La loi appelée « Pour le plein emploi » promulguée en décembre 2023 a prévu de changer de façon importante certaines missions de l’établissement public chargé de l’emploi, appelé jusque-là Pôle Emploi et maintenant France Travail.

Par exemple, en ce début janvier 2025, l’ensemble des allocataires du revenu de solidarité active (RSA) et des jeunes de moins de 25 ans enregistrés auprès d’une mission locale s’apprêtent à être inscrits à l’établissement.

Le gouvernement a publié, le 1^er janvier 2025 le décret qui permet à France Travail de modifier son système d’information pour l’adapter à ses nouvelles missions. Ce texte y ajoute six traitements de données à caractère personnel permettant à l’organisme de stocker et partager avec ses « partenaires » des données personnelles parfois sensibles, comme des données médicales.

Dans le texte de ce décret, le ministère du Travail justifie l’utilisation de ces données en évoquant six finalités de traitements. Les données doivent servir les nouvelles missions comme la gestion du RSA et de la prime d'activité. Mais elles doivent aussi lui donner de nouveaux moyens pour lutter contre la fraude et gérer les missions classiques héritées de Pôle Emploi. France Travail va aussi accumuler des données pour permettre les transmissions entre l’organisme et la Caisse nationale d'allocations familiales, l’évaluation du dispositif d'activité partielle créé par la loi et la plateforme de l'inclusion.

Des données d'ordre médical, économique et financier... et même la situation pénitentiaire

Dans les données que rassemblera le Système d'information de France Travail, pourront se retrouver des informations concernant le RSA, la prime d'activité, ainsi que des données relatives aux difficultés particulières rencontrées pour accéder à l'emploi, à la scolarité, au parcours de formation et au niveau de qualification et diplômes ainsi qu'aux compétences ou même aux « capacités en lecture ».

Mais le décret permet aussi à France Travail de rassembler et traiter des données que sont pêle-mêle l'Allocation aux adultes handicapés (AAH), l'état de santé des demandeurs d'emploi, mais aussi des données d'identification, de nationalité et titre de séjour, des données d'ordres économiques et financiers, fiscales, bancaires, la situation pénitentiaire, les données relatives au compte personnel de formation, les données relatives aux mesures de tutelle, de curatelle ou d'habilitation familiale, celles relatives au diagnostic, les contacts de la personne en charge de la protection juridique, données relatives à la situation familiale ou le type et l'origine du handicap. Et nous n’avons pas fait la liste exhaustive des données à caractère personnel que peut maintenant récolter France Travail.

La rédaction du document précise la plupart du temps (11 fois dans le texte) que ces données pourront être enregistrées « dans la mesure où elles sont nécessaires à la poursuite des finalités » prévues par la loi. Le décret prévoit que France Travail puisse conserver certaines données pendant 6, 10 , voire même 20 ans pour certains cas.

La CNIL n'a pas eu le temps d'étudier sérieusement le décret

Conformément à la loi, le gouvernement a demandé à la CNIL son avis sur son projet de décret et l’a publié en même temps. Il ne peut donc lui être reproché de ne pas l’avoir consultée. Mais dans son avis, la CNIL explique ne pas avoir eu le temps d’étudier sérieusement le dossier.

Cet avis commence d’ailleurs par cet avertissement : « au regard des conditions de saisine et notamment des délais laissés pour son analyse, l'avis de la CNIL et l'absence d'observation de sa part sur certaines dispositions du projet de décret, ne sauraient préjuger de la licéité de l'ensemble des traitements concernés ». La CNIL explique avoir eu un délai d'urgence d'un mois pour répondre avec, en plus une transmission de saisine rectificative et des éléments « transmis au fil de l’eau » qui « totalisent plus de mille pages de documents ».

Et l’autorité insiste : « la CNIL regrette fortement qu'une unique saisine couvre un projet d'une telle envergure, impliquant de multiples traitements de données à caractère personnel concernant plusieurs millions de personnes, qui plus est dans le cadre d'une procédure d'urgence ».

L’autorité « s'inquiète de ce que l'ouverture massive de nouveaux accès au système d'information de France Travail, dans des délais extrêmement contraints, ne soit pas accompagnée par des mesures de sécurité adaptées aux risques, en particulier à court terme ».

Elle demande à ce que le gouvernement et la gouvernance de France Travail précise mieux l’utilisation du Numéro d'inscription au répertoire (NIR), utilisé notamment par les organismes d'assurance maladie pour la délivrance des « cartes vitales », dans le cadre de ce nouveau système d’information.

Elle pointe le fait que les traitements prévus « impliquent la collecte à grande échelle de données particulièrement nombreuses, parmi lesquelles des données relevant de catégories particulières de données : des données dites sensibles (celles relatives notamment à la santé), des « données relatives à des condamnations pénales, infractions ou mesures de sûreté connexes », ainsi qu'à des données dites « hautement personnelles » (données bancaires) ». Elle demande donc à ce que « le responsable de traitement (veille) à collecter et traiter ces données avec la plus grande précaution et en apportant des garanties particulières ».

