AgentPublic/cnil huggingface dataset:
72. La formation restreinte note que c’est précisément l’exploitation de cette vulnérabilité qui a pu conduire – ou du moins n’a pas empêché – la violation de données par usurpation des comptes des conseillers CAP EMPLOI. La formation restreinte ne saurait souscrire à l’argument de FRANCE TRAVAIL selon lequel la mise en place d’une authentification multifacteur aurait été inefficace en cas d’attaque par " ingénierie sociale ". En effet, bien qu’il ne soit pas possible, comme déjà convenu, de se prémunir de toutes les attaques de ce type, en l’espèce une authentification multifacteur aurait rendu extrêmement difficile l’authentification des attaquants au système d’information de FRANCE TRAVAIL. À titre d’exemple, pour une authentification multifacteur reposant sur une application mobile dédiée (avec un second facteur de type " possession " permettant aux employés CAP EMPLOI de recevoir un code sur un téléphone), cela aurait impliqué que les attaquants volent le téléphone, parviennent à le déverrouiller, puis à connaître et saisir le code au sein de l’application permettant de générer un code à usage unique pour finalement accéder à l’outil MAP.
73. De plus, s’il ressort des documents contractuels que les CAP EMPLOI avaient à leur charge d’assurer les frais d’investissement et d’exploitation nécessaires pour accéder au système d’information, ainsi qu’une responsabilité pour la partie matérielle, la formation restreinte a rappelé ci-avant qu’elle considère FRANCE TRAVAIL comme responsable du pilotage de la mise en œuvre des règles de sécurité applicables à son système d’information (voir point II.A. de la présente délibération). Il incombait ainsi à FRANCE TRAVAIL, en sa qualité de développeur et hébergeur de l’outil qu’il ouvre aux CAP EMPLOI, d’apprécier la faisabilité de mise en œuvre de la solution choisie, et de l’adapter en fonction des contraintes respectives. La difficulté du recours à un téléphone comme second facteur, du fait de l’indépendance des CAP EMPLOI, aurait pu être surmontée par d’autres mesures, par exemple par la distribution de calculettes OTP (" One-Time Password ") aux employés des CAP EMPLOI.
74. Enfin, force est de constater que le risque lié à l’absence d’authentification multifacteur n’était pas seulement théorique comme indiqué par FRANCE TRAVAIL. La formation restreinte considère que France TRAVAIL aurait donc dû prendre davantage en considération ce risque réel lors de sa mise en balance avec la nécessité de continuité du service public et de l’accompagnement des demandeurs d’emploi bénéficiaires de l’obligation d’emploi, et ce alors même qu’il existait des solutions alternatives ou intermédiaires. Le choix opéré par France TRAVAIL a conduit à la compromission des données à caractère personnel de plus 36,8 millions de personnes, y compris de données faisant l’objet d’une protection particulière comme le NIR (compte tenu des risques d’usurpation ou d’interconnexion qu’il présente en raison de sa nature signifiante, unique et pérenne).
75. FRANCE TRAVAIL fait état de la mise en place d’une authentification multifacteur après la violation de données, reposant sur […].
(ii) Sur le suivi des journaux d’activité de l’outil […]
76. Dans sa recommandation du 14 octobre 2021 n° 2021-122 relative à la journalisation, la CNIL recommande que " les opérations de création, consultation, modification et suppression des données à caractère personnel et des informations contenues dans les traitements auxquels la journalisation est appliquée fassent l’objet d’un enregistrement comprenant l’auteur individuellement identifié, l’horodatage, la nature de l’opération réalisée ainsi que la référence des données concernées par l’opération " et de " mettre en œuvre un système de traitement et d’analyse des données collectées et de formaliser un processus permettant de générer des alertes et de les traiter en cas de suspicion de comportement anormal ".
77. L’ANSSI rappelle également dans ses " Recommandations de sécurité pour l'architecture d'un système de journalisation " du 28 janvier 2022, que " l’analyse continue des journaux d’évènements permet de repérer des activités inhabituelles, tandis que l’archivage des journaux rend possible les levées de doutes a posteriori. En ce sens, la journalisation constitue également le prérequis indispensable à la mise en œuvre d’une capacité de détection, d’analyse et de réponse aux incidents de sécurité ".
