← Alle artikelen

CNIL sluit bevel France Travail: geen dwangsom (08-10-2026)

Gepubliceerd op 9 oktober 2026 · 7 min lezen · CyberNovaLabs.io

Op 8 oktober 2026 sloot de Franse CNIL het bevel tegen France Travail zonder de dwangsom van 5.000 euro per dag toe te passen. Niet de boete van 5 miljoen is interessant voor het mkb, maar de vier beveiligingsmaatregelen die de toezichthouder verplicht achtte.

Kort

Op 8 oktober 2026 maakte de Franse toezichthouder CNIL bekend dat het bevel tegen France Travail is gesloten: bij besluit van 23 september 2026 stelde zij vast dat de organisatie in orde was en legde zij de dwangsom van 5.000 euro per dag vertraging niet op.^[1] Dat bevel hoorde bij een boete van 5 miljoen euro van 22 januari 2026 (besluit SAN-2026-003) wegens schending van de beveiligingsplicht uit artikel 32 AVG, na een datalek dat 36,8 miljoen mensen raakte.^[2][3][4] Voor een mkb-bedrijf zit de waarde niet in het bedrag, maar in de vier maatregelen die de toezichthouder als verplicht aanmerkte, en in de vaststelling dat ze al in de effectbeoordelingen van de organisatie stonden zonder ooit te zijn uitgevoerd.^[2]

AVG-beveiliging: de vier maatregelen die de CNIL eiste

Het bevel van januari vroeg niet om « meer beveiliging ». Het somde vier concrete maatregelen op, te verantwoorden volgens een invoeringsschema.^[2] In de kern:

• Een wachtwoordbeleid met mechanismen die de toegang tot het account beperken : blokkeren na meerdere mislukte pogingen, en niet alleen een eis over de lengte.
• Multifactorauthenticatie op de accounts van de CAP EMPLOI-adviseurs, dus op externe accounts die bij het hoofdbestand konden komen.
• Actief toezicht op het informatiesysteem en op de logbestanden : logs die bestaan zijn niet genoeg, iemand moet ze lezen.
• Toegang beperkt tot alleen de noodzakelijke gegevens : een adviseur had geen dossiers moeten kunnen openen van mensen die hij niet begeleidde.

Vervang « CAP EMPLOI-adviseur » door « externe boekhouder », « webbureau », « uitzendkracht » of « IT-leverancier » en de lijst past meteen. Vier regels, opgesteld door de toezichthouder zelf, over iets wat vrijwel elk mkb-bedrijf gemeen heeft: de toegang die het aan derden geeft.

Een boete betaal je een keer, een dwangsom elke dag

Veel ondernemers onthouden de 5 miljoen euro en concluderen dat dit niet over een bedrijf met twintig man gaat. Let liever op de dwangsom: 5.000 euro per dag vertraging, een mechanisme dat niet meebeweegt met de hoogte van de oorspronkelijke boete.^[1][2] Hier bracht tijdige naleving die dwangsom terug naar nul. De boete staat vast op de dag van het besluit; het herstelwerk blijft in eigen hand. Een mkb-bedrijf dat een last onder dwangsom krijgt heeft dezelfde ruimte, op een voorwaarde: met gedateerd bewijs kunnen aantonen wat het heeft veranderd en wanneer.

Het ANSSI-rapport over de aanval op de Franse belastingdienst beschreef dezelfde technische keten: gestolen inloggegevens, geen multifactorauthenticatie, geen detectie tijdens het wegsluizen van data. We bespraken dat in onze analyse van het ANSSI-rapport over de DGFiP en het ontbreken van MFA.

De valkuil: een maatregel op papier die nooit live gaat

Het hardste punt uit het besluit van januari gaat over werkwijze: de CNIL stelt vast dat de organisatie deze beveiligingsmaatregelen in haar effectbeoordelingen had benoemd zonder ze in te voeren.^[2] Een intern document dat een risico en de bijbehorende maatregel vastlegt, beschermt niet meer zodra er niets mee gebeurt. Het wordt het bewijs dat het risico bekend was.

Praktisch gevolg voor elk bedrijf dat een audit, een DPIA of een beveiligingsplan heeft laten maken: elke niet-uitgevoerde regel is een gedateerde schuld. Of je voert hem uit, of je schrijft op waarom niet en welke maatregel ervoor in de plaats komt. Bij een toezichthouder weegt een plan zonder einddatum en zonder eigenaar tegen je, niet voor je.

Frankrijk, Belgie, Nederland, Luxemburg: een plicht, vier toezichthouders

De plicht in deze zaak is artikel 32 AVG: passende technische en organisatorische maatregelen. Omdat de AVG een Europese verordening is, is die tekst in de vier landen waar wij werken identiek; wat verschilt, is de bevoegde toezichthouder en diens procedure.

Ook het maximum staat in de verordening en niet in nationaal recht: schending van artikel 32 valt onder artikel 83, lid 4, AVG, tot 10 miljoen euro of 2 % van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. De dwangsom is daarentegen een procedureel instrument van elke toezichthouder apart: neem het bedrag van 5.000 euro per dag niet zonder controle mee buiten Frankrijk. Voor deadlines per land houden wij de agenda met cyberdeadlines bij, en voor de Belgische situatie onze pagina over NIS2 in Belgie.

Gaat het alsnog mis: de klok loopt

Deze vier maatregelen verlagen de kans, ze maken het risico niet nul. Zodra een inbreuk is vastgesteld, begint de meldtermijn van 72 uur uit artikel 33 AVG te lopen, ook als het incident bij een leverancier plaatsvond. Beide recente varianten behandelden we al: het datalek bij Jims en de meldplicht en de 72 uur wanneer het lek bij een leverancier zit.

Bij CyberNovaLabs.io

CyberNovaLabs.io werkt met mkb-bedrijven in Nederland, Belgie, Frankrijk en Luxemburg aan precies deze vier punten: inventarisatie van externe toegang, uitrol van multifactor, toezicht op logbestanden en het afmaken van auditaanbevelingen die zijn blijven liggen. Wil je weten hoe je toegang en logging ervoor staan, bekijk dan ons cyberbeveiligingsaanbod of vraag een gesprek aan. Werk gaat op basis van een offerte.

Bronnen

1. CNIL — Cloture de l'injonction prononcee a l'encontre de FRANCE TRAVAIL (08/10/2026)
2. CNIL — Violation de donnees : sanction de 5 millions d'euros a l'encontre de FRANCE TRAVAIL (22/01/2026)
3. Legifrance — Deliberation SAN-2026-003 du 22 janvier 2026
4. L'Usine Digitale — France Travail : 36,8 millions de victimes de la fuite de donnees (janvier 2026)

Lees ook