AgentPublic/cnil huggingface dataset:
Sur proposition de Mme Marie-Laure Denis, présidente, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
 
Décide : 
Article 1er
 
Le chapitre III de l’annexe à la délibération n° 2013-175 du 4 juillet 2013 est remplacé par les dispositions suivantes :
 
" Chapitre III Formalités préalables
 
La présente section porte sur les formalités préalables, à l’exception des consultations préalables de la Commission en application de l’article 36 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, et de l’article 90 de la loi du 6 janvier 1978.
 
Article 20 Vérification de la régularité des formalités
 
Les services de la Commission vérifient que le dossier de formalités transmis est complet. Tout dossier de formalités incomplet fait l’objet d’une demande de compléments adressée au demandeur par voie postale ou électronique, indiquant les documents ou informations manquants et exigés par la réglementation.
 
Les demandes de complément peuvent fixer un délai pour la production de documents ou informations requis. En l’absence de réponse, le dossier peut être clôturé.
 
En cas d’erreur sur le régime de formalités appliqué par le responsable de traitement, celui-ci est invité à accomplir la formalité requise.
 
Conformément à l’article L. 114-5 du code des relations entre le public et l’administration, les délais ne courent qu’à partir du moment où le dossier est complet.
Concernant les traitements autorisés par un acte réglementaire unique prévus au IV de l’article 31 de la loi du 6 janvier 1978, le responsable de traitement adresse à la Commission un engagement de conformité pour chacun de ses traitements couverts par l’acte réglementaire unique. L’engagement de conformité peut être accompagné de pièces complémentaires si nécessaire. Si le dossier est complet, les services de la Commission envoient au responsable un récépissé.
 
Concernant les déclarations de conformité aux référentiels visées à l’article 66 de la loi du 6 janvier 1978, un récépissé de dépôt de la déclaration est adressé au demandeur.
 
Article 21 Modalités d’instruction
 
Les services de la Commission instruisent les dossiers de formalités préalables. Dans le cadre de l’instruction d’un dossier, le président, le rapporteur ou les services peuvent adresser une demande de compléments d’informations, demander communication de toutes pièces utiles et entendre toute personne susceptible de fournir les informations nécessaires.
 
En cas d’absence de réponse ou si les réponses apportées ne sont pas satisfaisantes, la Commission peut être amenée à refuser la mise en œuvre du traitement, le cas échéant.
 
Article 22 Modification ou suppression d’un traitement
Toute suppression de traitement nécessitant des formalités préalables, à l’exception des consultations préalables de la Commission en application de l’article 36 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, et de l’article 90 de la loi du 6 janvier 1978, est portée à la connaissance de la Commission par écrit, y compris par voie électronique, avec la mention de son numéro d’enregistrement ; la Commission adresse alors au responsable de traitement un récépissé de suppression.
 
Les modifications de traitement sont portées à la connaissance de la Commission dans les mêmes conditions. Lorsque la Commission considère qu’un traitement relevant de la procédure de demande d’avis ou d’autorisation est affecté par une modification substantielle, le traitement ainsi modifié est de nouveau soumis aux formalités applicables."
Article 2
 
L’article 79 du chapitre XIII de l’annexe à la délibération n° 2013-175 du 4 juillet 2013, est complété par un alinéa ainsi rédigé :
 
"Une séance de la formation plénière de la commission correspond à une demi-journée indemnisée. Lorsque la formation plénière se réunit une journée entière à l’occasion d’une double-séance, la participation effective des membres de la commission donne lieu au versement de deux demi-journées indemnisées"
Article 3
L’article 23 de la charte visée à l’article préliminaire de l'annexe à la délibération n° 2013-175 du 4 juillet 2013 et annexée au règlement intérieur de la commission est abrogé et remplacé par les dispositions suivantes :
 
"Article 23
Protection des lanceurs d’alerte
La commission assure la protection des agents qui signalent ou divulguent, sans contrepartie financière directe et de bonne foi, des informations dont ils estiment qu’elles entrent dans le champ d’application de l’alerte au sens des dispositions légales applicables. Aucun agent ne peut faire l’objet de mesures de représailles pour avoir signalé une alerte dans les conditions prévues par lesdites dispositions, y compris lorsque les faits signalés s’avèrent inexacts ou ne donnent lieu à aucune suite.
 