78. Autrement dit, la simple collecte des données de journalisation ne suffit pas à sécuriser un système d’information. Le dispositif de journalisation est efficace uniquement si une entité est en mesure de traiter les informations enregistrées dans les journaux afin d’être capable, le cas échéant, de détecter rapidement un comportement suspect.
79. La Commission préconise donc, dans sa recommandation susvisée, de " mettre en œuvre un système de traitement et d’analyse des données collectées et de formaliser un processus permettant de générer des alertes et de les traiter en cas de suspicion de comportement anormal. Ces données peuvent également servir ex post lorsqu’une violation de données (notamment par consultation, transmission ou usage illégaux des données) est constatée et que le responsable de traitement cherche à en établir la responsabilité. "
80. Le Comité européen de la protection des données considère également dans ses lignes directrices 9/2022 sur la notification de violations de données à caractère personnel en vertu du RGPD, que " la capacité de détecter une violation, d’y remédier et de la communiquer dans les meilleurs délais devrait être considérée comme un élément essentiel ".
81. Le rapporteur reproche à FRANCE TRAVAIL l’absence de contrôle régulier automatique des journaux permettant de détecter et d’analyser les incidents de sécurité et de leur apporter une réponse rapide et efficace. Il estime que la mise en place de telles mesures de journalisation aurait permis de détecter plus rapidement l’attaque dont a été victime FRANCE TRAVAIL.
82. En défense, FRANCE TRAVAIL soutient que le rapporteur sous-estime la difficulté d’analyser les journaux d’un système d’information aussi complexe que le sien et qu’il est toujours plus aisé, comme le fait le rapporteur, d’analyser une situation a posteriori. En l’espèce au moment de la violation, FRANCE TRAVAIL indique qu’il aurait été très difficile de détecter un trafic illégitime alors même que l’attaque s’est déroulée via des comptes légitimes. France TRAVAIL expose qu’il convient de se placer au moment de l’attaque et de son propre point de vue, afin d’estimer si des mesures adaptées au risque avaient été mises en place – obligation que l’organisme estime avoir remplie en l’espèce.
83. La formation restreinte rappelle tout d’abord que la conservation des données de traçabilité est une mesure élémentaire de sécurité d’un traitement, en faveur de laquelle des recommandations ont été publiées par la CNIL en 2021 (recommandation n° 2021-122 précitée) et par l’ANSSI dès 2013 (recommandations de sécurité pour l'architecture d'un système de journalisation du 2 décembre 2013, mises à jour en 2022). Ces recommandations avancent que la journalisation est avant tout justifiée par l’objectif de sécurisation du traitement et qu’elle doit être " active ", c’est-à-dire permettre une détection en continu et en temps réel des opérations anormales afin d’y remédier rapidement. La formation restreinte de la CNIL a déjà sanctionné différents acteurs pour défaut de journalisation efficace.
84. En l’espèce, la formation restreinte relève que FRANCE TRAVAIL disposait, au moment de la violation de données, d’un système de journalisation avec identifiant interne technique et horodatage des actions effectuées par les agents qui conservait ces données pendant un an, ainsi que d’un centre des opérations de sécurité ("security operations center" ou "SOC") surveillant le trafic sur son système d’information.
85. Il ressort de l’instruction que les attaquants, bien qu’apparaissant comme un utilisateur légitime une fois connecté au système d’information de FRANCE TRAVAIL, ont eu un comportement anormal, ne correspondant pas aux habitudes de travail des salariés.
86. En effet, la formation restreinte souligne que si l’attaque s’est effectivement déroulée par le biais de comptes légitimes d’employés de CAP EMPLOI, l’activité de ces comptes présentait de nombreuses caractéristiques suspectes qui auraient dû déclencher des alertes. Les opérations réalisées présentaient un caractère hautement anormal au regard des horaires et de la fréquence des requêtes, du volume considérable de données extraites (25 Go de données de type "texte"), du taux d’erreur de certaines requêtes (69 % sur un des comptes usurpés, correspondant probablement à une phase de test et de tentative de modification du code javascript par les attaquants), et du fait même que les données ont été extraites alors que l’activité des conseillers CAP EMPLOI ne nécessite ni une consommation importante de ressources, ni une extraction importante de données (par exemple, rien que le mardi 6 février 2024, 9 Go de données ont été extraites, ce qui correspondrait à plus de 13 millions de fiches pour un seul conseiller en une seule journée).
