AgentPublic/cnil huggingface dataset:
39. Par ailleurs les analyses d’impact relatives à la protection des données (AIPD) – réalisées préalablement à la mise en œuvre du traitement en 2022 – précisent que ce sont les règles du corpus documentaire de la politique de sécurité des systèmes d’information de FRANCE TRAVAIL qui s’appliquent au traitement en cause. Si FRANCE TRAVAIL soutient qu’il s’agit là " simplement d’une mesure normale de bonne gestion par France Travail de ses propres solutions auxquelles il donne accès à des tiers ", la formation restreinte estime qu’il ressort clairement de ce passage ainsi que de l’ensemble des documents contractuels transmis que le déploiement effectif des mesures techniques permettant d’assurer la sécurité, de son propre système d’information, incombe à FRANCE TRAVAIL.
40. La formation restreinte souscrit à l’argument de FRANCE TRAVAIL selon lequel " cela ne décharge [pas] ces tiers de leurs obligations de mettre leur propre environnement en condition de respecter ces conditions " et reconnaît à ce titre le rôle important que jouent les CAP EMPLOI dans la diffusion et l’application des règles de sécurité. Néanmoins et indépendamment de ces obligations des CAP EMPLOI qui résultent de leur co-responsabilité de traitement (voir paragraphe 33), la formation restreinte observe que c’est à FRANCE TRAVAIL que revient en premier lieu l’initiative du déploiement et du pilotage des mesures destinées à assurer la sécurité de son système d’information, dont il a ouvert l’accès aux CAP EMPLOI pour l’accompagnement des demandeurs d’emploi ayant fait l’objet d’une décision de reconnaissance de la qualité de travailleur handicapé et bénéficiaires de l’obligation d’emploi.
41. La formation restreinte estime que FRANCE TRAVAIL reste responsable de traitement et principal responsable de la détermination des règles de sécurité applicables.
B. Sur le manquement à l’obligation d’assurer la sécurité des données à caractère personnel traitées
1. Sur la portée de l’obligation de FRANCE TRAVAIL s’agissant de la sécurité du traitement
42. Aux termes de l’article 24-1 du RGPD, " compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure de démontrer que le traitement est effectué conformément au présent règlement. Ces mesures sont réexaminées et actualisées si nécessaire ".
43. L’article 32-1 du RGPD dispose : " Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque y compris entre autres, selon les besoins :
a) la pseudonymisation et le chiffrement des données à caractère personnel ;
b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;
c) des moyens permettant de rétablir la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ;
d) une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement […] ".
44. L’article 32-2 du RGPD prévoit : " Lors de l'évaluation du niveau de sécurité approprié, il est tenu compte en particulier des risques que présente le traitement, résultant notamment de la destruction, de la perte, de l'altération, de la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou de l'accès non autorisé à de telles données, de manière accidentelle ou illicite ".
45. Le rapporteur estime que le niveau de sécurité assuré par un responsable de traitement doit s’apprécier au regard du risque lié à la divulgation et à l’accès non autorisé aux données traitées. En l’espèce, il souligne que le traitement comporte de nombreuses données à caractère personnel, dont des catégories particulières au sens de l’article 9, paragraphe 1 du RGPD, ainsi que des données faisant l’objet d’une protection particulière comme le NIR. Il considère que FRANCE TRAVAIL a commis un manquement à l’article 32 du RGPD en n’assurant pas un niveau de sécurité des données traitées suffisamment élevé pour le traitement mis en œuvre.
46. En défense, FRANCE TRAVAIL fait valoir que contrairement à ce qui est avancé par le rapporteur, les vulnérabilités reprochées ne sont pas la conséquence de l’absence de mise en œuvre par FRANCE TRAVAIL de mesures qualifiées de " basiques ". FRANCE TRAVAIL soutient avoir au contraire déployé des mesures de sécurité fortes sur la composante du traitement conjoint sous son contrôle, et ce dès la mise en œuvre du traitement.
