AgentPublic/cnil huggingface dataset:
118. Au regard de l’ensemble de ces éléments, la formation restreinte considère que les conditions du prononcé d’une amende sont remplies.
2. Sur la prise en compte des critères pertinents pour le prononcé d’une amende
119. FRANCE TRAVAIL fait valoir que l’amende administrative proposée par le rapporteur est manifestement disproportionnée au regard des critères de l’article 83 du RGPD. Tout d’abord, l’organisme conteste la gravité du manquement, estimant que le rapporteur l’apprécie comme si FRANCE TRAVAIL était auteur de la violation et non victime, amplifiant par conséquent la gravité attribuée à ce manquement. Ensuite, FRANCE TRAVAIL soutient avoir déployé des mesures de sécurité fortes, particulièrement sur la partie du traitement comportant des données sensibles, et en tout état de cause sur celle du traitement conjoint sous sa responsabilité. Enfin, FRANCE TRAVAIL soutient que la négligence qui lui est imputée – par opposition au caractère délibéré – devrait alléger sa responsabilité plutôt que de l’alourdir.
120. En premier lieu, la formation restreinte considère qu’il y a lieu de faire application du critère prévu à l’article 83, paragraphe 2, a) du RGPD relatif à la nature, à la gravité et à la durée de la violation, compte tenu de la nature, de la portée ou de la finalité des traitements concernés ainsi que du nombre de personnes concernées.
121. La formation restreinte rappelle que la circonstance que des attaquants aient porté atteinte au système d’information de France TRAVAIL est sans incidence sur son obligation de sécurité de moyens résultant de l’article 32 du RGPD. Elle considère que le manquement constaté est grave et que la méconnaissance des principes de sécurité par FRANCE TRAVAIL a fait courir un risque pour la sécurité des données à caractère personnel des millions de personnes concernées.
122. S’ajoute, s’agissant de l’appréciation de la gravité du manquement, le fait que le traitement concerne en partie des personnes vulnérables au sens des Lignes directrices concernant l’analyse d’impact relative à la protection des données (AIPD) et la manière de déterminer si le traitement est " susceptible d’engendrer un risque élevé " aux fins du règlement (UE) 2016/679.
123. La formation restreinte rappelle en outre que la violation de données a concerné les personnes inscrites au cours des 20 dernières années (durées prévues par l’article R. 3212-44 du code du travail, dans sa version en vigueur au moment du contrôle ; qui a depuis été modifié pour réduire et affiner les durées de conservation selon les finalités), ainsi que les données de personnes non inscrites sur la liste des demandeurs d’emploi mais possédant un espace candidat sur le site web " francetravail.fr " (qui permet notamment de consulter les offres d’emploi) – soit au total plus de 36,8 millions de personnes. Elle souligne également de nouveau la richesse des données traitées dans […] auxquelles les attaquants ont eu accès, ainsi que des nombreuses autres données traitées par FRANCE TRAVAIL (dont des données de santé, et des données relatives au handicap), ce qui accentue à la fois l’atteinte à la vie privée des personnes concernées et les risques qui résultent pour elles de la violation.
124. En deuxième lieu, la formation restreinte estime qu’il convient de tenir compte du critère prévu à l’article 83, paragraphe 2, b) du RGPD, relatif au fait que la violation ait été commise délibérément ou par négligence.
125. La formation restreinte relève que si la doctrine requiert la caractérisation d’une " violation fautive " pour imposer une amende administrative, cette notion recouvre une violation commise délibérément mais aussi celles commises par négligence et implique que " le responsable du traitement ne pouvait ignorer le caractère infractionnel de son comportement, qu’il ait eu ou non conscience d’enfreindre les dispositions du RGPD " (CJUE, " Nacionalinis visuomenės " précité, point 81).
