30/01/2026
⚖️ Jurisprudence RGPD : Quand un manquement à l’obligation de sécurité coûte 5 millions d’euros
La CNIL vient de publier, ce 29 Janvier, une sanction contre FRANCE TRAVAIL, pour manque de sécurité aux données des personnes en cherche d’emplois.
🔹 Les faits
France Travail, responsable d’un traitement de données personnelles à grande échelle, est victime d’une cyberattaque reposant sur des techniques d’ingénierie sociale.
Conséquence : l’accès non autorisé à des données sensibles concernant des millions de personnes (identité, coordonnées, NIR).
🔹 Le problème juridique
Le responsable du traitement a-t-il respecté son obligation de sécurité prévue à l’article 32 du RGPD, imposant la mise en œuvre de mesures techniques et organisationnelles appropriées au regard des risques ?
🔹 La solution retenue par la CNIL
La CNIL constate des défaillances structurelles :
– authentification insuffisamment robuste,
– contrôles d’accès inadaptés,
– mesures de sécurité identifiées mais non pleinement mises en œuvre.
👉 Le manquement est caractérisé, indépendamment de l’existence de la cyberattaque.
Sanction : amende administrative de 5 millions d’euros.
🔹 Portée juridique
Cette décision rappelle que la sécurité des données relève d’une obligation juridique de gouvernance et d’anticipation du risque, et non d’une simple réaction a posteriori.
En droit des données personnelles, l’absence de mesures suffisantes engage la responsabilité du responsable du traitement, même en cas d’attaque externe.
https://lnkd.in/eprBgqsH
Le droit en detail