Édition

Ceci est une édition permanente. Elle reprend le briefing tel que publié à cette date et ne change pas.

France Travail écope d'une amende de 5 millions d'euros pour une violation de données due à une attaque par ingénierie sociale

France Travail, le service public de l'emploi français, a été condamné à une amende de 5 millions d'euros par l'autorité française de protection des données après une violation de données ayant exposé les informations personnelles d'individus inscrits auprès de l'agence. La violation, survenue au premier trimestre de 2024, a été attribuée à une attaque par ingénierie sociale qui a permis à des pirates informatiques de compromettre les comptes de conseillers accompagnant des personnes en situation de handicap.

La CNIL a infligé une amende de 5 millions d'euros à France Travail pour une violation de données. Au début de 2024, des pirates informatiques ont utilisé l'ingénierie sociale pour accéder au système d'information de l'agence, compromettant les comptes de conseillers CAP EMPLOI. Cela leur a permis d'accéder aux données de tous les individus inscrits auprès de France Travail. La décision de la CNIL, datée du 22 janvier 2026, a cité une violation de l'Article 32 (Sécurité du traitement) du RGPD, soulignant la nécessité d'une sécurité robuste contre les méthodes d'attaque sophistiquées.

La CNIL a infligé une amende de 5 millions d'euros à France Travail.

Qui cela engage
Toutes les entités traitant des données personnelles en France, en particulier les organismes du secteur public et les organisations qui traitent des données sensibles ou sont susceptibles d'être victimes d'attaques par ingénierie sociale.
Ce qui a changé
Cette décision clarifie et renforce l'obligation pour les responsables du traitement de mettre en œuvre des mesures de sécurité complètes (Article 32 RGPD) qui tiennent compte des facteurs humains et protègent contre les techniques d'ingénierie sociale. Elle souligne que les obligations de sécurité vont au-delà des garanties techniques pour inclure des mesures qui empêchent l'exploitation de la confiance ou de la crédulité humaine, en particulier pour les organisations détenant un grand nombre de données personnelles.

La question du jour

Une entreprise a été sanctionnée pour avoir suivi illégalement ses employés via des dispositifs satellites installés dans les voitures de fonction. Les informations fournies aux employés étaient insuffisantes, ne précisant pas les finalités du traitement, les bases légales ou les identités des responsables du traitement. De plus, l'accès aux données collectées était accordé à du personnel d'autres sociétés du groupe sans autorisation appropriée. Quelle est la principale lacune de l'entreprise en matière de protection des données dans ce scénario ?

  1. Le manque de transparence envers les employés concernant le traitement de leurs données personnelles et l'accès non autorisé à celles-ci.
  2. L'absence d'un cadre juridique clair pour le transfert de données vers des sociétés mères situées en dehors de l'Union européenne.
  3. L'incapacité de l'entreprise à démontrer la nécessité et la proportionnalité du suivi par satellite pour des raisons de sécurité.
  4. Le défaut de mise en œuvre de mesures techniques et organisationnelles robustes pour protéger les données collectées contre les violations.

Répondre à cette question sur le site

À savoir également

  1. L'autorité italienne de protection des données inflige une amende de 120 000 euros à une entreprise pour le suivi illégal d'employés via des voitures de fonction

    L'autorité italienne de protection des données a ouvert une enquête suite à une plainte, découvrant que Pioneer Hi Bred Italia Sementi s.r.l. avait installé des dispositifs de suivi par satellite dans les véhicules de fonction. Ces dispositifs enregistraient le comportement des employés, y compris les heures, le kilométrage, la consommation de carburant et le style de conduite, pour les trajets professionnels et privés. Les données collectées étaient ensuite utilisées pour attribuer un score d'évaluation et mettre en œuvre des actions correctives. Les inspections ont révélé que le dispositif satellite, installé à la demande d'une société mère suisse, suivait les activités des travailleurs sans les garanties exigées par la Charte des travailleurs italienne. De plus, les informations fournies aux travailleurs étaient insuffisantes, couvrant toutes les sociétés du groupe, y compris celles situées en dehors de l'UE, sans indiquer clairement les finalités du traitement, les bases légales ou les identités des responsables du traitement, des sous-traitants et des destinataires. L'accès à ces informations collectées était également accordé au personnel d'autres sociétés du groupe sans autorisation appropriée. L'autorité italienne de protection des données a déterminé que l'entreprise agissait en tant que sous-traitant dans ce contexte et a ordonné la suppression des données relatives aux trajets des employés collectées et utilisées pour attribuer un comportement de conduite. L'amende de 120 000 euros reflète le nombre limité d'employés concernés et la suspension immédiate par l'entreprise du traitement illégal.

Compilé ce matin là à partir de sources officielles, judiciaires et réglementaires. Les sources primaires sont liées sur chaque sujet.