126. La formation restreinte considère que le manquement résulte d’une négligence grave de la part de FRANCE TRAVAIL, qui a omis de prendre en compte l’état de l’art, la doctrine constante de la CNIL et de l’ANSSI, ainsi que les recommandations qui lui avaient été faites. Elle ajoute que les vulnérabilités étaient connues et identifiées par FRANCE TRAVAIL dès la mise en œuvre du traitement, les AIPD ayant listé les risques exacts qui se sont matérialisés plus de deux ans après le début de la mise en œuvre du traitement et lors de la violation de données. La Commission avait en outre attiré son attention sur ces enjeux dans sa délibération n° 2022-050 du 21 avril 2022.
127. En troisième lieu, la formation restreinte considère qu’il y a lieu de tenir compte, en application de l’article 83, paragraphe 2, d) du RGPD, du degré de responsabilité du responsable de traitement, compte tenu des mesures techniques et organisationnelles qu'il a mises en œuvre en vertu des articles 25 et 32 du RGPD.
128. Or, comme démontré s’agissant de la responsabilité de FRANCE TRAVAIL vis-à-vis du traitement en cause (II.A.) et sur l’absence d’authentification multifacteur pour l’accès aux comptes des CAP EMPLOI (II.B.2-(i)-b)), la formation restreinte estime que FRANCE TRAVAIL ne saurait se défaire de ses responsabilités de mise en œuvre de mesures techniques et organisationnelles adaptées pour son système d’information.
129. En quatrième lieu, la formation restreinte entend tenir compte des catégories de données à caractère personnel concernées par le manquement, en application de l’article 83, paragraphe 2, g) du RGPD.
130. La formation restreinte rappelle que le traitement en cause comporte des données relatives à la santé, et notamment au handicap, qui sont des catégories particulières de données au sens de l’article 9 du RGPD, dites données sensibles (voir paragraphes 4 à 9). La formation restreinte souligne que bien que les dossiers complets des personnes, comportant les données de santé et les données relatives au handicap, n’aient pas été compromis, il n’en demeure pas moins que les lacunes en termes de sécurité ont mis en évidence un risque certain sur la confidentialité de ces données " sensibles ".
131. Enfin, c’est également le cumul de toutes les données traitées qui permet de fournir des indications précises et complètes sur la vie privée des personnes concernées. En l’espèce la formation restreinte rappelle que la violation a concerné des données permettant d’identifier avec précision la personne à laquelle elles se rapportent (nom d’usage, nom de naissance, prénom, sexe, date de naissance, NIR, adresse, code postal, numéro de téléphone, adresse électronique, adresse géographique (région d’appartenance), référence individuelle, statut de demandeur d’emploi (inscrit, radié ou identifié), date de début et de fin d’inscription). Certaines données comme le NIR font l’objet d’une protection particulière et sont susceptibles de permettre des actions frauduleuses, au préjudice notamment des personnes concernées.
132. Au regard de l’ensemble de ces éléments, la formation restreinte considère que le prononcé d’une amende est justifié.
3. Sur le montant de l’amende
133. En défense, FRANCE TRAVAIL soutient que l’amende proposée est démesurée pour un établissement public administratif qui œuvre à l’intérêt général, qu’elle pèserait lourdement sur son budget et donc également sur les moyens affectés à la conformité des traitements, et qu’elle serait beaucoup plus stricte que des amendes prononcées par la formation restreinte à l’encontre de sociétés qui réalisent des bénéfices.
134. Par ailleurs FRANCE TRAVAIL soutient que le principe de légalité des délits et des peines impose une transparence des modalités de calcul de l’amende proposée à son encontre, afin de pouvoir préparer utilement sa défense. En l’espèce, le rapporteur n’a pas détaillé la méthode de calcul utilisée, que FRANCE TRAVAIL estime erronée en ce qu’elle ne prend pas en compte la spécificité du fonctionnement économique d’un établissement public administratif. FRANCE TRAVAIL souligne à ce titre que son budget n’est pas comparable à un chiffre d’affaires et que son budget repose uniquement sur des dotations publiques.
