La Commission Nationale de l'Informatique et des Libertés (CNIL) a clôturé l'injonction prononcée en janvier 2026 contre FRANCE TRAVAIL, constatant la mise en conformité de l'organisme avec ses obligations en matière de sécurité des données.

Faits et contexte

L'autorité de contrôle française (CNIL) a aujourd'hui publié une décision de clôture de l'injonction qui avait été prononcée à l'encontre de FRANCE TRAVAIL, suite à une précédente sanction du 22 janvier 2026.

Cette affaire trouve son origine dans une délibération de janvier 2026, par laquelle la formation restreinte de la CNIL avait sanctionné FRANCE TRAVAIL d'une amende de 5 000 000 € pour des mesures de sécurité jugées insuffisantes, et lui avait enjoint de se mettre en conformité sous astreinte.

Motifs de la décision

La décision de clôture repose sur la vérification par la CNIL de la mise en œuvre effective des mesures correctrices qui avaient été exigées. Le manquement initial concernait la sécurité des données des personnes en recherche d'emploi.

• Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : La délibération initiale avait identifié plusieurs défaillances de sécurité. Pour se conformer, FRANCE TRAVAIL a démontré avoir mis en œuvre les mesures spécifiques qui lui étaient enjointes, à savoir : une politique de mots de passe plus robuste avec des mécanismes de restriction d'accès aux comptes ; une authentification multifacteur pour les comptes des conseillers du réseau CAP EMPLOI ; une supervision active des journaux d'activité de son système d'information ; et une limitation de l'accès des conseillers aux seules données strictement nécessaires à leurs missions d'accompagnement. L'autorité a estimé que ces actions correctrices permettaient de considérer l'organisme comme étant désormais en conformité sur les points soulevés.

Décision de l'autorité

En conséquence, la formation restreinte a décidé de clore l'injonction et de ne pas liquider l'astreinte de 5 000 € par jour de retard qui avait été fixée.

Enseignements

Cette décision rappelle que :

• Les injonctions prononcées par l'autorité de contrôle font l'objet d'un suivi rigoureux et leur mise en conformité dans les délais impartis est impérative pour éviter le paiement d'une astreinte financière.
• La mise en place d'une authentification multifacteur, d'une politique de mots de passe robuste, d'une supervision des journaux d'activité et d'une gestion stricte des habilitations constituent des mesures de sécurité fondamentales attendues par l'autorité.
• L'accès aux données personnelles par les personnels habilités doit être strictement limité au besoin d'en connaître, en application du principe de minimisation des données.