France Travail : la CNIL clôt l’injonction après les mesures de sécurité

Une mesure de sécurité annoncée et une correction justifiée ne disent pas la même chose. Le 8 octobre 2026, la CNIL a publié la clôture de l’injonction prononcée contre France Travail. La décision date du 23 septembre : il s’agit donc d’une publication récente sur des mesures déjà examinées, pas d’une nouvelle attaque. L’autorité précise que l’organisme a justifié les corrections demandées et que l’astreinte supplémentaire n’est pas exigée.

Une injonction impose de corriger des manquements ; une astreinte peut ajouter une somme liée au retard. Leur clôture ne doit pas se lire comme l’effacement de la sanction initiale, ni comme une certification générale du système. Pour une petite entreprise, l’intérêt de cette publication tient au lien entre un problème précis, une mesure et les éléments qui permettent d’en apprécier la réalisation.

Les corrections décrites concernent les mots de passe, l’authentification multifacteur, la supervision des journaux d’activité et les données accessibles aux conseillers CAP EMPLOI selon leurs fonctions. La CNIL rapporte leur mise en œuvre dans le périmètre de ses demandes. Votre PME n’utilise pas nécessairement cet outil ni ces rôles ; elle peut néanmoins retrouver les mêmes questions dans une messagerie, un espace client ou un dossier partagé.

Quatre questions derrière les réglages

Question à examiner	Ce qu’elle permet de distinguer
Comment un compte résiste-t-il aux tentatives d’accès ?	Le choix du mot de passe et les restrictions appliquées aux tentatives.
Qu’est-ce qui s’ajoute au mot de passe ?	Un second facteur réellement exigé pour l’accès concerné.
Qui examine les événements inhabituels ?	Des traces conservées et une surveillance avec un responsable.
Quelles données chaque rôle peut-il consulter ?	Un accès nécessaire à une mission et un accès hérité devenu trop large.

L’authentification multifacteur ajoute une preuve d’accès d’une autre nature, par exemple un dispositif possédé par l’utilisateur. Deux mots de passe successifs ne représentent pas à eux seuls deux facteurs différents. Les journaux sont des traces d’opérations : connexion, changement de droits ou consultation selon l’outil. Les accumuler sans savoir qui les examine laisse ouverte la question de la détection. Il faut aussi protéger ces traces et choisir une conservation adaptée.

Le droit d’accès mérite une vérification du côté du compte, pas seulement de l’écran habituel. Dans un exemple hypothétique, une assistante prépare les rendez-vous et a besoin des coordonnées des clients. Un ancien groupe lui ouvre également les dossiers de tout le service. Masquer un menu ne corrige pas forcément ce droit. Le responsable doit examiner les groupes, les liens de partage et les possibilités de téléchargement, puis préserver ce qui est utile au travail quotidien.

Pour recevoir une intervention, demandez un relevé simple : compte ou rôle concerné, mesure appliquée, contrôle réalisé et date. Un essai avec un compte de test peut montrer à la fois l’accès conservé au dossier nécessaire et le refus d’accès au dossier exclu. Pour la surveillance, faites préciser le destinataire de l’alerte et la suite prévue. Ces exemples de preuves sont proposés par Gaia ; ils ne reproduisent pas le dossier de France Travail et n’attestent pas la conformité de votre entreprise.

Le règlement général sur la protection des données, article 32, demande un niveau de sécurité adapté au risque et l’évaluation de l’efficacité des mesures. La bonne priorité dépend donc des données, des usages et des conséquences possibles d’un accès indu. Un outil supplémentaire ne remplace pas la définition des responsabilités. Une mesure acceptée dans ce dossier ne se transpose pas automatiquement à tous les traitements.