Écrit par : Capucine Berr, présidente de L’Académie du Bon Droit et CEO de Zorrooo
Validé par : Le Comité Légal de Zorrooo
France Travail s’est mis en conformité avec l’injonction de sécurité qui lui avait été adressée. La CNIL l’a annoncé le 8 octobre 2026. Pour une personne dont les données ont été exposées, cette décision ne répond pourtant pas à toutes les questions : comment se protéger, obtenir des explications et, si un dommage est survenu, le faire reconnaître ?
Réponse rapide. Gardez le message qui vous annonce la fuite et contactez France Travail par son site officiel. Si un appelant vous demande un code bancaire ou une validation de paiement, raccrochez et rappelez votre banque depuis son application ou votre numéro habituel. La décision de la CNIL n’accorde aucune indemnité automatique aux personnes concernées.
Ce que la décision de septembre règle, et ce qu’elle ne règle pas
La CNIL explique, dans sa publication du 8 octobre, avoir clos l’injonction par une délibération du 23 septembre. En janvier 2026, elle avait prononcé une amende de 5 millions d’euros pour insuffisance des mesures de sécurité. Concrètement, il fallait mieux vérifier l’identité des conseillers Cap emploi qui se connectent, repérer les consultations suspectes et empêcher un conseiller d’accéder à des données inutiles à sa mission. Ces protections réduisent les risques d’accès abusif ; elles ne retirent pas des informations déjà copiées lors d’une fuite.
L’organisme ayant justifié sa conformité dans les délais, la CNIL n’a pas exigé le paiement de l’astreinte supplémentaire. Cette décision concerne les mesures imposées. Elle ne constitue pas une décision sur les conséquences personnelles de chaque exposition. Il faut donc conserver la distinction entre la sanction publique, les changements de sécurité et votre éventuelle demande individuelle.
Connaître votre nom ne suffit pas à authentifier un interlocuteur
Un faux conseiller peut connaître votre nom et prétendre qu’un virement doit être « annulé » en urgence. Autre scénario : il demande un code reçu par SMS pour « sécuriser » le compte. La Banque de France rappelle qu’un conseiller n’a pas besoin de vos codes, mots de passe ou identifiants, ni d’une validation d’opération pour bloquer une fraude. Une banque peut téléphoner : c’est la demande de données de sécurité ou de validation qui doit vous alerter. Raccrochez et recontactez-la par votre canal habituel, sans utiliser le numéro fourni dans le message suspect.
La CNIL invite aussi à la prudence face aux offres d’accompagnement après une fuite, notamment celles qui se présentent comme un moyen de faire supprimer des informations. Une proposition d’aide n’est pas une preuve de mandat de l’autorité. Si le message invoque une réparation urgente ou un dossier collectif, vérifiez qui porte la démarche, sur quel fondement et avec quels engagements, avant de transmettre des pièces.
Une exposition, une fraude et un préjudice se prouvent différemment
Commencez par ce que la notification établit : quelles données, quel incident et quelles consignes sont effectivement indiqués ? Rangez à part les événements ultérieurs : tentative de connexion, compte ouvert à votre nom, message suspect ou opération bancaire contestée. Notez les dates sans affirmer d’emblée que tous ces faits ont une cause unique. Une coïncidence chronologique peut justifier des vérifications, pas remplacer leur résultat.
Dans sa fiche du 2 octobre 2026 sur l’indemnisation, la CNIL distingue trois éléments : un manquement au RGPD, un préjudice réellement subi et leur lien causal. Une perte financière n’est pas la seule forme de dommage possible ; un préjudice moral peut aussi être invoqué. Il faut toutefois le décrire concrètement, pas seulement annoncer que des données ont circulé.
Préparez deux ensembles de pièces : celles relatives à l’incident et celles relatives à ses conséquences. Conservez les originaux des courriels, les notifications, les réponses obtenues et les justificatifs utiles. Pour une dépense, identifiez son objet et sa date ; pour un blocage, gardez le message qui le constate. Pour un courriel suspect, gardez le message original avec l’adresse complète de l’expéditeur et sa date, pas seulement une capture du logo. Pour un SMS, conservez le numéro, le texte et la date. Vous pourrez ainsi montrer ce qui vous a été demandé et par qui.
Vous avez un litige avec une administration ?
Déposez votre situation sur Zorrooo, le premier réseau social du droit : c’est gratuit, vous obtenez une première aide et la force du collectif.
Déposer mon litigeDemander des explications sans republier son dossier
Pour exercer vos droits sur vos données, ouvrez la page officielle « Protection des données personnelles » de France Travail, puis choisissez votre région dans la rubrique consacrée à vos droits. Les personnes inscrites peuvent aussi s’adresser à leur agence. Demandez quelles catégories de données vous concernant ont été touchées, les informations disponibles sur l’incident et le contact chargé de votre demande. Citez la référence et la date du message reçu. Une demande d’explications n’impose pas l’effacement de toutes les données : le droit à l’effacement comporte notamment des limites liées aux obligations de conservation.
N’ajoutez pas spontanément l’intégralité de vos justificatifs d’identité, de recherche d’emploi ou de ressources à un échange public. Transmettez seulement les pièces nécessaires par le canal approprié. Dans la version publique destinée à expliquer la situation, masquez les références permettant d’entrer dans le compte et les données concernant d’autres personnes.
Si vous exercez un droit d’accès, la CNIL indique un délai de réponse d’un mois. Une prolongation de deux mois est possible pour une demande complexe ou de nombreuses demandes, mais l’organisme doit vous en informer pendant le premier mois. Gardez la preuve de réception de votre demande. Ce délai concerne l’exercice de vos droits, pas le versement d’une indemnité.
Une plainte à la CNIL n’est pas une demande de dommages et intérêts
La CNIL précise qu’elle ne peut pas indemniser une personne. Elle peut contrôler un traitement, imposer des corrections et sanctionner un manquement. La réparation d’un dommage relève du juge. La juridiction et les formalités doivent être vérifiées selon le responsable mis en cause et la nature de la demande ; une personne publique ne suit pas nécessairement le même parcours qu’une entreprise privée.
Ne prenez donc pas le montant de l’amende comme un barème à partager entre les personnes touchées. Indiquez chaque somme demandée, ce qu’elle doit réparer et les justificatifs correspondants ; distinguez les montants demandés des sommes éventuellement obtenues. De même, un rapprochement de situations sur Zorrooo ne signifie pas qu’une action de groupe juridiquement recevable est déjà engagée ni que son issue est connue.
Agir sur le dommage constaté, pas seulement sur la fuite annoncée
Si une opération financière apparaît, contactez rapidement votre banque par un moyen indépendant du message suspect. Si votre identité semble utilisée, gardez les traces et examinez les démarches de signalement ou de plainte adaptées. Le parcours d’assistance de Cybermalveillance.gouv.fr permet de chercher une orientation sans publier les éléments sensibles du dossier.
Les procédés d’approche peuvent aussi utiliser une voix imitée pour créer l’urgence. Gardez le même réflexe de vérification par un autre canal. Votre demande sera plus lisible si elle sépare ce qui a été annoncé par l’organisme, ce que vous avez effectivement constaté et ce qui reste à établir.