135. La formation restreinte rappelle tout d’abord que l’article 83 du RGPD prévoit, pour un responsable de traitement qui n’est pas une entreprise, une amende administrative pouvant s’élever jusqu’à dix millions (10 000 000) d’euros en cas de manquement à l’article 32 du RGPD. Elle rappelle que les amendes administratives doivent être dissuasives et proportionnées.
136. La formation restreinte rappelle également que l’exigence de motivation d’une sanction administrative n’impose ni à la formation restreinte, ni au rapporteur de se prononcer sur l’ensemble des critères prévus à l’article 83 du RGPD, et qu’elle n’implique pas non plus que soient indiqués les éléments chiffrés relatifs au mode de détermination du montant de la sanction proposée ou prononcée (CE, 10e/9e, 19 juin 2020, n° 430810 ; CE, 10e/9e, 14 mai 2024, n° 472221).
137. S’agissant de la comparaison avec des amendes prononcées dans d’autres procédures, FRANCE TRAVAIL ne peut utilement comparer sa situation à celles d’autres organismes ayant été sanctionnés pour des manquements prétendument similaires, dans la mesure où le montant d’une amende doit être déterminé au cas par cas. Le Conseil d’État a en ce sens considéré que " la circonstance que des amendes d'un montant plus faible, en proportion de leur chiffre d'affaires mondial, auraient été prononcées par la formation restreinte de la CNIL à l'encontre d'autres sociétés est sans incidence sur la proportionnalité de la sanction infligée à la société requérante " (CE, 10ème et 9ème chambre réunie, 14 mai 2024, société VOODOO, n° 472221).
138. Dès lors, tout en tenant compte des spécificités de FRANCE TRAVAIL en sa qualité d’établissement public administratif, la formation restreinte estime, au regard de la responsabilité de cet opérateur, de ses capacités financières et des critères pertinents de l’article 83, paragraphe 2 du RGPD évoqués ci-avant, qu’une amende administrative d’un montant de cinq millions d’euros (5 000 000 €) euros, au regard du manquement constitué à l’article 32 du RGPD apparaît justifiée.
B. Sur le prononcé d’une injonction
139. Le rapporteur avait initialement sollicité le prononcé d’une injonction de prévoir une politique d’habilitations stricte et reflétant les besoins métiers des conseillers des structures CAP EMPLOI. L’opérateur FRANCE TRAVAIL ayant fait part d’une modification de sa politique d’habilitation, le rapporteur a abandonné la demande d’injonction dans ses écritures du 22 octobre 2025.
140. FRANCE TRAVAIL demande à la formation restreinte, plutôt que de prononcer une amende administrative, de lui enjoindre d’allouer une certaine somme à la sécurisation de son système d’information.
141. La formation restreinte rappelle que l’injonction et l’amende ont des objets différents. Si l’amende administrative est prononcée pour sanctionner des manquements, qui peuvent être passés, l’injonction a vocation à ce que le responsable de traitement cesse la pratique constatée. Par ailleurs la formation restreinte souligne qu’il ne lui appartient pas de flécher les attributions budgétaires de l’organisme.
142. La formation restreinte note également que FRANCE TRAVAIL indique avoir apporté des correctifs sur l’ensemble des vulnérabilités identifiées à la suite de la violation de données et que le rapporteur a abandonné sa demande d’injonction. Cependant elle note qu’aucun document justificatif n’a été transmis à l’appui des déclarations de FRANCE TRAVAIL. Par conséquent, la formation restreinte estime nécessaire le prononcé d’une injonction afin de s’assurer de la mise en œuvre effective des mesures correctrices par FRANCE TRAVAIL.
143. En ce qui concerne les modalités de l’injonction avec astreinte, la formation restreinte relève qu’afin de conserver à l’astreinte sa fonction comminatoire, son montant doit être à la fois proportionné à la gravité des manquements commis et adapté aux capacités financières du responsable de traitement.
144. Au regard de ces éléments, la formation restreinte considère comme justifié le prononcé d’une astreinte d’un montant de cinq mille euros (5 000 €) par jour de retard et liquidable à l’issue d’un délai d’un (1) mois suivant la notification de la présente délibération, pour les mesures que FRANCE TRAVAIL indique avoir déjà mises en œuvre, et […].
