FrançaisFrance Travail : la CNIL clôt l’injonction de sécurité, sans astreinte
France Travail a justifié ses corrections. La CNIL clôt l’injonction sans astreinte.
France Travail a justifié les corrections de sécurité demandées par la CNIL. Dans son annonce publiée le 8 octobre 2026, le régulateur indique avoir clos l’injonction par une délibération du 23 septembre, sans exiger l’astreinte prévue en cas de retard.
Quatre volets de sécurité corrigés
Selon la CNIL, la mise en conformité concerne les comptes des conseillers CAP EMPLOI et leur accès aux données de France Travail :
| Volet | Correction |
|---|---|
| Mots de passe | Politique renforcée et restrictions d’accès aux comptes. |
| Authentification | Plusieurs facteurs requis pour accéder aux comptes des conseillers. |
| Journaux d’activité | Mesures complémentaires d’analyse et de suivi. |
| Habilitations | Accès limité aux données nécessaires aux missions des conseillers. |
Le dossier remonte à l’intrusion de 2024
Le rappel publié par la CNIL le 29 janvier explique qu’une intrusion au premier trimestre 2024 avait utilisé l’ingénierie sociale pour usurper des comptes de conseillers CAP EMPLOI. Les attaquants avaient ainsi accédé à des données de personnes inscrites ou anciennement inscrites et de titulaires d’un espace candidat, notamment des coordonnées et des numéros de sécurité sociale.
Le contrôle avait relevé une authentification insuffisamment robuste, des traces d’activité mal exploitées et des droits d’accès trop larges. La CNIL avait alors prononcé, le 22 janvier 2026, une amende de 5 millions d’euros et demandé de justifier les corrections. Cette injonction était assortie d’une astreinte de 5 000 euros par jour de retard.
Amende et astreinte : deux montants distincts
L’annonce du 8 octobre clôt cette injonction sans liquider l’astreinte. Elle ne prévoit pas l’annulation de l’amende initiale.
Pour les usagers français, ce suivi renseigne sur la façon dont les données sont consultées par les professionnels chargés de leur accompagnement. Il porte sur les corrections contrôlées dans cette procédure, et ne constitue pas une garantie générale contre toute future attaque.