47. À titre liminaire, la formation restreinte relève que la CJUE a estimé dans son arrêt " Natsionalna agentsia za prihodite " (14 décembre 2023, C/2024/1065, point 47), que l’absence de violation de données à caractère personnel ne suffit pas à démontrer l’absence de manquement, pas plus que la survenance d’une violation de données ne suffit à caractériser en elle-même l’existence d’un manquement à l’article 32 du RGPD. Des défauts de sécurité peuvent être sanctionnés en tant que tels en raison du risque qu’ils ont fait peser sur l’intégrité des données traitées. La formation restreinte sanctionne régulièrement des manquements à l’obligation de sécurité sans que ceux-ci soient nécessairement à l’origine d’une violation de données, tels qu’une politique de mot de passe insuffisamment robuste (délibération de la formation restreinte n° SAN-2018-009 du 6 septembre 2018, publiée), le stockage de mots de passe en clair (délibération de la formation restreinte n° SAN-2022-018 du 8 septembre 2022), l’absence de politique d’habilitation (délibération de la formation restreinte n°SAN-2021-019 du 29 octobre 2021, publiée) ou encore l’utilisation d’une version obsolète du protocole TLS (décision du président de la formation restreinte n°SANPS-2024-011 du 31 janvier 2024, non publiée).
48. Le respect de l’obligation de moyens par un responsable de traitement ou un sous-traitant s’apprécie au regard du caractère approprié des mesures techniques et organisationnelles mises en œuvre, en tenant compte des risques et en appréciant si la nature, la teneur et la mise en œuvre de ces mesures sont adaptées à ces risques. Elle rappelle que s’il n’apparait pas possible pour un responsable de traitement de se prémunir contre l’ensemble des attaques dites " d’ingénierie sociale ", c’est-à-dire qui exploitent la psychologie humaine, cela ne saurait exonérer le responsable de traitement de ses obligations en vertu des articles 24-1 et 32 du RGPD.
49. Par ailleurs la formation restreinte observe que l’ANSSI applique le principe de " défense en profondeur " aux systèmes d’information, qui consiste à ne pas faire reposer la sécurité " sur un élément mais sur un ensemble cohérent. Cela signifie donc qu’il ne doit en théorie pas exister de point sur lequel tout l’édifice repose ", c’est-à-dire que toute faille de sécurité potentielle d’un composant logiciel doit être compensée par au moins un second niveau de sécurité (voir le Memento sur le concept de défense en profondeur appliquée aux systèmes d’information, version 1.1 du 19 juillet 2004). La formation restreinte note que l’ANSSI fait reposer ce concept sur le postulat que " tout composant d’un système peut être défaillant ou compromis. Ce postulat, qui s’applique également aux fonctions de sécurité d’un SI [système d’information], est confirmé régulièrement par l’actualité sur les vulnérabilités de nombreux produits et logiciels " (voir la note blanche Système d'information hybride et sécurité : un retour à la réalité, 10 août 2021).
50. En l’espèce, la formation restreinte note que […], qui a fait l’objet de la violation, comporte de nombreuses données à caractère personnel (voir paragraphe 13 de la présente délibération). De nombreuses autres données sont également traitées par FRANCE TRAVAIL – même si elles n’ont pas fait l’objet de la violation – telles que les dossiers complets des demandeurs d’emploi. Ainsi FRANCE TRAVAIL traite de nombreuses données intimes et sensibles, portant par exemple sur l’origine du handicap, les contraintes d’un poste de travail, l’évolution de la situation de handicap, les besoins liés à la compensation du handicap et au rétablissement de la personne, les limitations des capacités en milieu professionnel, ainsi que des champs de rédaction libre dans lesquels sont renseignées, pour les besoins du service, les habitudes de vie et les situations particulières des personnes. Ces données peuvent constituer des données de santé en soi ou par croisement. La formation restreinte souligne également que la combinaison potentielle de toutes ces données accroît les risques engendrés par la divulgation de chaque type de données pris séparément.
51. Compte tenu des caractéristiques du traitement et de la portée de l’obligation de sécurité précisées ci-dessus, il appartient à FRANCE TRAVAIL de mettre en place les mesures techniques et organisationnelles adéquates et proportionnées au regard des exigences de l’article 32 du RGPD. Le niveau de sécurité prévu pour le traitement doit permettre de se prémunir contre ces risques.
2. Sur les mesures mises en place par FRANCE TRAVAIL
(i) Sur des modalités d’authentification aux comptes utilisateurs des conseillers CAP EMPLOI
a. S’agissant des mécanismes de restriction d’accès au compte
52. Lorsque les traitements mis en œuvre entraînent la mise en place d’un mécanisme d’authentification par mots de passe, un mot de passe fort est recommandé tant par l’ANSSI que par la Commission dans sa délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés.