C. Sur la publicité de la sanction
145. L’opérateur FRANCE TRAVAIL conteste la proposition du rapporteur de rendre publique la présente délibération, soulignant que des mesures de remédiation ont été mises en place immédiatement après la violation et avant même l’intervention de la CNIL, qu’aucune malveillance ni acte volontaire n’a entaché son action, et que les manquements relèvent d’un environnement qui n’était pas sous son seul contrôle. FRANCE TRAVAIL ajoute que les personnes concernées ont déjà été informées de la violation de données, et qu’une telle publicité pourrait aggraver les relations que subissent déjà ses conseillers de la part des usagers.
146. La formation restreinte estime qu’il n’est pas fait grief à FRANCE TRAVAIL de ne pas avoir informé les personnes concernées de la violation de données, et qu’indépendamment de cette information, la publicité est justifiée par la gravité du manquement en cause, la nature du responsable de traitement, les missions d’intérêt public qui lui sont confiées, la sensibilité des données traitées, le nombre très important de personnes concernées et l’absence de choix pour ces dernières de soumettre leurs données à caractère personnel à FRANCE TRAVAIL.
147. S’agissant de l’impact de cette publicité sur les comportements des usagers vis-à-vis des conseillers FRANCE TRAVAIL, la formation restreinte considère que bien d’autres paramètres étrangers à celle-ci interviennent dans la caractérisation de ces relations.
148. La formation restreinte estime que cette mesure apparait proportionnée dès lors que la décision n’identifiera plus nommément l’organisme à l’issue d’un délai de deux ans à compter de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré :
- prononce à l’encontre de FRANCE TRAVAIL, une amende administrative d’un montant de cinq millions d’euros (5 000 000 €) au regard du manquement constitué à l’article 32 du RGPD ;
- prononce à l’encontre de FRANCE TRAVAIL une injonction de justifier de la mise en œuvre des mesures de mise en conformité à l’article 32 du RGPD :
1. s’agissant de la robustesse des mots de passe, justifier de la mise en conformité par la mise en œuvre d’une politique de mots de passe prévoyant des mécanismes de restriction d’accès au compte ;
2. s’agissant des modalités d’authentification aux comptes utilisateurs des conseillers CAP EMPLOI, justifier de la mise en conformité par la mise en œuvre d’une authentification multifacteur ;
3. s’agissant du suivi des journaux d’activité de l’outil MAP, justifier de la mise en conformité par les nouvelles mesures mises en places ;
4. s’agissant de la gestion des habilitations d’accès aux données à caractère personnel, justifier de la mise en conformité par les restrictions d’accès aux données.
- assortit l’injonction d’une astreinte de cinq mille euros (5 000 €) par jour de retard à l’issue d’un délai
o d’un mois suivant la notification de la présente délibération, pour les mesures indiquées comme déjà mises en œuvre par FRANCE TRAVAIL […]
o […]
les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ;
- décide de rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément FRANCE TRAVAIL à l’expiration d’un délai de deux ans à compter de sa publication.
Le Président
Philippe-Pierre CABOURDIN
Cette décision peut faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
(Demande d’autorisation n° 2235345v1)
La Commission nationale de l'informatique et des libertés,
Saisie le 9 octobre 2025 par la société HEVA d’une demande de modification d’une autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un entrepôt de données de santé, dénommé FREiA ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 66, 72 et suivants ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie Zins, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Créée en 2005, la société Heva est un bureau d’études qui réalise des recherches dans le domaine de la santé notamment à partir des données du Système national des données de santé (SNDS), pour son propre compte ou celui de ses clients.
 
