI applique le principe de  » défense en profondeur  » aux systèmes d’information, qui consiste à ne pas faire reposer la sécurité  » sur un élément mais sur un ensemble cohérent. Cela signifie donc qu’il ne doit en théorie pas exister de point sur lequel tout l’édifice repose « , c’est-à-dire que toute faille de sécurité potentielle d’un composant logiciel doit être compensée par au moins un second niveau de sécurité (voir le Memento sur le concept de défense en profondeur appliquée aux systèmes d’information, version 1.1 du 19 juillet 2004). La formation restreinte note que l’ANSSI fait reposer ce concept sur le postulat que  » tout composant d’un système peut être défaillant ou compromis. Ce postulat, qui s’applique également aux fonctions de sécurité d’un SI [système d’information], est confirmé régulièrement par l’actualité sur les vulnérabilités de nombreux produits et logiciels  » (voir la note blanche Système d’information hybride et sécurité : un retour à la réalité, 10 août 2021).

50. En l’espèce, la formation restreinte note que […], qui a fait l’objet de la violation, comporte de nombreuses données à caractère personnel (voir paragraphe 13 de la présente délibération). De nombreuses autres données sont également traitées par FRANCE TRAVAIL – même si elles n’ont pas fait l’objet de la violation – telles que les dossiers complets des demandeurs d’emploi. Ainsi FRANCE TRAVAIL traite de nombreuses données intimes et sensibles, portant par exemple sur l’origine du handicap, les contraintes d’un poste de travail, l’évolution de la situation de handicap, les besoins liés à la compensation du handicap et au rétablissement de la personne, les limitations des capacités en milieu professionnel, ainsi que des champs de rédaction libre dans lesquels sont renseignées, pour les besoins du service, les habitudes de vie et les situations particulières des personnes. Ces données peuvent constituer des données de santé en soi ou par croisement. La formation restreinte souligne également que la combinaison potentielle de toutes ces données accroît les risques engendrés par la divulgation de chaque type de données pris séparément.

51. Compte tenu des caractéristiques du traitement et de la portée de l’obligation de sécurité précisées ci-dessus, il appartient à FRANCE TRAVAIL de mettre en place les mesures techniques et organisationnelles adéquates et proportionnées au regard des exigences de l’article 32 du RGPD. Le niveau de sécurité prévu pour le traitement doit permettre de se prémunir contre ces risques.

2. Sur les mesures mises en place par FRANCE TRAVAIL

(i) Sur des modalités d’authentification aux comptes utilisateurs des conseillers CAP EMPLOI

a. S’agissant des mécanismes de restriction d’accès au compte

52. Lorsque les traitements mis en œuvre entraînent la mise en place d’un mécanisme d’authentification par mots de passe, un mot de passe fort est recommandé tant par l’ANSSI que par la Commission dans sa délibération n° 2022-100 du 21 juillet 2022 portant adoption d’une recommandation relative aux mots de passe et autres secrets partagés.

53. Cette recommandation, qui n’a certes pas de caractère impératif fournit un éclairage pertinent sur les mesures qu’il convient de prendre en matière de sécurité. Elle prévoit que pour assurer un niveau de sécurité et de confidentialité suffisant, dans l’hypothèse où l’authentification repose uniquement sur un identifiant et un mot de passe, ce dernier doit soit être composé d’au minimum 12 caractères comprenant des majuscules, des minuscules, des chiffres et des caractères spéciaux à choisir dans une liste d’au moins 37 caractères spéciaux possibles ; soit être d’au minimum 14 caractères comprenant des majuscules, des minuscules et des chiffres, sans caractère spécial obligatoire ; ou encore, lorsqu’il correspond à une phrase fondée sur des mots de la langue française, être composé d’au minimum 7 mots.

[… passage central omis : décision trop longue pour une cellule …]

111. En premier lieu, la formation restreinte relève que le Conseil d’État a jugé qu’ » il résulte clairement de ces dispositions [article 45 de la loi du 6 janvier 1978, devenu l’article 20 de la même loi] que le prononcé d’une sanction par la formation restreinte de la CNIL n’est pas subordonné à l’intervention préalable d’une mise en demeure du responsable du traitement ou de son sous-traitant par le président de la CNIL  » (Conseil d’État, 10ème – 9ème chambres réunies, 04/11/2020, 433311).

112. En second lieu, la formation restreinte ne saurait souscrire à l’argument de FRANCE TRAVAIL selon lequel le législateur a souhaité exonérer d’amende ou d’astreinte les établissements publics administratifs tels que FRANCE TRAVAIL.

113. En effet, s’il ressort des dispositions de l’article 20 de la loi Informatique et Libertés que le prononcé d’une amende administrative par la formation restreinte est exclu s’agissant des traitements  » mis en œuvre par l’État « , cette exception, qui doit s’interpréter strictement, n’est pas prévue s’agissant des traitements  » mis en œuvre pour le compte de l’État  » – notion par ailleurs utilisée par le législateur (notamment au même article 20 de la loi Informatique et Libertés).

114. En l’espèce, FRANCE TRAVAIL est, en vertu de l’article L. 5312-1 du code du travail, une institution nationale publique dotée de la personnalité morale et donc une entité bien distincte de l’État.

115. La formation restreinte relève également que si FRANCE TRAVAIL voit ses orientations générales définies par l’État (notamment dans une convention pluriannuelle d’objectifs et de gestion conclue entre l’État, l’Unédic et FRANCE TRAVAIL), c’est un opérateur qui dispose d’une marge d’initiative importante pour décliner ces objectifs dans des actions concrètes. Par ailleurs FRANCE TRAVAIL est doté de l’autonomie financière, avec un budget qui n’est financé qu’à hauteur d’un tiers par l’État. Le reste est financé par des cotisations et contributions obligatoires des employeurs ; quand bien même celles-ci sont encadrées par l’État, il ne peut être soutenu qu’il s’agit là de ressources directes de l’État.

116. Au total, le traitement concerné n’est ainsi pas mis en œuvre par l’État mais par FRANCE TRAVAIL  » pour le compte de l’État « . Il n’est donc pas soumis à l’exclusion prévue au 7° du IV de l’article 20 de la loi Informatique et Libertés.

117. Ainsi les dispositions de l’article 20 de la loi Informatique et Libertés ne font pas obstacle à ce que soit imposée une amende administrative à un établissement public administratif, ce que la formation restreinte souligne avoir déjà fait par le passé (délibération de la formation restreinte n° SAN-2019-004 du 31 janvier 2019, non publiée ; décision du président de la formation restreinte n° SANPS-2024-023 du 23 mai 2024, non publiée).

118. Au regard de l’ensemble de ces éléments, la formation restreinte considère que les conditions du prononcé d’une amende sont remplies.

2. Sur la prise en compte des critères pertinents pour le prononcé d’une amende

119. FRANCE TRAVAIL fait valoir que l’amende administrative proposée par le rapporteur est manifestement disproportionnée au regard des critères de l’article 83 du RGPD. Tout d’abord, l’organisme conteste la gravité du manquement, estimant qu