53. Cette recommandation, qui n’a certes pas de caractère impératif fournit un éclairage pertinent sur les mesures qu’il convient de prendre en matière de sécurité. Elle prévoit que pour assurer un niveau de sécurité et de confidentialité suffisant, dans l’hypothèse où l’authentification repose uniquement sur un identifiant et un mot de passe, ce dernier doit soit être composé d'au minimum 12 caractères comprenant des majuscules, des minuscules, des chiffres et des caractères spéciaux à choisir dans une liste d'au moins 37 caractères spéciaux possibles ; soit être d'au minimum 14 caractères comprenant des majuscules, des minuscules et des chiffres, sans caractère spécial obligatoire ; ou encore, lorsqu’il correspond à une phrase fondée sur des mots de la langue française, être composé d’au minimum 7 mots.
54. À défaut, la Commission considère que permet également d’assurer un niveau de sécurité et de confidentialité suffisant une authentification reposant sur un mot de passe d’une longueur minimum de 8 caractères, composé de 3 catégories de caractères différentes, dès lors qu’elle est accompagnée d’une mesure complémentaire telle que la temporisation d’accès au compte après plusieurs échecs (suspension temporaire de l’accès dont la durée augmente à mesure des tentatives), la mise en place d’un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (ex : " captcha ") et/ ou le blocage du compte après plusieurs tentatives d’authentification infructueuses (au maximum 10).
55. La formation restreinte a, à plusieurs reprises, adopté des mesures répressives à l’encontre de responsables de traitement qui prévoyaient des mots de passe de connexion d’une robustesse insuffisante (voir notamment les délibérations n° SAN-2022-020 du 10 novembre 2022, n° SAN-2023-021 du 27 décembre 2023 et n° SAN-2023-023 du 29 décembre 2023).
56. Le rapporteur estime que la politique d’authentification par mot de passe prévue par FRANCE TRAVAIL au moment de la violation, plus spécifiquement le seuil de 50 tentatives d’authentification infructueuses avant de verrouiller l’accès aux machines virtuelles des conseillers CAP EMPLOI, était insuffisamment robuste au regard des recommandations et de l’état de l’art. Le rapporteur considère ce seuil insuffisamment proportionné compte tenu de la volumétrie du traitement ainsi que de la sensibilité des données à caractère personnel traitées, ne permettant ainsi pas d’assurer leur sécurité.
57. FRANCE TRAVAIL considère au contraire que sa politique de mot de passe était conforme aux recommandations de la CNIL en ce qu’elle prévoyait, en plus des critères de longueur et de complexité, un seuil de blocage du compte après 50 tentatives infructueuses de connexion – seuil que FRANCE TRAVAIL estime conforme en l’absence d’une position commune des autorités compétentes de sécurité informatique sur ce point. De plus, FRANCE TRAVAIL indique avoir prévu des mesures complémentaires pour assurer la sécurité des données, telles que des techniques de prévention du " password spraying " (qui consiste à utiliser une sélection de mots de passe faibles ou courants pour tenter d’usurper un compte) ainsi qu’un mécanisme de blocage pérenne du compte, nécessitant l'intervention d'un opérateur pour le débloquer. En tout état de cause, FRANCE TRAVAIL souligne qu’aucun critère de complexité ni seuil de blocage n’aurait pu empêcher les intrusions, puisque les attaquants étaient en possession des mots de passe.
58. En l’espèce, la formation restreinte relève que les constatations réalisées par la délégation de contrôle ont permis d’établir qu’à date de la violation de données, la politique de FRANCE TRAVAIL imposait des mots de passe d’une longueur minimum de 8 caractères, avec au minimum 3 types de caractères différents (majuscule, minuscule, chiffre ou caractère spécial), et renouvellement obligatoire du mot de passe tous les 90 jours.
59. Cette modalité correspond au cas n° 2 prévu par la recommandation de la CNIL, c’est-à-dire un mot de passe permettant d’assurer l’équivalent d’une entropie d’au moins 50 bits (avec un minimum de 8 caractères, dont un minimum de 3 caractères spéciaux). Ainsi cette modalité aurait dû, comme l’indique la même recommandation, s’accompagner d’un mécanisme de restriction d’accès au compte. En l’espèce il était prévu un verrouillage du compte après 50 tentatives infructueuses depuis internet – seuil bien supérieur aux 10 tentatives maximales dans un délai donné recommandées par la CNIL dans sa délibération n° 2022-100 précitée. Aucun autre des mécanismes de restriction listés dans cette recommandation (par exemple un " captcha ") n’avait été mis en place pour compenser ce seuil excessivement élevé.
