CNIL : injonction France Travail levee sans astreinte (08/10/2026)
Le 8 octobre 2026, la CNIL a leve son injonction contre France Travail sans appliquer l'astreinte de 5 000 euros par jour. Ce qui compte pour une PME n'est pas l'amende de 5 millions, mais les quatre mesures de securite que l'autorite a jugees obligatoires.
En bref
Le 8 octobre 2026, la CNIL a publie la cloture de l'injonction qu'elle avait prononcee contre France Travail : par une deliberation du 23 septembre 2026, elle a constate la mise en conformite et n'a pas applique l'astreinte de 5 000 euros par jour de retard.[1] Cette injonction accompagnait une amende de 5 millions d'euros decidee le 22 janvier 2026 (deliberation SAN-2026-003), pour manquement a l'obligation de securite de l'article 32 du RGPD, apres une fuite touchant 36,8 millions de personnes.[2][3][4] Pour une PME, l'information utile n'est pas le montant : c'est la liste des quatre mesures que l'autorite a jugees obligatoires, et le constat qu'elles figuraient deja dans les analyses d'impact de l'organisme sans avoir ete deployees.[2]
Securite des donnees : les quatre mesures que la CNIL a exigees
L'injonction de janvier ne demandait pas « plus de securite ». Elle listait quatre mesures precises, a justifier selon un calendrier de mise en oeuvre.[2] Les voici, dans la logique de la decision :
- Une politique de mots de passe prevoyant des mecanismes de restriction d'acces au compte : un blocage apres plusieurs echecs, et pas seulement une exigence de longueur.
- Une authentification multifacteur pour l'acces aux comptes des conseillers CAP EMPLOI, c'est-a-dire pour des comptes exterieurs a l'organisme qui accedaient au fichier.
- Une supervision active du systeme d'information et des journaux d'activite : des journaux qui existent ne suffisent pas, encore faut-il que quelqu'un les lise.
- Une limitation de l'acces aux seules donnees necessaires : un conseiller ne devait pas pouvoir consulter le dossier de personnes qu'il n'accompagnait pas.
Transposez la liste en remplacant « conseiller CAP EMPLOI » par « comptable externe », « agence web », « interimaire » ou « prestataire informatique ». Les quatre points deviennent une grille d'audit en quatre lignes, publiee par le regulateur lui-meme, sur un perimetre que presque toutes les PME ont en commun : les acces accordes a des tiers.
L'amende se paie une fois, l'astreinte se paie chaque jour
Beaucoup de dirigeants retiennent les 5 millions d'euros et en concluent que le sujet ne concerne pas une entreprise de vingt personnes. C'est l'astreinte qu'il faut regarder : 5 000 euros par jour de retard, un mecanisme qui ne depend pas du montant de l'amende initiale.[1][2] Dans cette affaire, la mise en conformite dans le delai l'a ramenee a zero. La sanction financiere est figee au jour de la decision ; la partie « travaux », elle, reste entre les mains de l'organisme. Une PME qui recoit une mise en demeure dispose du meme levier, a une condition : pouvoir prouver, pieces datees en main, ce qu'elle a change et quand.
Le rapport de l'ANSSI sur l'attaque de la DGFiP decrivait le meme enchainement technique : des identifiants voles, pas d'authentification multifacteur, aucune detection pendant l'exfiltration. Nous l'avons detaille dans notre analyse du rapport ANSSI sur la DGFiP et l'absence de MFA.
Le piege : la mesure ecrite mais jamais deployee
Le point le plus severe de la decision de janvier est un constat de methode : la CNIL releve que l'organisme avait identifie ces mesures de securite dans ses analyses d'impact, sans les mettre en oeuvre.[2] Un document interne qui recense un risque et la parade correspondante cesse de proteger le jour ou il reste sans effet. Il devient la preuve que le risque etait connu.
Consequence pratique pour une PME qui a fait un audit, une analyse d'impact (AIPD) ou un plan de securite : chaque ligne non appliquee est une dette datee. Soit vous la realisez, soit vous ecrivez noir sur blanc pourquoi vous ne la realisez pas et quelle mesure la remplace. Devant une autorite, un plan sans date de realisation et sans responsable nomme pese plus lourd contre vous que pour vous.
France, Belgique, Pays-Bas, Luxembourg : une obligation, quatre autorites
L'obligation en cause est l'article 32 du RGPD, qui impose des mesures techniques et organisationnelles appropriees. Le RGPD etant un reglement europeen, ce texte est identique dans les quatre pays ou nous travaillons ; ce qui change, c'est l'autorite competente et sa procedure.
| Pays | Autorite de controle | Texte invoque ici |
|---|---|---|
| France | CNIL | Article 32 RGPD |
| Belgique | APD / GBA | Article 32 RGPD |
| Pays-Bas | Autoriteit Persoonsgegevens (AP) | Article 32 RGPD |
| Luxembourg | CNPD | Article 32 RGPD |
Le plafond est lui aussi fixe par le reglement, pas par le pays : un manquement a l'article 32 releve de l'article 83, paragraphe 4, du RGPD, soit jusqu'a 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus eleve etant retenu. L'astreinte, en revanche, est un outil de procedure propre a chaque autorite : ne transposez pas le chiffre de 5 000 euros par jour hors de France sans verification. Pour les echeances reglementaires pays par pays, nous tenons a jour le calendrier des echeances cybersecurite.