87. Or, en dépit de l’ensemble de ces anomalies, le dispositif mis en place par FRANCE TRAVAIL n’a pas permis de détecter les mesures de suivi des journaux d’activité de l’outil, en particulier en générant une alerte afin d’y remédier.
88. Compte tenu de ces éléments, la formation restreinte ne saurait souscrire à l’argument de FRANCE TRAVAIL selon lequel l’attaque n’était pas facilement détectable. Par ailleurs le fait que son système d’information soit extrêmement complexe et fasse régulièrement l'objet d’attaques aurait justement dû conduire FRANCE TRAVAIL à mettre en place un système de journalisation à la hauteur de ce risque et surtout de s’assurer de son exploitation efficace.
89. Cette circonstance est aggravée par le fait que la Commission avait déjà alerté FRANCE TRAVAIL sur la nécessité de mettre en place un système d’analyse des traces dans sa délibération n° 2022-050 du 21 avril 2022.
90. La formation restreinte prend acte des nouvelles mesures mises en place par FRANCE TRAVAIL, comprenant le déclenchement d’alertes selon des seuils d’erreur et de sollicitations prédéfinis et constamment réévalués, ainsi que la réalisation de tests d’intrusion évaluant les capacités de détection et de réponse à des incidents de sécurité.
(iii) Sur la gestion des habilitations d’accès aux données à caractère personnel
91. Le rapporteur estime qu’en autorisant les employés des CAP EMPLOI à accéder, pour l’ensemble des personnes présentes dans la base de données de FRANCE TRAVAIL, à toutes les données de […], FRANCE TRAVAIL n’a pas limité l’accès aux données aux seules personnes ayant besoin d’en connaître.
92. En défense, FRANCE TRAVAIL soutient que cet accès est nécessaire à l’accompagnement des demandeurs d’emploi bénéficiaires de l’obligation d’emploi. L’opérateur souligne que si les conseillers CAP EMPLOI ont accès à toutes les données de toutes les personnes présentes dans […], ils n’ont en revanche accès qu’aux dossiers complets des personnes accompagnées. Enfin, FRANCE TRAVAIL souligne que les comptes des agents CAP EMPLOI sont paramétrés selon trois profils d’habilitation et sur le principe du moindre privilège.
93. La formation restreinte rappelle qu’en vertu de l’article 32 du RGPD, le responsable de traitement doit mettre en place des mesures appropriées pour assurer la confidentialité des données et éviter qu’elles ne soient traitées de façon illicite par des personnes qui n’ont pas besoin d’en connaître. La gestion des habilitations à consulter ou à utiliser un système d’information doit tendre à limiter les accès aux seules données à caractère personnel dont un utilisateur a besoin pour l’accomplissement de ses missions (CNIL, FR, 29 octobre 2021, Sanction, n° SAN-2021-019). Pour déterminer le niveau de finesse de gestion des habilitations, il y a lieu de tenir compte de la quantité et de la nature des données traitées, du caractère plus ou moins imbriqué des différentes finalités de traitement, ainsi que des moyens techniques et humains du responsable de traitement.
94. En l’espèce, la formation restreinte note que les employés des CAP EMPLOI ont accès en consultation à toutes les données présentes dans […] (voir liste de ces données au paragraphe 13). Ils ont accès à ces données pour l’ensemble des demandeurs d’emplois, y compris ceux qui ne sont pas bénéficiaires de l’obligation d’emploi. Ils n’ont en revanche accès aux dossiers complets (c’est-à-dire à toutes les informations de suivi, y compris les données de santé) que pour les personnes accompagnées. La formation restreinte relève également que si les conseillers CAP EMPLOI ont accès par défaut aux données des personnes présentes dans leur région de référence, ils peuvent, à leur seule initiative, modifier le périmètre de la recherche sans limitation géographique.
95. La formation restreinte ne remet pas en cause la nécessité de ces accès, dont elle admet le caractère utile à l’accompagnement des personnes. Elle estime néanmoins que le périmètre des données consultables – tant sur la nature des données que sur les zones géographiques – s’étend bien au-delà de ce qui est strictement nécessaire pour l’exercice des missions des employés CAP EMPLOI. En effet il n’apparaît pas indispensable que ces conseillers aient ainsi accès à autant de données, pour tous les demandeurs d’emploi et pour un périmètre géographique aussi large, ce qui est confirmé par le fait que FRANCE TRAVAIL a indiqué dans ses écritures prévoir de revoir les règles d’habilitations d’accès – sans que cela ne semble lui entraver le suivi des bénéficiaires.