60. La formation restreinte estime par ailleurs que les mesures complémentaires mises en place, bien que relevant de bonnes pratiques, ne compensent pas la faiblesse liée à l’absence de mécanismes de restriction. D’une part, la prévention du " password spraying " vise à renforcer la garantie d’un mot de passe complexe, alors qu’une telle absence de complexité n’est pas reprochée à FRANCE TRAVAIL. D’autre part, le déblocage manuel d’un compte par un opérateur n’enlève rien au fait que le seuil de 50 tentatives fixé avant le blocage du compte est bien trop élevé pour pouvoir constituer une mesure de protection efficace du compte auquel il est lié.
61. En effet, le fait de permettre aux attaquants de tester 50 mots de passe différents avant de bloquer le compte accroit d’autant le risque qu’une de ses tentatives lui donne accès au compte. Le fait que l’ANSSI ne propose pas, comme le fait la CNIL, de seuil précis pour le nombre de tentatives infructueuses à partir duquel le compte utilisateur devrait être bloqué, ne saurait pour autant conforter FRANCE TRAVAIL dans son choix d’un seuil fixé à 50 tentatives. L’efficience d’un tel mécanisme dépend du nombre de tentatives infructueuses de connexion retenu déclenchant le blocage, un seuil trop élevé pouvant le priver de tout effet utile. Ce seuil doit aussi s’apprécier au regard des risques présentés par le traitement.
62. L’ANSSI a également contribué à la délibération n° 2022-100 du 21 juillet 2022 précitée lors de la consultation publique réalisée par la Commission à cette occasion, y associant ses homologues européens et des experts du domaine. L’ANSSI souligne elle aussi l’importance d’un mécanisme de blocage temporaire " des tentatives d’authentification pendant plusieurs secondes voire minutes (de façon linéaire ou exponentielle) après un certain nombre d’essais infructueux " dans ses " recommandations relatives à l'authentification multi facteurs et aux mots de passe ".
63. Enfin, si la formation restreinte relève que cette vulnérabilité n’a pas été exploitée par les attaquants dans le cadre de la violation de données, il n’en demeure pas moins qu’elle est constitutive d’un manquement à l’obligation de sécurité, qu’il lui appartient de sanctionner.
64. Au regard de la sensibilité, de la volumétrie du traitement, et du risque que fait peser sur celui-ci l’absence de prise en compte des préconisations en matière de robustesse des mots de passe des agents, la formation restreinte considère que les mesures prévues par FRANCE TRAVAIL en lien avec les modalités d’authentification des conseillers CAP EMPLOI ne permettaient pas d’assurer la sécurité des données traitées.
65. FRANCE TRAVAIL indique depuis avoir prévu une évolution de sa politique de mot de passe au premier trimestre 2026, pour imposer l’utilisation d’un mot de passe de 12 caractères, avec au minimum 3 types de caractères différents (majuscule, minuscule, chiffre ou caractère spécial), ainsi qu’un abaissement à 10 du seuil de tentatives de connexion infructueuses en 5 minutes avant blocage du compte.
b. S’agissant de l’absence d’authentification multifacteur pour l’accès aux comptes
66. La Commission souligne dans sa délibération n° 2022-100 précitée que " les acteurs peuvent mettre en œuvre d’autres mesures de sécurité que celles décrites dans cette recommandation s’ils sont en capacité de montrer qu’elles garantissent un niveau de sécurité au moins équivalent " et qu’elle a " notamment toujours considéré que d'autres moyens d’authentification, comme par exemple l'authentification à double facteur ou les certificats électroniques, offrent davantage de sécurité que le seul mot de passe ". Par ailleurs dans son guide pratique sur la sécurité des données personnelles, la CNIL recommande de privilégier l’authentification multifacteur lorsque cela est possible, en particulier lorsque la connexion est accessible depuis l’extérieur du réseau de l’organisme.