En novembre 2024, la société HEVA a été autorisée à constituer un entrepôt de données de santé (délibération n° 2024-087) dénommé FREiA .
Modifications
HEVA souhaite apporter des modifications substantielles au traitement FREiA  s’agissant des modalités d’hébergement des données.
Sur les mesures de sécurité
L’entrepôt FREiA a fait l’objet d’une homologation, intégrant sa nouvelle architecture d’hébergement, prononcée le 6 octobre 2025 pour une durée de trois ans.
 
Des mesures spécifiques de cloisonnement reposant sur des mécanismes de chiffrement des données et de maîtrise technique des clés, soutenus par une procédure formalisée de gestion des secrets (sécurisation du stockage et de l’utilisation des clés, gestion des rôles et habilitations d’accès aux clés, authentification des utilisateurs et des comptes de service) sont mises en œuvre.
 
Les mesures de sécurité décrites dans le dossier sont de nature à répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Le responsable de traitement doit procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.
 
Les autres conditions de mise en œuvre de l’entrepôt demeurent inchangées.
Autorise, conformément à la présente délibération, la société HEVA à mettre en œuvre le traitement pendant une durée de deux ans à compter de la mise à disposition des données.
La présidente,
 
 
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (notamment ses articles 40, 41 et 57) ;
Vu la délibération n° 2020-050 du 30 avril 2020 portant adoption d’un référentiel relatif à l’agrément des organismes chargés de contrôler le respect des codes de conduite ;
Vu la délibération n° 2024-064 portant approbation du code de conduite européen porté par l’EUCROF (European Contract Research Organizations Federation) ;
Sur la proposition de Madame Anne Debet, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
 
Formule les observations suivantes :
L’article 41 du règlement général relatif à la protection des données (RGPD) prévoit que l’organisme chargé de contrôler le respect d’un code de conduite par les responsables de traitements ou les sous-traitants qui y adhèrent doit être agréé par l’autorité de contrôle compétente au titre de l’article 57.1 (q) du RGPD.
Le code de conduite européen porté par l’EUCROF (European Contract Research Organizations Federation) a été approuvé par la CNIL le 12 septembre 2024. Il identifie la CNIL comme autorité de contrôle compétente conformément aux dispositions de l’article 40.5 du RGPD. En conséquence, la CNIL est compétente pour l’instruction et la délivrance de l’agrément aux organismes de contrôle désignés le cas échéant par le code de conduite porté par l’EUCROF.
Ce code de conduite a désigné en tant qu’organisme de contrôle le Comité de surveillance mis en place par l’EUCROF.
 
Le 3 juin 2025, la CNIL a été saisie par l’EUCROF d’une demande d’agrément du Comité de surveillance créé pour assurer les missions d’organisme de contrôle du code de conduite porté par l’EUCROF, conformément à la délibération n° 2020-050 du 30 avril 2020 portant adoption d’un référentiel relatif à l’agrément des organismes chargés de contrôler le respect des codes de conduite.
 
La demande d’agrément a fait l’objet d’une évaluation par les services de la CNIL.
 
La CNIL reconnaît que la demande d’agrément présentée est conforme au référentiel d’agrément précité adopté le 30 avril 2020.
 
Décide :
De la délivrance de l’agrément au Comité de surveillance de l’EUCROF en tant qu’organisme de contrôle du code de conduite européen porté par l’EUCROF.
 
Cet agrément est délivré pour une durée de cinq ans à compter de la présente délibération.
Si les exigences relatives à l’agrément ne sont pas ou plus respectées, l’agrément peut être révoqué conformément aux dispositions de l’article 41.5 du RGPD et de l’article 23 de la loi n° 78-17 du 6 janvier 1978 modifiée.
 
 
 
La présidente,
 
 
M.-L. Denis
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 2 juin 2025 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
 
Avis du comité
Avis favorable du comité de protection des personnes Est III du 16 avril 2025.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la nature des données traitées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par la méthodologie de référence.
Nature des données traitées
Des enregistrements vidéo permettant l’identification des mineurs se prêtant à la recherche seront réalisés dans le cadre de cette étude.
Le consentement des titulaires de l’exercice de l’autorité parentale sera recueilli pour la réalisation des enregistrements vidéo.
Ces enregistrements devront être traités et transmis de façon séparée des données de santé et être enregistrées dans une base de données distincte. En outre, seul un nombre strictement limité de personnes habilitées et soumises au secret professionnel devra pouvoir y accéder.
Information et droits des personnes
Les deux titulaires de l’exercice de l’autorité parentale recevront une note d’information individuelle.
Durées de conservation en base active et en archivage
Les enregistrements vidéo seront conservés pendant trois ans puis détruits.
Autres données :
Base active : trois ans
Archivage : quinze ans.
 
AUTORISE l’ASSISTANCE PUBLIQUE - HOPITAUX DE PARIS à mettre en œuvre le traitement décrit ci-dessus.
La Cheffe du service de la santé
Hélène GUIMIOT