France Travail condamnée à 5 millions d’euros pour failles de sécurité grave

France Travail sanctionné de 5 millions d’euros pour une cyberattaque massive

La Commission nationale de l’informatique et des libertés (Cnil) a infligé une amende de 5 millions d’euros à France Travail en janvier 2026, suite à une cyberattaque datant de 2024 ayant exposé les données personnelles de dizaines de millions de Français. Cette sanction révèle des lacunes importantes dans la sécurité informatique d’un organisme public central, responsable de la gestion des parcours professionnels et de l’emploi.

Des failles de sécurité persistantes dans un organisme stratégique

France Travail traite quotidiennement des données sensibles relatives à l’identité, la situation administrative et l’emploi de millions de citoyens. Pour cette raison, l’organisation est soumise aux exigences strictes de l’article 32 du Règlement général sur la protection des données (RGPD), qui imposent des mesures techniques et organisationnelles robustes et proportionnées aux risques.

Or, la Cnil a établi que France Travail n’avait pas mis en place des dispositifs suffisants pour prévenir l’accès non autorisé à ses systèmes. L’attaque a pu se produire parce que des comptes de conseillers appartenant à des organismes partenaires ont été usurpés, permettant ainsi aux cybercriminels de pénétrer les bases de données internes. Pire encore, l’autorité de contrôle a constaté que certaines vulnérabilités étaient connues mais n’avaient jamais donné lieu à des actions correctives appropriées.

Ce type de manquement est particulièrement grave : lorsqu’une organisation identifie des failles de sécurité, elle est tenue de les traiter sans délai, en fonction de leur criticité. La négligence à cet égard constitue une violation directe du RGPD.

Une amende calibrée mais suffisamment dissuasive

La sanction prononcée par la Cnil représente un équilibre entre la gravité des faits constatés et le statut public de l’organisme. Pour les entités publiques, le plafond maximum en cas de manquement aux obligations de sécurité peut atteindre 10 millions d’euros. En fixant l’amende à 5 millions d’euros, l’autorité a opté pour un niveau intermédiaire, signalant clairement la sériosité des dysfonctionnements.

L’ampleur de la fuite de données rend cette sanction particulièrement justifiée. Entre 36,8 et 43 millions de personnes ont potentiellement vu leurs données compromises, incluant des informations très sensibles comme les numéros de sécurité sociale, les coordonnées postales et électroniques, ainsi que des identifiants internes. Une exposition de cette envergure affecte une part importante de la population française.

Au-delà de l’amende : des obligations de conformité renforcées

La décision de la Cnil ne se limite pas à l’amende financière. L’autorité a également imposé à France Travail une injonction pour renforcer significativement ses mesures de sécurité informatique, assortie de délais précis. Le non-respect de cette injonction entraînerait le versement d’une astreinte financière quotidienne, créant ainsi une pression supplémentaire pour que l’organisme agisse rapidement.

Cette condamnation dépasse le simple cadre de la conformité aux règles de protection des données. Elle illustre une évolution plus large dans la gouvernance des établissements publics, où la sécurité informatique n’est plus perçue comme une question technique isolée, mais comme un enjeu fondamental de responsabilité institutionnelle. Pour les organisations gérant des données massives, le respect rigoureux des principes de sécurité du RGPD est désormais incontournable, tant pour préserver la confiance des usagers que pour démontrer une gestion responsable des informations personnelles confiées.