67. Le rapporteur considère que FRANCE TRAVAIL n’a pas mis en œuvre de mesures complémentaires à la politique de mots de passe suffisamment robustes permettant d’assurer la sécurité des données traitées. Il estime que cette sécurisation des données aurait dû être assurée – entre autres – par la mise en œuvre d’une authentification multifacteur, mesure dont les AIPD réalisées par FRANCE TRAVAIL prévoyaient la mise en œuvre dès 2023, mais que celui-ci avait finalement repoussée à avril 2024 au regard des difficultés rencontrées.
68. En défense, FRANCE TRAVAIL soutient que le déploiement d’une authentification multifacteur a été retardé par les CAP EMPLOI, sur lesquels repose contractuellement la charge d’assurer " les frais d’investissement et d’exploitation des systèmes d’information, rendus nécessaires pour accéder au système d’information […] ". FRANCE TRAVAIL soutient qu’en vertu du partage des responsabilités, la partie logicielle lui incombe tandis que la partie matérielle (notamment la fourniture de téléphones portables en tant que second terminal pour l’authentification multifacteur) reposait sur les CAP EMPLOI. Ces derniers n’ayant pas été en mesure de disposer d’un second terminal ni de l’enrôler auprès du système d’authentification, puis ayant refusé la solution alternative d’une authentification multifacteur logicielle, FRANCE TRAVAIL soutient qu’il ne peut lui être reproché de ne pas avoir pallié le non-respect des obligations qui n’entraient pas dans le champ de sa responsabilité propre.
69. FRANCE TRAVAIL ajoute que suspendre le traitement ou retarder l’adhésion des CAP EMPLOI tant que ces derniers ne justifiaient pas de conditions d’accès conformes à leurs engagements n’était pas envisageable au regard de la nécessité de permettre l’accompagnement des demandeurs d’emploi bénéficiaires de l’obligation d’emploi. Le risque lié à l’absence d’authentification multifacteur avait été jugé comme seulement théorique en raison des autres mesures fortes de sécurité mises en place. En tout état de cause, FRANCE TRAVAIL souligne qu’une authentification multifacteur n’aurait pas permis de déjouer l’attaque conduite par " ingénierie sociale ".
70. La formation restreinte relève également que dans sa délibération n° 2025-019 du 20 mars 2025 portant adoption d'une recommandation relative à l'authentification multifacteur, la CNIL préconise de recourir à l’authentification multifacteur pour " les traitements de données sensibles, au sens de l’article 9 du RGPD (par exemple le traitement de données de santé), et les traitements ou les opérations à risque pour les personnes concernées " car une telle authentification réduit " significativement la vraisemblance du risque d’accès non autorisés à des systèmes d’information, et a fortiori à des données à caractère personnel ".Bien que récente, cette délibération s’inscrit dans une doctrine antérieurement établie. La nécessité d’une authentification multifacteur avait en effet déjà été soulignée par l’ANSSI en 2021 (recommandations relatives à l'authentification multifacteur et aux mots de passe), par la CNIL en 2022 (délibération n° 2022-100 précitée) et en 2024 (guide sur la sécurité des données personnelles précité). La formation restreinte a également déjà estimé que la mise en place d’une mesure d’authentification multifactorielle aurait été de nature à empêcher une violation de données (CNIL, FR, 19 décembre 2018, Sanction, n° SAN-2018-011, publié). Ainsi cette doctrine est connue des acteurs et s’impose en particulier pour les traitements de données sensibles et les traitements ou les opérations à risque pour les personnes concernées.
71. En l’espèce, la formation restreinte relève que la délégation de contrôle a été informée de l’absence d’une authentification multifacteur pour l’accès aux comptes des utilisateurs CAP EMPLOI, alors même que les risques associés à l’absence d’une telle mesure avaient été identifiés dès les AIPD (" la connexion sur la machine virtuelle pour les conseillers Cap emploi se fait par authentification simple (identifiant et mot de passe unique) : si un attaquant externe pirate le poste d’un conseiller Cap emploi il lui sera facile d’accéder aux données contenues dans la machine virtuelle (et donc sur le SI de Pôle emploi) [FRANCE TRAVAIL] "). Ces mêmes AIPD prévoyaient la mise en œuvre d’une solution d’authentification à deux facteurs pour 2023, ce que la Commission accueillait favorablement dans son avis n° 2022-050 du 21 avril 2022.