Après avoir sanctionné France Travail d’une amende de 5 millions d’euros en janvier 2026 pour des manquements à la sécurité des données personnelles, la CNIL a annoncé, le 8 octobre 2026, la clôture de l’injonction prononcée à son encontre.
Par une délibération du 23 septembre 2026, l’autorité a constaté que l’organisme avait satisfait à l’ensemble des mesures correctrices exigées, lui permettant ainsi d’échapper à une astreinte supplémentaire.
🟠 Une sanction initiale pour insuffisance des mesures de sécurité
Le 22 janvier 2026, la CNIL avait sanctionné France Travail pour des manquements à l’article 32 du RGPD, imposant aux responsables de traitement de garantir un niveau de sécurité adapté aux risques.
Plusieurs insuffisances avaient été identifiées :
- Des mécanismes d’authentification insuffisamment sécurisés, notamment concernant les comptes des conseillers CAP EMPLOI ;
- Une supervision insuffisante des journaux d’activité, ne permettant pas un suivi adéquat des accès au système d’information ;
- Une gestion trop large des habilitations, permettant l’accès à des données personnelles au-delà des besoins strictement nécessaires.
Outre l’amende de 5 millions d’euros, la CNIL avait imposé plusieurs mesures correctrices, sous peine d’une astreinte de 5 000 euros par jour de retard.
🟠 Une mise en conformité permettant d’éviter l’astreinte
Dans les délais impartis, France Travail a justifié avoir mis en œuvre l’ensemble des mesures exigées, notamment :
- Le renforcement de sa politique de mots de passe ;
- La mise en place d’une authentification multifacteur pour les conseillers CAP EMPLOI ;
- L’amélioration de la supervision des journaux d’activité ;
- La limitation des habilitations aux seules données nécessaires à l’exercice des missions des conseillers.
Constatant cette mise en conformité, la CNIL a décidé de clore l’injonction sans liquider l’astreinte.
Cette décision demeure toutefois sans incidence sur l’amende initiale de 5 millions d’euros.
🟠 Conclusion : la conformité au RGPD, une obligation continue
Cette décision illustre la double dimension, répressive et corrective, des pouvoirs de la CNIL.
Elle rappelle que la sécurité des données personnelles ne constitue pas une simple obligation formelle, mais exige la mise en œuvre effective de mesures techniques et organisationnelles adaptées aux risques.
La clôture de l’injonction témoigne ainsi de l’importance accordée par la CNIL à la mise en conformité effective des organismes, indépendamment des sanctions déjà prononcées.