Le 1er janvier, le gouvernement a publié un décret autorisant France Travail à rassembler énormément plus de données que l’institution ne le faisait auparavant lorsqu’elle s’appelait encore Pôle Emploi. La CNIL, formellement consultée, n’a pas eu le temps de se prononcer réellement sur le sujet. Dans son avis, elle s’en inquiète et n’est pas sûre que « l’ensemble des traitements concernés » soit légal. À Next, le commissaire de la CNIL et député Modem Philippe Latombe exprime ses craintes par rapport à l’utilisation du numéro d’inscription au répertoire (NIR) et à d’éventuelles fuites de données.

La loi appelée « Pour le plein emploi » promulguée en décembre 2023 a prévu de changer de façon importante certaines missions de l’établissement public chargé de l’emploi, appelé jusque-là Pôle Emploi et maintenant France Travail.

Par exemple, en ce début janvier 2025, l’ensemble des allocataires du revenu de solidarité active (RSA) et des jeunes de moins de 25 ans enregistrés auprès d’une mission locale s’apprêtent à être inscrits à l’établissement.

Le gouvernement a publié, le 1er janvier 2025 le décret qui permet à France Travail de modifier son système d’information pour l’adapter à ses nouvelles missions. Ce texte y ajoute six traitements de données à caractère personnel permettant à l’organisme de stocker et partager avec ses « partenaires » des données personnelles parfois sensibles, comme des données médicales.

Dans le texte de ce décret, le ministère du Travail justifie l’utilisation de ces données en évoquant six finalités de traitements. Les données doivent servir les nouvelles missions comme la gestion du RSA et de la prime d’activité. Mais elles doivent aussi lui donner de nouveaux moyens pour lutter contre la fraude et gérer les missions classiques héritées de Pôle Emploi. France Travail va aussi accumuler des données pour permettre les transmissions entre l’organisme et la Caisse nationale d’allocations familiales, l’évaluation du dispositif d’activité partielle créé par la loi et la plateforme de l’inclusion.

Des données d’ordre médical, économique et financier... et même la situation pénitentiaire (...)

Mais le décret permet aussi à France Travail de rassembler et traiter des données que sont pêle-mêle l’Allocation aux adultes handicapés (AAH), l’état de santé des demandeurs d’emploi, mais aussi des données d’identification, de nationalité et titre de séjour, des données d’ordres économiques et financiers, fiscales, bancaires, la situation pénitentiaire, les données relatives au compte personnel de formation, les données relatives aux mesures de tutelle, de curatelle ou d’habilitation familiale, celles relatives au diagnostic, les contacts de la personne en charge de la protection juridique, données relatives à la situation familiale ou le type et l’origine du handicap. Et nous n’avons pas fait la liste exhaustive des données à caractère personnel que peut maintenant récolter France Travail.

La rédaction du document précise la plupart du temps (11 fois dans le texte) que ces données pourront être enregistrées « dans la mesure où elles sont nécessaires à la poursuite des finalités » prévues par la loi. Le décret prévoit que France Travail puisse conserver certaines données pendant 6, 10 , voire même 20 ans pour certains cas.

La CNIL n’a pas eu le temps d’étudier sérieusement le décret (...)

« la CNIL regrette fortement qu’une unique saisine couvre un projet d’une telle envergure, impliquant de multiples traitements de données à caractère personnel concernant plusieurs millions de personnes, qui plus est dans le cadre d’une procédure d’urgence ».

L’autorité « s’inquiète de ce que l’ouverture massive de nouveaux accès au système d’information de France Travail, dans des délais extrêmement contraints, ne soit pas accompagnée par des mesures de sécurité adaptées aux risques, en particulier à court terme ».

Elle demande à ce que le gouvernement et la gouvernance de France Travail précise mieux l’utilisation du Numéro d’inscription au répertoire (NIR), utilisé notamment par les organismes d’assurance maladie pour la délivrance des « cartes vitales », dans le cadre de ce nouveau système d’information. (...)

elle « observe que le traitement concerne des personnes vulnérables mineures et en situation de handicap » et demande donc que, « conformément à l’article 12 du RGPD, la délivrance de l’information doit être adaptée aux situations des personnes concernées ».

Pour cet avis, c’est le commissaire de la CNIL et par ailleurs député Modem Philippe Latombe qui a été chargé de se pencher sur le dossier.

Interrogé par Next, celui-ci confirme que « le texte est extrêmement compliqué et il n’est pas très clair ». Il ajoute : « Nous avons été saisis en urgence sur le sujet et nous n’avons pas eu toutes les réponses que nous voulions ».

« L’impression générale qu’on en a, c’est qu’ils veulent un système d’information quasiment unique pour avoir une vision à 360 de toutes les personnes qui sont demandeurs d’emploi. », résume-t-il.

" Et il n’y a pas que les demandeurs d’emploi, il y a aussi les personnes qui sont autour." (...)

L’inquiétude de Philippe Latombe se concentre sur deux sujets : d’une part que le numéro d’inscription au répertoire (NIR) devienne le numéro unique pour tout, « d’autre part, c’est clairement, le fait qu’il n’y a rien sur la partie cyber sécurité et gestion des accès ». (...)

Pour ce qui concerne la cyber sécurité et gestion des accès, Philippe Latombe rappelle le récent piratage de France Travail : « nous savons que France Travail s’est fait pirater par la création d’un identifiant et d’un mot de passe qui ont donné accès à toute la base de données ». (...)

t il lui semble que le gouvernement et France Travail n’ont pas encore pris la mesure du problème (...)

Il pointe le fait que de nombreuses entités vont avoir accès à ce nouveau système d’information de France Travail : les mission locales, les plateformes d’insertion, toutes les associations qui aident à l’insertion et les conseils départementaux. « Encore une fois il y a un flou sur qui aura accès à quelles données, c’est pour ça que nous disons qu’il faut gérer les différents accès ! » s’exclame-t-il.

Philippe Latombe affirme que « pour être très clair, il va y avoir des inspections de la CNIL » pour vérifier que le fichier respecte bien la loi et notamment le RGPD. Pour lui, « c’est un sujet qui sera revu et il y aura d’autres décrets d’applications ». (...)

Reprenant sa casquette de député, Philippe Latombe explique que théoriquement France Travail a les moyens d’assurer la sécurité des données de ce système mais il fulmine : « j’ai comme l’impression que la gouvernance de France Travail n’en a rien à faire de cette partie là. Et que son objectif est de faire la fusion et le suivi des demandeurs d’emploi au 1er janvier, le reste, c’est pas grave, on verra plus tard. Or ce n’est pas acceptable de fonctionner comme ça et ils vont devoir respecter certaines règles dont celle du RGPD (archivage intermédiaire et définitif) et des règles applicables pour NIS2 car ils vont être soumis à NIS2. Mais j’ai vraiment l’impression qu’ils s’en fichent ». (...)

Le député réaffirme : « ma vraie crainte, c’est la fuite de données. Ils n’ont pas compris comment il fallait qu’ils conteneurisent les informations, comment il fallait faire des archivages définitifs et intermédiaires. Et sur la gestion des accès, liée au nombre de personnes