Aucune mesure de nature professionnelle, au sens des dispositions légales, ne peut être prise à l'égard d'un agent de la commission pour avoir signalé ou témoigné, de bonne foi, aux autorités judiciaires ou administratives de faits constitutifs d'un délit, d'un crime ou susceptibles d'être qualifiés de conflit d'intérêts dont il aurait eu connaissance dans l'exercice de ses fonctions.
Une procédure, mise à disposition de tous les agents de la commission, prévoit les modalités de recueil et de traitement de ces signalements, dans le respect des dispositions légales applicables. Elle précise notamment le rôle du référent déontologue dans la procédure de signalement et les conditions dans lesquelles est garantie la stricte confidentialité de l’auteur du signalement, des faits signalés et des personnes visées par le signalement."
 
Article 4
La présidente et le secrétaire général de la Commission nationale de l'informatique et des libertés sont chargés, chacun en ce qui le concerne, de l'exécution de la présente décision, qui sera publiée au Journal officiel de la République française
 
La Présidente,
 
 
M.-L. Denis
Les développements de la délibération comportant des données à caractère personnel ou des secrets protégés par la loi sont remplacés par le signe […]
****
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, MM. Didier KLING et Bertrand DU MARAIS, membres,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n°2019-536 du 29 mai 2019 pris pour l'application de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ;
Vu la décision n° 2024-051C du 13 mars 2024 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 3 juillet 2025 ;
Vu le rapport de M. Fabien TARISSAN, commissaire rapporteur, notifié à FRANCE TRAVAIL le 24 juillet 2025 ;
Vu les observations écrites de FRANCE TRAVAIL reçues le 22 septembre 2025 ;
Vu la réponse du rapporteur notifiée à la FRANCE TRAVAIL le 22 octobre 2025 ;
Vu les observations écrites de FRANCE TRAVAIL reçues le 21 novembre 2025 ;
Vu la clôture de l’instruction notifiée à FRANCE TRAVAIL le 2 décembre 2025 ;
Vu la demande de huis-clos formulée le 11 décembre 2025 et refusée le 12 décembre 2025 ;
Vu les observations orales formulées lors de la séance de la formation restreinte du 18 décembre 2025 ;
Vu les autres pièces du dossier,
Étaient présents, lors de la séance de la formation restreinte :
- M. Fabien TARISSAN, commissaire, entendu en son rapport ;
En qualité de représentants de FRANCE TRAVAIL :
- […]
En qualité de commissaire du Gouvernement :
- Monsieur Damien MILIC.
L’opérateur FRANCE TRAVAIL ayant été informé de son droit de garder le silence sur les faits qui lui étaient reprochés et ayant eu la parole en dernier ;
Après en avoir délibéré, a adopté la décision suivante :
I. Faits et procédure
A. Présentation de l’opérateur FRANCE TRAVAIL et du traitement mis en œuvre
1. L’opérateur FRANCE TRAVAIL (ci-après, "l’opérateur" ou "l’organisme") sis Le Cinetic 1-5, 1 avenue du Docteur Gley à Paris (75020), est un établissement public administratif placé sous la tutelle du Ministère chargé de l’emploi. FRANCE TRAVAIL est doté de l’autonomie financière.
2. Les missions de FRANCE TRAVAIL sont définies à l’article L. 5312-1 du code du travail. L’opérateur assure notamment des missions d’indemnisation et d’accompagnement des demandeurs vers le retour à l’emploi, ainsi que de conseil aux entreprises dans leurs recrutements. L’opérateur a également pour mission de proposer un accompagnement adapté aux besoins des personnes ayant fait l’objet d’une décision de reconnaissance de la qualité de travailleur handicapé et bénéficiaires de l’obligation d’emploi.
3. FRANCE TRAVAIL assure cette dernière mission en lien avec les CAP EMPLOI, qui sont des organismes de placement spécialisés mentionnés à l'article L. 5214-3-1 du code du travail. Il existe 98 structures CAP EMPLOI en France, qui sont représentées auprès des pouvoirs publics, des décideurs économiques et des partenaires sociaux par le Conseil national handicap et emploi des organismes de placement spécialisés (CHEOPS). Les structures CAP EMPLOI sont autonomes et généralement créées sous forme associative, indépendantes de FRANCE TRAVAIL. Elles accompagnent environ 20 % des personnes en situation de handicap inscrites auprès de FRANCE TRAVAIL.
