France Travail se met en conformité RGPD sur la sécurisation des accès

En application de l’article 32 du RGPD, l’opérateur devait assurer un niveau de sécurité adapté au risque, notamment concernant les mots de passe, l’authentification, la surveillance des journaux et les habilitations d’accès. La formation restreinte a vérifié concrètement les mesures mises en œuvre et les justificatifs transmis dans les délais impartis.

Elle constate la robustesse accrue de la politique de mots de passe, avec réduction du seuil de tentatives infructueuses et renouvellement forcé des mots de passe. Elle relève également le déploiement d’une authentification multifacteur, la supervision active des journaux avec alertes et ajustement continu des seuils, ainsi que la limitation des accès aux seules données nécessaires, excluant notamment le NIR et les résultats hors zone géographique.

La formation restreinte conclut à l’exécution complète de l’injonction dans le délai imparti et refuse, en conséquence, de liquider l’astreinte de 5 000 euros par jour de retard. La décision illustre la nécessité de documenter chaque mesure corrective et d’en transmettre les justificatifs selon le calendrier fixé. Les pouvoirs de la CNIL s’exercent dans le cadre des articles 20 et suivants de la loi du 6 janvier 1978.

⬇️Télécharger la décision version officielle

Après une injonction de renforcer la sécurité des comptes des conseillers CAP EMPLOI, l’opérateur a modifié sa politique de mots de passe, déployé l’authentification multifacteur, renforcé la surveillance des journaux et limité les habilitations aux données nécessaires. L’accès au NIR et aux résultats de personnes situées hors zone géographique a été supprimé. La formation restreinte de la CNIL a constaté l’exécution de l’injonction dans les délais et n’a pas liquidé l’astreinte.

La formation restreinte de la CNIL avait précédemment enjoint à un opérateur de renforcer la sécurité des comptes utilisés par les conseillers CAP EMPLOI, sous astreinte de 5 000 euros par jour de retard. L’injonction concernait la robustesse des mots de passe, l’authentification multifacteur, le suivi des journaux d’activité et la gestion des habilitations d’accès aux données personnelles.

L’opérateur a transmis des justificatifs dans les délais prévus. Il a modifié sa politique de mots de passe, déployé une authentification multifacteur, instauré une supervision active des journaux avec alertes et ajustement continu des seuils, puis restreint les données accessibles aux seules informations nécessaires aux missions d’accompagnement. L’accès au NIR et aux résultats concernant des personnes situées hors zone géographique a notamment été supprimé.

Après avoir demandé des précisions complémentaires, la formation restreinte a considéré que l’injonction avait été exécutée dans le délai imparti. Elle a donc décidé de ne pas liquider l’astreinte.

• Renforcer la politique de mots de passe
• Réduire le seuil de tentatives infructueuses avant verrouillage
• Imposer une authentification multifacteur aux comptes concernés
• Superviser activement les journaux d’activité
• Déclencher des alertes en cas d’activité suspecte ou anormale
• Limiter les habilitations aux seules données nécessaires
• Transmettre les justificatifs dans les délais impartis

• Nouvelle politique de mots de passe implémentée
• Changement forcé des mots de passe des conseillers
• Déploiement de l’authentification multifacteur
• Mesures de supervision et d’analyse des journaux d’activité
• Seuils d’alerte et ajustement continu des règles
• Restriction documentée des données accessibles, notamment exclusion du NIR

L’opérateur est considéré comme ayant exécuté l’intégralité de l’injonction dans le délai fixé. Aucune astreinte n’est liquidée, tandis que la décision fait l’objet d’une publication encadrée dans le temps.

• Absence de paiement de l’astreinte journalière
• Maintien d’une politique de mots de passe renforcée
• Généralisation de l’authentification multifacteur
• Surveillance continue des journaux et traitement des alertes
• Réduction des habilitations et exclusion du NIR
• Publication de la délibération pendant la période prévue

À faire

• Documenter chaque mesure corrective déployée
• Respecter les délais fixés par l’injonction
• Transmettre les justificatifs à l’autorité compétente
• Surveiller les journaux et paramétrer des alertes
• Réexaminer régulièrement les habilitations d’accès

À éviter

• Conserver un seuil élevé de tentatives infructueuses
• Maintenir une authentification exclusivement par mot de passe
• Laisser les accès dépasser les missions nécessaires
• Autoriser l’accès au NIR sans justification
• Répondre tardivement aux demandes de précisions

Les exigences de sécurité prévues par l’article 32 du RGPD

La formation restreinte vérifie la mise en œuvre de mesures adaptées concernant les mots de passe, l’authentification multifacteur, la supervision des journaux et les habilitations d’accès. Elle retient la nouvelle politique de verrouillage, l’authentification multifacteur, les alertes sur activités suspectes et la limitation des données accessibles.

La justification de l’exécution d’une injonction de mise en conformité

L’opérateur doit transmettre, dans les délais fixés, des éléments permettant de vérifier chaque mesure prescrite. La formation restreinte a demandé des précisions complémentaires sur l’authentification avant de constater, au vu des réponses et documents transmis, l’exécution complète de l’injonction.

La liquidation de l’astreinte en cas d’exécution dans le délai

L’astreinte de 5 000 euros par jour n’est pas liquidée lorsque l’opérateur satisfait à l’injonction dans le délai imparti. La formation restreinte a retenu l’exécution des quatre mesures prescrites et a écarté toute liquidation.

Article 32 du règlement (UE) 2016/679 (RGPD), articles 20 et suivants de la loi n° 78-17 du 6 janvier 1978, directive 2002/58/CE, décret n° 2019-536 du 29 mai 2019