96. La formation restreinte considère que l’accès par les conseillers CAP EMPLOI à un nombre important de données de tous les demandeurs d’emploi présents dans […] a pu élargir le périmètre de la violation de données, puisque les attaques ont été réalisées via des comptes de conseillers CAP EMPLOI, qui avaient accès à l’ensemble de […] de toutes les personnes présentes dans la base de données de FRANCE TRAVAIL, et non seulement aux données des demandeurs d’emploi ayant fait l’objet d’une décision de reconnaissance de la qualité de travailleur handicapé et bénéficiaires de l’obligation d’emploi.
97. La formation restreinte relève néanmoins que des mesures de minimisation et de restriction des accès sont prévues par FRANCE TRAVAIL, qui permettront de limiter les requêtes réalisées sur […] par les employés CAP EMPLOI (limitations géographiques, limitation sur les types de profils affichés, exclusion du NIR dans certains cas).
98. En conclusion, la formation restreinte considère que l’opérateur n’a pas mis en place les mesures techniques et organisationnelles adéquates et proportionnées au regard des exigences prévues par l’article 32 du RGPD, alors même que FRANCE TRAVAIL avait identifié la plupart de ces risques préalablement à la mise en œuvre du traitement. La formation restreinte souligne notamment l’importance d’une authentification robuste, d’une journalisation efficace et d’une politique d’habilitation adaptée, dans un contexte de multiplication des violations de données massives dont avait conscience FRANCE TRAVAIL ainsi qu’à un moment où, comme indiqué par FRANCE TRAVAIL, son système d’information a vocation à être ouvert à davantage d’acteurs du réseau pour l’emploi.
99. Par conséquent, la formation restreinte considère que FRANCE TRAVAIL a manqué à ses obligations issues de l’article 32 du RGPD.
III. Sur les mesures correctrices
100. L’article 20-IV de la loi n° 78-17 du 6 janvier 1978 modifiée prévoit que : " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
101. 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
102. L’article 22, alinéa 2 de la loi Informatique et Libertés dispose ensuite que " la formation restreinte peut rendre publiques les mesures qu’elle prend ".
103. La formation restreinte rappelle que, pour évaluer l’opportunité de prononcer une amende, elle doit tenir compte des critères précisés à l’article 83 du RGPD tels que la nature, la gravité et la durée de la violation, la portée ou la finalité du traitement concerné, le nombre de personnes concernées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le fait que la violation a été commise par négligence, le degré de coopération avec l’autorité de contrôle, les catégories de données concernées et le niveau de dommage subi par les personnes.
104. La CJUE a rappelé à cet égard que " seule une amende administrative dont le montant est déterminé en fonction de la capacité économique réelle ou matérielle de son destinataire […] est susceptible de réunir les trois conditions énoncées à l’article 83, paragraphe 1, du RGPD, à savoir d’être à la fois effective, proportionnée et dissuasive " (CJUE, grande chambre, 5 décembre 2023, C-807/21, " Deutsche Wohnen " ; CJUE, cinquième chambre, 13 février 2025, C-383/23, " Ilva A/S ").
105. En outre, la formation restreinte souligne que, si l’imposition d’une amende administrative est conditionnée à l’établissement d’une violation fautive de la part de l’organisme poursuivi, cette faute peut découler d’un comportement délibéré mais également d’une négligence, en application de l’alinéa b) de l’article 83, paragraphe 2 du RGPD (CJUE, Grande Chambre, 5 décembre 2023, " Deutsche Wohnen SE e.a "., C-807/21 ; CJUE, Grande Chambre, 5 décembre 2023, " Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos e.a. ", C- 683/21).
106. Enfin, elle rappelle qu’en vertu de l’article 83 du RGPD, les amendes administratives doivent être dissuasives et proportionnées.
A. Sur le prononcé d’une amende administrative et son montant
107. La formation restreinte rappelle qu’il convient d’examiner les critères pertinents de l’article 83 du RGPD pour décider s’il y a lieu d’imposer une amende administrative à l’organisme et, le cas échéant, pour déterminer son montant.