4. Depuis 2018, afin de pallier le morcellement de l’accompagnement, une offre de services unifiée permet aux demandeurs d’emploi ayant fait l’objet d’une décision de reconnaissance de la qualité de travailleur handicapé et bénéficiaires de l’obligation d’emploi d’être accompagnés au sein des agences de FRANCE TRAVAIL, que leur conseiller référent soit un conseiller FRANCE TRAVAIL ou un conseiller CAP EMPLOI.
5. Afin de permettre cette offre de service intégrée, un " traitement de données de santé nécessaires à l’accompagnement adapté des demandeurs d’emploi en situation de handicap " a été créé par le décret n° 2022-1161 du 16 août 2022 (articles D. 5312-50 à D. 5312-54 du code du travail). Ce décret autorise l’intégration de l’accompagnement par CAP EMPLOI au système d’information de FRANCE TRAVAIL. La Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a rendu un avis sur ce traitement dans sa délibération n° 2022-050 du 21 avril 2022 (non publique).
6. Le traitement autorise à ce titre l’intégration au système d’information préexistant de FRANCE TRAVAIL (article R. 5312-38 du code du travail) de données permettant à l'opérateur FRANCE TRAVAIL et aux organismes CAP EMPLOI d’assurer les missions listées à l’article D. 5312-50 du même code. L’article D. 5312-51 du code du travail prévoit une co-responsabilité de traitement entre l'opérateur FRANCE TRAVAIL et les organismes de placement spécialisés (représentés par le CHEOPS).
7. Les données traitées dans ce cadre et enregistrées dans le système d’information de FRANCE TRAVAIL concernent : le type de handicap, l’origine du handicap, le besoin lié à la compensation du handicap, le besoin lié au rétablissement de la personne, les limitations de capacités et le titre justifiant du bénéfice de l'obligation d'emploi (article D. 5312-51 du code du travail).
8. Elles sont ensuite intégrées à l’application métier de FRANCE TRAVAIL nommée […]. Les utilisateurs habilités des CAP EMPLOI peuvent se connecter à cet outil, […] depuis un navigateur web. Environ 2 300 salariés des structures CAP EMPLOI disposent d’un tel accès.
9. L’outil […] dispose d’une fonctionnalité […] qui permet de réaliser une recherche, selon différents critères, parmi l’ensemble des personnes présentes dans la base de données de FRANCE TRAVAIL […]. La recherche peut être effectuée au sein de la région de l’agent connecté, mais également d’autres régions sans limitation géographique.
B. La notification de violation de données à caractère personnel
10. Le jeudi 29 février 2024, une activité anormale a été détectée sur le système de mesure de performances du système d’information de FRANCE TRAVAIL, entraînant une indisponibilité partielle du service et une forte consommation en ressources. L’alerte a été constatée et prise en compte le lundi 4 mars 2024 en fin de journée, puis a donné lieu à des investigations le mardi 5 mars 2024.
11. Les investigations menées par FRANCE TRAVAIL ont permis d’établir une intrusion sur son système d’information. L’attaque, qui s’est étendue du mardi 6 février au mardi 5 mars 2024, a ciblé spécifiquement des comptes de salariés CAP EMPLOI.
12. L’attaque a été menée par des techniques dites " d’ingénierie sociale ", c’est-à-dire selon des techniques consistant à obtenir un bien ou une information, en exploitant la confiance, l’ignorance ou la crédulité de tierces personnes (définition de l’Agence nationale de la sécurité des systèmes d’information (ANSSI)). En effet, après avoir réussi à récupérer les données nécessaires à la réinitialisation du mot de passe d’un compte de conseiller CAP EMPLOI, les attaquants ont fait une demande de réinitialisation auprès du prestataire du support informatique en se faisant passer pour des employés CAP EMPLOI et ont ainsi pu usurper les comptes. Les attaquants ont ensuite contacté les conseillers CAP EMPLOI dont ils avaient usurpé le compte en se faisant passer pour le support informatique afin de leur communiquer leur nouveau mot de passe. […].
13. Les investigations menées ont révélé que les attaquants ont accédé aux données de […] (nom d’usage, nom de naissance, prénom, sexe, date de naissance, NIR, adresse, code postal, numéro de téléphone, adresse électronique, adresse géographique (région d’appartenance), référence individuelle, statut de demandeur d’emploi (inscrit, radié ou identifié), date de début et de fin d’inscription) […].
