Une analyse d’impact peut identifier les bons risques et les bonnes mesures. Elle ne réduit pourtant aucun risque tant que ces mesures ne sont pas déployées, vérifiées et maintenues. La clôture de l’injonction prononcée contre France Travail permet de suivre toute la chaîne, du manquement constaté à la preuve de remédiation.
En janvier 2026, la CNIL a sanctionné France Travail d’une amende de 5 millions d’euros pour insuffisance des mesures destinées à protéger les données des personnes en recherche d’emploi. L’attaque survenue en 2024 avait reposé sur des techniques d’ingénierie sociale et l’usurpation de comptes de conseillers CAP EMPLOI.
Le point le plus instructif n’était pas l’absence totale d’analyse. La CNIL indiquait au contraire que la plupart des mesures de sécurité adéquates avaient été identifiées dans les analyses d’impact avant la mise en œuvre du traitement. Elles n’avaient pas été effectivement appliquées.
Le 8 octobre 2026, la CNIL a annoncé la clôture de l’injonction. France Travail ayant justifié sa mise en conformité dans les délais, l’autorité n’a pas liquidé l’astreinte de 5 000 euros par jour prévue dans sa première décision. L’amende initiale n’est pas effacée et cette clôture ne valide pas l’ensemble du système d’information. Elle constate que les mesures demandées ont été mises en œuvre.
Ce dossier ne crée pas de nouvelle obligation générale. Il montre en revanche, avec une rare précision, ce que signifie passer d’une conformité décrite à une conformité démontrable.
Une AIPD n’est pas un livrable que l’on range
L’analyse d’impact relative à la protection des données sert à décrire un traitement, apprécier ses risques pour les personnes et définir les mesures permettant de les ramener à un niveau acceptable. Lorsqu’elle est requise, elle doit être réalisée avant le traitement puis réexaminée lorsque le contexte, les usages ou les risques évoluent.
Cette logique est dynamique. Une AIPD n’est pas la photographie rassurante d’un projet au moment de sa validation. Elle doit conduire à un plan d’action attribué, daté, suivi et réévalué.
Le cas France Travail illustre le risque d’un écart entre la décision et l’exécution. Une mesure peut être correctement formulée, budgétée ou inscrite dans une feuille de route sans protéger réellement les données. Tant qu’elle n’est pas déployée, testée et maintenue, le risque demeure.
Pour un DPO, la question n’est donc pas seulement : « le risque a-t-il été identifié ? » Elle devient : « qui devait agir, pour quelle échéance, quelle preuve atteste l’exécution et que montre le contrôle de fonctionnement ? »
Quatre mesures très concrètes
L’injonction concernait quatre dimensions courantes de la sécurité des données : les mots de passe, l’authentification multifacteur, la supervision des journaux et la limitation des habilitations.
Premièrement, France Travail devait renforcer sa politique de mots de passe et prévoir des mécanismes de restriction d’accès aux comptes. Une règle de complexité écrite ne suffit pas si l’application n’impose pas la règle, si les tentatives ne sont pas limitées ou si la procédure de réinitialisation peut être détournée par ingénierie sociale.
Deuxièmement, une authentification multifacteur devait être mise en place pour les comptes des conseillers CAP EMPLOI. Le MFA ne rend pas une compromission impossible, mais il réduit la dépendance à un mot de passe unique. Son efficacité dépend aussi de l’enrôlement, de la récupération de compte, du traitement des terminaux perdus et de la capacité du support à résister aux demandes frauduleuses.
Troisièmement, les journaux d’activité devaient faire l’objet d’une supervision active. Conserver des traces n’est utile que si elles sont exploitables, protégées, reliées à des scénarios de détection et suivies d’une procédure d’escalade. La CNIL recommande de journaliser les activités métier, les interventions techniques, les anomalies et les événements de sécurité, puis d’analyser activement les traces pour détecter un incident.
Enfin, les conseillers ne devaient accéder qu’aux données nécessaires à leurs missions. Le principe du moindre privilège suppose des profils définis, une validation des demandes, le retrait rapide des droits devenus inutiles et une revue périodique impliquant les métiers. L’enjeu n’est pas abstrait : un compte compromis produit d’autant plus de dommages que son périmètre d’accès est large.
