Cyberattaque contre France Travail : pourquoi la victime a été sanctionnée

En mars 2024, l’organisme public a été la cible d’une cyberattaque d’ampleur, ayant entraîné l’exfiltration des données personnelles de 36 millions de personnes. Un an plus tard, la Commission nationale de l’informatique et des libertés (Cnil) a prononcé une sanction exemplaire : une amende de cinq millions d’euros pour manquements à la protection des données.

Comment une organisation victime d’un piratage peut-elle être tenue pour responsable ? 

Le Règlement général sur la protection des données (RGPD) ne se contente pas d’imposer une réaction rapide en cas d’incident. Il exige, en amont, que les organismes mettent en œuvre toutes les mesures techniques et organisationnelles nécessaires pour garantir la sécurité des données qu’ils traitent. Autrement dit, la loi ne sanctionne pas uniquement l’existence d’une faille ou l’intervention d’un pirate informatique, mais l’insuffisance des dispositifs de prévention.

Dans le cas de France Travail, l’enjeu juridique ne portait pas uniquement sur la cyberattaque elle-même, mais sur la capacité de l’organisme à démontrer que ses systèmes étaient conçus pour limiter les risques. Sécurisation des accès, gestion des habilitations, surveillance des systèmes, mises à jour régulières : autant d’éléments que les responsables de traitement doivent anticiper et documenter. En l’absence de garanties jugées suffisantes, la responsabilité de l’organisme est engagée, indépendamment de l’origine de l’attaque.

Cette décision de la Cnil envoie un signal clair à l’ensemble des acteurs publics et privés. La cybersécurité n’est pas une option ni une simple question technique, mais une obligation légale. Les sanctions financières peuvent être lourdes, mais les conséquences en termes d’image et de confiance le sont souvent encore davantage.

En conclusion, l’affaire France Travail rappelle une règle essentielle : en matière de données personnelles, la prévention prime sur la réaction. Un système mal conçu ou insuffisamment sécurisé en amont peut, à lui seul, justifier une sanction, même lorsque l’organisation se considère avant tout comme une victime.