« Méconnaissance des principes essentiels en matière de sécurité » : France Travail sanctionné

Le 22 janvier 2026, la Commission nationale de l’informatique et des libertés a infligé une amende de cinq millions d’euros à France Travail. Cette sanction vise des défaillances graves dans la sécurité des données personnelles, révélées après une cyberattaque d’ampleur survenue en 2024, dans un contexte où France Travail traite quotidiennement les informations de millions de personnes en recherche d’emploi.

France Travail : une sécurité informatique qui faisait défaut

France Travail se retrouve au centre d’un dossier embarrassant. Selon la Cnil, l’établissement public n’a pas mis en œuvre les mesures de sécurité nécessaires pour protéger les données personnelles qu’il traite. Pourtant, ces données concernent l’identité, la situation administrative et parfois sociale de personnes en recherche d’emploi, autrement dit des informations particulièrement sensibles.

Dans sa décision, la Cnil pointe une intrusion rendue possible par l’usurpation de comptes de conseillers issus de structures partenaires. Cette attaque a permis l’accès à des bases de données internes de France Travail. La commission relève que ces accès frauduleux n’ont pas été suffisamment détectés ni empêchés, alors même que des risques avaient été identifiés en amont.

Le plus frustrant, pour l’autorité de contrôle, réside dans le caractère évitable de l’incident. La Cnil estime que France Travail n’avait pas mis en place des mesures techniques et organisationnelles adaptées, alors que les principes du RGPD imposent une protection renforcée des systèmes traitant des données à grande échelle.

France Travail : Une sanction lourde pour un manquement jugé élémentaire

La sanction financière de cinq millions d’euros infligée à France Travail n’a rien d’anodin. La Cnil explique avoir tenu compte du nombre de personnes concernées, du volume des données exposées et de leur sensibilité. « La formation restreinte a prononcé une amende de 5 millions d’euros à l’encontre de France Travail, tenant compte de la méconnaissance des principes essentiels en matière de sécurité », indique la Cnil dans sa décision officielle.

Selon les estimations retenues par l’autorité, entre 36,8 et 43 millions de personnes pourraient être concernées par cette fuite de données. France Travail, censé accompagner les parcours professionnels, a donc exposé potentiellement une large part de la population active française, selon La Tribune.

La Cnil rappelle par ailleurs que le plafond théorique prévu par le RGPD pour ce type de manquement peut atteindre dix millions d’euros pour les organismes publics. L’amende de cinq millions d’euros représente donc la moitié du maximum encouru. Au-delà de l’amende, la Cnil a assorti sa décision d’une injonction obligeant France Travail à renforcer rapidement ses dispositifs de sécurité. En cas de retard, une astreinte financière pourrait s’appliquer.

Une situation ubuesque pour un établissement public

L’ironie de la situation n’échappe à personne. France Travail, établissement public national, est soumis aux mêmes obligations que les acteurs privés en matière de sécurité des données. Pourtant, la Cnil souligne une « méconnaissance des principes essentiels » de sécurité, une formule sévère pour une institution censée montrer l’exemple.

Les données exposées comprenaient notamment des noms, des prénoms, des numéros de sécurité sociale, des coordonnées et des identifiants internes. Autrement dit, des informations exploitables pour des fraudes ou des usurpations d’identité, dans un contexte où les cyberattaques visant les organismes publics se multiplient.