La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président et Monsieur Didier KLING, membre ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la délibération n° SAN-2026-003 du 22 janvier 2026 adoptée par la formation restreinte à l’encontre de l’opérateur FRANCE TRAVAIL ;

Vu les éléments transmis par l’opérateur FRANCE TRAVAIL les 25 février et 31 mars 2026 ;

Vu les autres pièces du dossier,

Après en avoir délibéré lors de la séance du 17 septembre 2026, a adopté la décision suivante :

I. FAITS ET PROCÉDURE

1. Par décision du 22 janvier 2026, signifiée à FRANCE TRAVAIL (ci-après,  » l’opérateur  » ou  » l’organisme « ) le 22 janvier 2026, la formation restreinte a enjoint à ce dernier, s’agissant du manquement à l’article 32 du RGPD :

 » 1. S’agissant de la robustesse des mots de passe, justifier de la mise en conformité par la mise en œuvre d’une politique de mots de passe prévoyant des mécanismes de restriction d’accès au compte ;

2. S’agissant des modalités d’authentification aux comptes utilisateurs des conseillers CAP EMPLOI, justifier de la mise en conformité par la mise en œuvre d’une authentification multifacteur ;

3. S’agissant du suivi des journaux d’activité de l’outil MAP, justifier de la mise en conformité par les nouvelles mesures mises en place ;

4. S’agissant de la gestion des habilitations d’accès aux données à caractère personnel, justifier de la mise en conformité par les restrictions d’accès aux données.  »

Cette injonction était assortie d’une astreinte de cinq mille (5 000) euros par jour de retard à l’issue d’un délai :

o d’un mois suivant la notification de la délibération, pour les mesures indiquées comme déjà mises en œuvre par FRANCE TRAVAIL […] ;

o […] ;

les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ces délais.

2. Par courrier du 25 février 2026, dans le délai fixé par la délibération pour les points 2 et 3 de l’injonction, FRANCE TRAVAIL a adressé à la formation restreinte des éléments sur les mesures mises en œuvre pour sa mise en conformité. Celles-ci ont consisté en la mise en place d’une authentification multifacteur pour l’accès aux comptes des utilisateurs CAP EMPLOI, ainsi qu’en des mesures complémentaires relatives au système d’analyse et au suivi des journaux d’activité de l’outil […].

3. Par courrier du 31 mars 2026, dans le délai fixé par la délibération pour les points 1 et 4 de l’injonction, FRANCE TRAVAIL a adressé à la formation restreinte des éléments en vue de justifier sa mise en conformité par la mise en place, d’une part, d’une nouvelle politique de mots de passe pour l’authentification aux comptes des conseillers CAP EMPLOI et, d’autre part, d’une restriction des données auxquelles peuvent accéder les conseillers CAP EMPLOI.

4. Par courrier du 22 juin 2026, les services de la Commission ont demandé des précisions à FRANCE TRAVAIL s’agissant des modalités d’authentification aux comptes des conseillers CAP EMPLOI.

5. Le 17 juillet 2026, FRANCE TRAVAIL a répondu à ces demandes en complétant les éléments précédemment transmis.

II. MOTIFS DE LA DECISION

6. En premier lieu, s’agissant des mécanismes de restriction d’accès aux comptes, la formation restreinte relève que FRANCE TRAVAIL a modifié sa politique de mots de passe afin de la rendre plus robuste. La nouvelle politique implémentée prévoit notamment un abaissement du seuil de tentatives infructueuses avant de verrouiller l’accès […] des conseillers CAP EMPLOI. La formation restreinte relève également que les conseillers CAP EMPLOI ont été forcés progressivement à changer leur mot de passe afin de se conformer à cette nouvelle politique.

7. En deuxième lieu, s’agissant de l’authentification multifacteur, la formation restreinte relève que celle-ci a été mise en place pour les comptes des conseillers CAP EMPLOI dès mars 2024, en réponse à la violation de données ayant ciblé l’outil […] de FRANCE TRAVAIL. […]

8. En troisième lieu, s’agissant du suivi des journaux d’activité de l’outil […], la formation restreinte relève que FRANCE TRAVAIL a adopté une série de mesures permettant une supervision active du système d’information et de ses journaux d’activité. Ces mesures prévoient notamment des seuils au-delà desquels l’activité des comptes individuels de conseillers CAP EMPLOI est considérée comme suspecte et/ou anormale. Le dépassement de ces seuils génère des alertes. Par ailleurs ce qui relève d’une activité « normale » pouvant être amené à évoluer, FRANCE TRAVAIL a mis en place un outil reposant sur des technologies d’apprentissage et ajustant les seuils et les règles d’alerte associées en continu.

9. En quatrième lieu, s’agissant de la gestion des habilitations d’accès aux données à caractère personnel, la formation restreinte relève que les données auxquelles les conseillers CAP EMPLOI peuvent désormais accéder ont été limitées aux seules données nécessaires à l’exercice des missions d’accompagnement des personnes (ayant obtenu la reconnaissance de  » demandeur d’emploi bénéficiaire de l’obligation d’emploi  » ou en cours d’obtention de celle-ci, ainsi que les demandeurs d’emploi dont l’organisme référent est un CAP EMPLOI). La formation restreinte relève par ailleurs que les conseillers CAP EMPLOI n’ont plus accès au NIR des personnes, et qu’ils ne peuvent plus accéder à des résultats concernant des personnes situées en dehors de leur zone géographique.

10. Il résulte de ce qui précède que l’opérateur a satisfait à l’injonction dans le délai imparti.

PAR CES MOTIFS

La formation restreinte de la CNIL, après en avoir délibéré, décide de :

– dire n’y avoir lieu à liquidation de l’astreinte ;

– rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, le point de départ étant la publication de la délibération n° SAN-2026-003 du 22 janvier 2026.

Le président

Philippe-Pierre Cabourdin