108. Le rapporteur propose à la formation restreinte de prononcer à l’encontre de FRANCE TRAVAIL une amende administrative au regard du manquement constitué à l’article 32 du RGPD.
1. Sur la possibilité du prononcé d’une amende
109. Le rapporteur considère qu’il est possible pour la formation restreinte de prononcer une sanction pécuniaire à l’encontre de FRANCE TRAVAIL, en sa qualité d’opérateur indépendant de l'État.
110. FRANCE TRAVAIL conteste tout d’abord le principe même du prononcé d’une amende à son encontre, estimant que les dispositions de l’article 20 de la loi Informatique et Libertés n’autorisent pas la formation restreinte à sanctionner pécuniairement des traitements mis en œuvre par l’État. Cela reviendrait à ce que l’État s’impose une amende à lui-même, particulièrement pour FRANCE TRAVAIL dont le budget est directement et indirectement abondé par l’État. En outre, FRANCE TRAVAIL demande à la formation restreinte de privilégier le recours à une mesure préventive, telle qu’un rappel à la loi ou une mise en demeure, puisque les manquements étaient susceptibles de faire l’objet d’une mise en conformité. FRANCE TRAVAIL avance à ce titre que l’intention du législateur était de prévoir une gradation des peines listées à l’article 20 de la loi Informatique et Libertés, l’amende administrative figurant en dernière position.
111. En premier lieu, la formation restreinte relève que le Conseil d’État a jugé qu’" il résulte clairement de ces dispositions [article 45 de la loi du 6 janvier 1978, devenu l'article 20 de la même loi] que le prononcé d'une sanction par la formation restreinte de la CNIL n'est pas subordonné à l'intervention préalable d'une mise en demeure du responsable du traitement ou de son sous-traitant par le président de la CNIL " (Conseil d'État, 10ème - 9ème chambres réunies, 04/11/2020, 433311).
112. En second lieu, la formation restreinte ne saurait souscrire à l’argument de FRANCE TRAVAIL selon lequel le législateur a souhaité exonérer d’amende ou d’astreinte les établissements publics administratifs tels que FRANCE TRAVAIL.
113. En effet, s’il ressort des dispositions de l’article 20 de la loi Informatique et Libertés que le prononcé d’une amende administrative par la formation restreinte est exclu s’agissant des traitements " mis en œuvre par l’État ", cette exception, qui doit s’interpréter strictement, n’est pas prévue s’agissant des traitements " mis en œuvre pour le compte de l'État " – notion par ailleurs utilisée par le législateur (notamment au même article 20 de la loi Informatique et Libertés).
114. En l’espèce, FRANCE TRAVAIL est, en vertu de l’article L. 5312-1 du code du travail, une institution nationale publique dotée de la personnalité morale et donc une entité bien distincte de l’État.
115. La formation restreinte relève également que si FRANCE TRAVAIL voit ses orientations générales définies par l’État (notamment dans une convention pluriannuelle d’objectifs et de gestion conclue entre l’État, l’Unédic et FRANCE TRAVAIL), c’est un opérateur qui dispose d’une marge d’initiative importante pour décliner ces objectifs dans des actions concrètes. Par ailleurs FRANCE TRAVAIL est doté de l’autonomie financière, avec un budget qui n’est financé qu’à hauteur d’un tiers par l’État. Le reste est financé par des cotisations et contributions obligatoires des employeurs ; quand bien même celles-ci sont encadrées par l’État, il ne peut être soutenu qu’il s’agit là de ressources directes de l’État.
116. Au total, le traitement concerné n’est ainsi pas mis en œuvre par l’État mais par FRANCE TRAVAIL " pour le compte de l’État ". Il n’est donc pas soumis à l’exclusion prévue au 7° du IV de l’article 20 de la loi Informatique et Libertés.
117. Ainsi les dispositions de l’article 20 de la loi Informatique et Libertés ne font pas obstacle à ce que soit imposée une amende administrative à un établissement public administratif, ce que la formation restreinte souligne avoir déjà fait par le passé (délibération de la formation restreinte n° SAN-2019-004 du 31 janvier 2019, non publiée ; décision du président de la formation restreinte n° SANPS-2024-023 du 23 mai 2024, non publiée).