La CNIL a condamné, par une décision rendue le 22 janvier 2026, l’établissement public France Travail à une amende administrative de 5 millions d’euros, à la suite d’une fuite de données personnelles massive.
Au premier trimestre 2024, France Travail, chargé de l’accompagnement des demandeurs d’emploi, a été victime d’une cyberattaque ayant conduit à l’extraction illicite de données à très grande échelle. Les attaquants ont eu recours à des techniques d’ingénierie sociale, exploitant les failles humaines et organisationnelles du système. Le résultat fut l’usurpation de comptes de conseillers du réseau Cap Emploi, partenaires de France Travail, donnant accès à une base centralisée contenant des informations sur les personnes inscrites au moment des faits comme sur celles inscrites au cours des vingt dernières années. Après dédoublonnage, le nombre de personnes concernées a été estimé à environ 36,8 millions.
Les données compromises présentaient un degré de sensibilité élevé : identités, numéros de sécurité sociale, coordonnées électroniques et postales, numéros de téléphone. Si les dossiers complets (susceptibles de contenir des données de santé) n’ont pas été consultés, l’ampleur de la violation a placé l’incident parmi les plus graves connus dans le secteur public français.
Au cœur de la décision se trouve l’article 32 du RGPD, qui impose des mesures techniques et organisationnelles adaptées au risque. La CNIL relève que France Travail avait identifié, dans ses analyses d’impact, des mesures de sécurité pertinentes, mais qu’elles n’avaient pas été effectivement déployées ou l’avaient été de manière incomplète. Plusieurs insuffisances ont été mises en évidence : authentification des conseillers Cap Emploi insuffisamment robuste (politique de mots de passe permissive), habilitations définies trop largement (accès à des données de personnes non accompagnées), et dispositifs de journalisation et de détection des comportements anormaux insuffisants.
Pour fixer le montant, la CNIL a tenu compte de la méconnaissance de principes essentiels de sécurité, du nombre très élevé de personnes concernées, de la nature des données et du caractère public de l’organisme. La sanction est assortie d’injonctions de mise en conformité sous astreinte.
Source : CNIL — Sanction de 5 millions d’euros à l’encontre de France Travail.