14. FRANCE TRAVAIL a précisé que les attaquants ont exfiltré de cette manière 25 giga octets (Go) de données concernant 36 820 828 personnes vers des plateformes d’hébergement externes. Cela correspond aux données non seulement des personnes inscrites auprès de FRANCE TRAVAIL au cours des 20 dernières années, mais également de celles non inscrites sur la liste des demandeurs d’emploi mais possédant un espace candidat sur le site web " francetravail.fr ", qui permet par exemple de consulter les offres d’emploi.
15. Le 8 mars 2024, FRANCE TRAVAIL a procédé à une notification de violation de données auprès de la CNIL, complétée le 15 mai 2024.
16. En application de la décision n° 2024-051C du 13 mars 2024 de la présidente de la Commission, une délégation de la CNIL a effectué une mission de contrôle sur place de l’opérateur FRANCE TRAVAIL afin de vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi " du 6 janvier 1978 modifiée " ou " la loi Informatique et Libertés ") et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 sur la protection des données (ci-après " le RGPD " ou " le Règlement ").
17. Ce contrôle sur place a donné lieu à un procès-verbal n° 2024-051/1 du 21 mars 2024.
18. Les 2 avril et 15 mai 2024, FRANCE TRAVAIL a fourni des éléments complémentaires sollicités par la délégation lors du contrôle sur place et durant les investigations.
19. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 3 juillet 2025, désigné M. Fabien TARISSAN en qualité de rapporteur sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.
20. Le 24 juillet 2025, à l’issue de son instruction, le rapporteur a fait notifier à l’organisme un rapport aux termes duquel il estimait que FRANCE TRAVAIL avait commis un manquement à l’article 32 du RGPD et proposait à la formation restreinte de prononcer à son encontre une amende administrative, ainsi qu’une injonction de mettre ses traitements en conformité avec les dispositions susvisées, assortie d’une astreinte. Il proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément l’organisme à l’expiration d’un délai de deux ans à compter de sa publication.
21. Le 22 septembre 2025, FRANCE TRAVAIL a produit des observations en réponse au rapport.
22. Le 22 octobre 2025, la réponse du rapporteur a été notifiée à FRANCE TRAVAIL.
23. Le 21 novembre 2025, FRANCE TRAVAIL a adressé de nouvelles observations en réponse.
24. Par courrier du 2 décembre 2025, le rapporteur a, en application de l’article 40, III, du décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi Informatique et Libertés, informé l’organisme que l’instruction était close.
25. Par courrier du 2 décembre 2025, l’opérateur FRANCE TRAVAIL a été informé que le dossier était inscrit à l’ordre du jour de la séance de la formation restreinte du 18 décembre 2025.
26. Le 12 décembre 2025, le président de la formation restreinte a refusé la demande de huis-clos formée par FRANCE TRAVAIL dans son courrier du 11 décembre 2025. Il a rappelé que la procédure devant la formation restreinte étant écrite et que si l’organisme ne souhaitait pas dévoiler devant des tiers des éléments susceptibles de lui porter préjudice, elle pouvait, lors de la séance, renvoyer à ses observations écrites. Il a également ajouté que les risques d’atteintes à l’intégrité du système d’information et aux agents de FRANCE TRAVAIL n’étaient pas étayées en l’état.
27. Le 18 décembre 2025, le rapporteur et l’organisme ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur la responsabilité de FRANCE TRAVAIL vis-à-vis du traitement en cause
28. Aux termes de l’article 4, alinéa 7 du RGPD, le responsable de traitement est " la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou par le droit d'un État membre ".
29. L’article 26 du RGPD dispose que " lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement. Les responsables conjoints du traitement définissent de manière transparente leurs obligations respectives aux fins d'assurer le respect des exigences du présent règlement […] ".