La preuve doit porter sur l’existence et le fonctionnement
Une capture d’écran de paramétrage ou une procédure signée peut prouver qu’une mesure existe à un moment donné. Elle ne prouve pas qu’elle fonctionne dans la durée.
Pour l’authentification, une preuve utile peut combiner la configuration technique, la liste des populations couvertes, un test de connexion, les exceptions accordées et leur date de réexamen. Pour les habilitations, elle peut associer une matrice des rôles, les validations métier, le résultat d’une revue périodique et un échantillon de suppressions effectives.
Pour la journalisation, il faut aller au-delà de la présence de fichiers de logs. Il convient de vérifier que les événements attendus sont bien enregistrés, que l’horodatage est fiable, que la conservation est maîtrisée, que les alertes parviennent à une personne identifiée et qu’une anomalie donne lieu à une décision traçable.
La bonne unité de preuve n’est donc pas toujours le document. C’est souvent une chaîne : décision, responsable, déploiement, test, résultat, correction et nouvelle vérification.
Le DPO ne doit pas devenir l’exécutant de toutes les mesures
Le DPO conseille, alerte, contrôle la conformité et rend compte. Il n’a pas vocation à administrer les comptes, configurer tous les outils ou arbitrer seul les risques opérationnels. Une confusion des rôles fragiliserait son indépendance et laisserait croire que la conformité repose sur une seule personne.
Son rôle est en revanche central pour rendre l’exécution visible. Il peut demander qu’une mesure issue d’une AIPD dispose d’un propriétaire opérationnel, d’une échéance, d’un niveau de priorité, d’une preuve attendue et d’un statut explicite. Il peut organiser des revues, tester la cohérence des justificatifs et signaler les retards ou exceptions à la direction.
Le RSSI, la DSI, les métiers, les achats, les ressources humaines et les prestataires conservent leurs responsabilités propres. Le responsable de traitement doit arbitrer les moyens et accepter formellement les risques résiduels lorsqu’ils ne peuvent être réduits immédiatement.
Les prestataires font partie de la chaîne de preuve
Les organismes de formation et les PME s’appuient souvent sur des LMS, CRM, outils de classe virtuelle, suites collaboratives et services d’assistance opérés par des tiers. Les mesures de sécurité ne peuvent pas s’arrêter au contrat.
Un engagement générique à respecter le RGPD ne dit pas quels comptes sont protégés par MFA, qui examine les journaux, comment les habilitations sont revues, ni dans quel délai une anomalie est signalée. Les preuves à demander doivent être proportionnées au risque et à la sensibilité des données, mais elles doivent permettre une vérification réelle.
Cela peut prendre la forme d’une attestation datée, d’un rapport d’audit, d’un extrait de paramétrage, d’un résultat de test, d’une procédure d’incident ou d’un entretien technique documenté. Une certification peut contribuer au dossier, sans remplacer l’examen du service effectivement utilisé et de sa configuration.
Une revue simple en six questions
Une organisation peut revoir ses AIPD, plans de sécurité et registres de risques avec six questions.
- Quelle mesure a été décidée et à quel risque répond-elle ?
- Qui est responsable de son exécution, distinctement du contrôle ?
- Quelle échéance et quelles dépendances ont été fixées ?
- Quelle preuve montre que la mesure est réellement déployée ?
- Quel test montre qu’elle fonctionne et couvre la population prévue ?
- Quand sera-t-elle réexaminée, notamment après un changement ou un incident ?
Cette revue ne nécessite pas d’accumuler des justificatifs sans finalité. Elle vise à rendre visibles les écarts entre ce qui est prévu, ce qui existe et ce qui fonctionne.
Conclusion
Le dossier France Travail rappelle une réalité simple : la conformité ne se mesure pas au nombre de documents produits. Une AIPD utile déclenche des décisions, des moyens, des responsables et des contrôles. Un plan de sécurité utile transforme ces décisions en protections observables.
La clôture de l’injonction montre aussi qu’une remédiation peut être reconnue lorsqu’elle est exécutée et justifiée. Pour les DPO, les dirigeants et les prestataires, l’enjeu n’est donc pas de promettre une sécurité parfaite. Il est de maintenir une chaîne de preuve suffisamment claire pour savoir ce qui a été décidé, ce qui a été fait, ce qui fonctionne et ce qui reste à traiter.