Si la fuite arrive quand meme : le compte a rebours
Ces quatre mesures reduisent la probabilite, elles ne ramenent pas le risque a zero. Le jour ou une violation est constatee, le delai de notification de 72 heures prevu par l'article 33 du RGPD commence a courir, y compris lorsque l'incident est survenu chez un sous-traitant. Nous avons traite les deux cas de figure recents : la fuite Jims et les obligations de notification et le delai de 72 heures quand la fuite vient d'un fournisseur.
A faire cette semaine
- Lundi — Listez les comptes exterieurs qui accedent a vos donnees clients ou salaries : comptable, agence, prestataire informatique, ancien stagiaire. Un tableau de dix lignes suffit.
- Mardi — Activez l'authentification multifacteur sur ces comptes en priorite, avant ceux de vos salaries internes. C'est exactement la mesure enjointe par la CNIL.
- Mercredi — Verifiez le blocage apres echecs repetes de mot de passe sur vos acces distants (VPN, webmail, outil de gestion). Testez-le vous-meme.
- Jeudi — Designez une personne et un creneau hebdomadaire pour lire les journaux de connexion. Sans nom et sans heure, la supervision n'existe pas.
- Vendredi — Reprenez votre dernier audit ou analyse d'impact et marquez chaque recommandation : faite (avec la date), abandonnee (avec la raison) ou en retard (avec un responsable).
Chez CyberNovaLabs.io
CyberNovaLabs.io accompagne les PME des Pays-Bas, de Belgique, de France et du Luxembourg sur ces quatre points precis : inventaire des acces exterieurs, deploiement du multifacteur, supervision des journaux et reprise des recommandations d'audit restees en retard. Nous intervenons aupres des entreprises du Benelux comme de nos interlocuteurs en France. Pour un etat des lieux de vos acces et de votre journalisation, voyez notre offre cybersecurite ou demandez un rendez-vous. Prestations sur devis.
Sources
- CNIL — Cloture de l'injonction prononcee a l'encontre de FRANCE TRAVAIL (08/10/2026)
- CNIL — Violation de donnees : sanction de 5 millions d'euros a l'encontre de FRANCE TRAVAIL (22/01/2026)
- Legifrance — Deliberation SAN-2026-003 du 22 janvier 2026
- L'Usine Digitale — France Travail : 36,8 millions de victimes de la fuite de donnees (janvier 2026)
Des rendez-vous qualifiés, sans engagement.
Critères écrits avant le lancement, paiement au rendez-vous ou au forfait, arrêt par simple e-mail.
À lire aussi
Failles critiques PHP : votre site web est concerné (21/10/2026)
Deux vulnérabilités critiques dans PHP, le moteur sous la plupart des sites de PME, permettent une exécution de code à distance sans authentification. Les correctifs sont sortis le 21 octobre 2026. Ce qu'il faut vérifier cette semaine, et ce qui ne sera jamais corrigé.
Lire l'article →22 octobre 2026 · 9 min de lectureNIS2 Pays-Bas : éditeurs de logiciels et prestataires IT, concernés ?
Éditer un logiciel ne figure pas dans la loi néerlandaise. Gérer l'infrastructure d'un client, héberger, surveiller : si. Voici comment trancher votre cas en dix minutes, avec les dates néerlandaises, l'autorité compétente et la règle d'établissement principal qui décide qui vous contrôle.
Lire l'article →11 octobre 2026 · 7 min de lectureNIS2 France : transport et logistique sont-ils concernés ?
Un transporteur routier n'est pas visé par NIS2 parce qu'il transporte des marchandises. Mais deux régimes l'obligent déjà aujourd'hui, et un troisième arrive par ses clients. Les textes, les dates et les chiffres, sans amende inventée.
Lire l'article →10 octobre 2026 · 8 min de lectureNIS2 Belgique : éditeurs de logiciels et prestataires IT, concernés ?
Un éditeur de logiciels n'est pas listé par la loi NIS2 belge. Un MSP, un MSSP, un hébergeur ou un SaaS, si. Voici comment trancher votre cas en dix minutes, avec les dates belges, le référentiel CyberFundamentals et ce qui vous atteint même hors champ.
Lire l'article →9 octobre 2026 · 7 min de lectureCombien de rendez-vous B2B pour signer un client ?
Si un rendez-vous qualifie sur quatre signe, il vous faut quatre rendez-vous par client. Ce chiffre ne vaut rien chez vous : voici le modele a six etages, la formule inverse et les reperes de cout publics pour dimensionner votre prospection sans deviner.
Lire l'article →9 octobre 2026 · 8 min de lectureNIS2 Pays-Bas : la construction et le BTP sont-ils concernés ?
Aux Pays-Bas, la Cyberbeveiligingswet est en vigueur depuis le 15 août 2026. La construction ne figure dans aucune des deux annexes. Trois branches d'activité font pourtant basculer une entreprise du bâtiment dans le champ, et une quatrième voie, contractuelle, concerne presque tous les aannemers des waterschappen.
Lire l'article →