30. Les lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, adoptées par le CEPD le 7 juillet 2021 indiquent que " l’existence d’une responsabilité conjointe ne se traduit pas nécessairement par une responsabilité équivalente des différents opérateurs concernés par un traitement de données à caractère personnel. Au contraire, la CJUE a précisé que ces opérateurs peuvent être impliqués à différents stades de ce traitement et selon différents degrés, de telle sorte que le niveau de responsabilité de chacun d’entre eux doit être évalué en tenant compte de toutes les circonstances pertinentes du cas d’espèce ".
31. Le rapporteur considère que FRANCE TRAVAIL est responsable de la mise en œuvre des mesures techniques et organisationnelles appropriées pour son système d’information, y compris lorsque celui-ci est mis à disposition de ses co-responsables de traitement les CAP EMPLOI (représentés par le CHEOPS). Il estime que les CAP EMPLOI ont pour leur part la responsabilité de respecter les règles imposées par FRANCE TRAVAIL pour l’accès à ce système d’information.
32. FRANCE TRAVAIL conteste avoir la responsabilité exclusive de la mise en œuvre de ces mesures techniques et organisationnelles et soutient que les CAP EMPLOI jouent nécessairement un rôle en leur qualité de co-responsables du traitement. L’opérateur ajoute que le périmètre de la responsabilité conjointe a clairement été défini dans les différents documents contractuels, dont il ressort que les CAP EMPLOI ont été chargés des mesures qui se trouvent dans leur environnement et qui leur permettent d’accéder au système d’information de FRANCE TRAVAIL.
33. À titre liminaire, la formation restreinte relève que la co-responsabilité de traitement entre l’opérateur FRANCE TRAVAIL et les organismes de placement spécialisés (CAP EMPLOI) est prévue par l’article D. 5312-51 du code du travail.
34. Elle relève également que tant les lignes directrices 07/2020 précitées, que la Cour de justice de l’Union européenne (ci-après la " CJUE "), ont estimé qu’une co-responsabilité ne se traduit pas nécessairement par une responsabilité équivalente. Le niveau de responsabilité de chacune des parties doit être évalué en tenant compte des circonstances pertinentes du cas d’espèce (CJUE, 7 mars 2024, " IAB Europe c. Gegevensbeschermingsautoriteit ", C-604/22, point 58).
35. En l’espèce, la formation restreinte rappelle que le traitement en cause est un traitement préexistant de FRANCE TRAVAIL, auquel le décret n° 2022-1161 du 16 août 2022 a autorisé l’intégration de données pour l’accompagnement des demandeurs d’emploi bénéficiaires de l’obligation d’emploi. Pour pouvoir assurer cet accompagnement, les conseillers CAP EMPLOI se connectent à distance, […], à l’applicatif métier […] du système d’information de FRANCE TRAVAIL.
36. La formation restreinte relève que les CAP EMPLOI signent une demande d’adhésion permettant de formaliser, en complément de la convention de responsabilité conjointe de traitement, les conditions de cet accès. Par cette adhésion, les CAP EMPLOI manifestent " leur accord sur les caractéristiques du système d’information commun " et s’engagent à respecter, diffuser et appliquer les consignes communiquées par FRANCE TRAVAIL relatives à la protection des données à caractère personnel et à la sécurité de son système d’information.
37. En plus de ces engagements, les CAP EMPLOI offrent à FRANCE TRAVAIL un appui dans le contrôle du respect de ces règles, notamment en " facilitant la réalisation des audits de sécurité des postes de travail des Cap emploi et en informant Pôle emploi [FRANCE TRAVAIL] des difficultés rencontrées par les Cap emploi ".
38. Ensuite, la formation restreinte observe que FRANCE TRAVAIL s’engage à " mettre en œuvre les mesures de sécurité technique pour les outils mis à disposition des salariés Cap emploi " et s’assure du bon respect des règles liées aux habilitations, à la minimisation, et à la conformité au droit de la protection des données à caractère personnel. De manière plus générale, FRANCE TRAVAIL s’assure que le niveau de sécurité de l’environnement de travail des CAP EMPLOI est suffisamment élevé, ce que l’opérateur se réserve le droit de vérifier par des audits. La formation restreinte relève qu’en cas de non-conformités des environnements de travail des CAP EMPLOI, l’opérateur FRANCE TRAVAIL peut formuler des préconisations, voire ordonner la déconnexion des environnements jugés insuffisamment sécurisés en cas de persistance de ces non-conformités.