La CNIL insiste pour que le ministère s’assure « du caractère nécessaire des données collectées au regard des finalités poursuivies » et distingue « les catégories de données nécessaires pour chacune des finalités poursuivies ». L’autorité « s'interroge également sur le caractère proportionné des durées de conservation pour chacune des données collectées au regard des nombreuses finalités poursuivies et invite le ministère à clarifier ce point ».

Enfin, elle « observe que le traitement concerne des personnes vulnérables mineures et en situation de handicap » et demande donc que, « conformément à l'article 12 du RGPD, la délivrance de l'information doit être adaptée aux situations des personnes concernées ».

Pour cet avis, c’est le commissaire de la CNIL et par ailleurs député Modem Philippe Latombe qui a été chargé de se pencher sur le dossier.

Interrogé par Next, celui-ci confirme que « le texte est extrêmement compliqué et il n’est pas très clair ». Il ajoute : « Nous avons été saisis en urgence sur le sujet et nous n’avons pas eu toutes les réponses que nous voulions ».

« L’impression générale qu’on en a, c’est qu’ils veulent un système d’information quasiment unique pour avoir une vision à 360 de toutes les personnes qui sont demandeurs d’emploi. », résume-t-il.

« Et il n’y a pas que les demandeurs d’emploi, il y a aussi les personnes qui sont autour. Par exemple, Madame Dupont, mère célibataire de trois enfants, a une pathologie qui fait qu’elle ne peut pas porter des charges lourdes. Les informations collectées concerneront Madame Dupont, mais aussi ses enfants pour savoir s’ils sont autonomes, s’ils vont à l’école, s’ils ont des handicaps pour savoir si ça freine ou modifie sa demande d’emploi », explique le commissaire, qui commente : « cela nécessite une attention particulière sur ce qui doit être fait en termes de traitements ».

Le NIR et la cybersécurité inquiètent particulièrement Philippe Latombe

L’inquiétude de Philippe Latombe se concentre sur deux sujets : d’une part que le numéro d'inscription au répertoire (NIR) devienne le numéro unique pour tout, « d’autre part, c’est clairement, le fait qu’il n’y a rien sur la partie cyber sécurité et gestion des accès ».

Le NIR est un numéro qui sert à toute la partie « protection sociale ». « Si quelqu’un récupère votre identité et votre NIR, il est capable de refaire une carte vitale, par exemple. Le fait d’utiliser le NIR en permanence comme clé unique pour tout faire dans le système d’information, c’était non », explique-t-il.

« Nous avons donc fait un gros travail pour que le NIR ne soit pas systématiquement la clé mais qu’on fasse une clé secondaire à partir du NIR. Car quelqu’un qui possède votre identité plus le NIR, il peut recréer l’identité de quelqu’un et vous l’attribuer », ajoute le commissaire de la CNIL. Si le décret finalement publié semble avoir pris en compte cette remarque de l’autorité, il est difficile de vérifier que tous les usages et partages de ce numéro soient vraiment justifiés.

Pour ce qui concerne la cyber sécurité et gestion des accès, Philippe Latombe rappelle le récent piratage de France Travail : «nous savons que France Travail s’est fait pirater par la création d’un identifiant et d’un mot de passe qui ont donné accès à toute la base de données ».

• France Travail : un piratage limité à 3 % des 43 millions des victimes « potentielles » ?

Et il lui semble que le gouvernement et France Travail n’ont pas encore pris la mesure du problème : « ce n’est pas directement dans le champ de la CNIL car c’est la partie cyber sécurité, il n’empêche que la partie gestion des accès aurait dû faire l’objet d’un paragraphe spécifique et ça n’a pas été le cas ». Il ajoute « il va y avoir des prestataires dans les départements qui vont avoir accès au système d’information et il faut absolument qu’on conteneurise les accès. Ce n’est pas possible qu’on puisse avoir un accès à tout, tout le temps par tout le monde. La question posée est qui est autorisé à faire quoi et qui donne ces autorisations ».

Du flou aussi sur les données conservées

Pour ce qui concerne plus franchement la CNIL, savoir quelles données sont conservées, celles qui sont effacées et à quoi ça sert, le décret est, selon lui, « assez flou et c’est pour ça que dans l’avis nous disons que nous avons besoin d’avoir des clarifications et que nous disons qu’il faut effacer un certain nombre d’informations. Mais aujourd’hui, le décret n’est pas assez précis pour qu’on puisse rentrer dans ce niveau de finesse ».

Il pointe le fait que de nombreuses entités vont avoir accès à ce nouveau système d’information de France Travail : les mission locales, les plateformes d’insertion, toutes les associations qui aident à l’insertion et les conseils départementaux. « Encore une fois il y a un flou sur qui aura accès à quelles données, c’est pour ça que nous disons qu’il faut gérer les différents accès ! » s’exclame-t-il.

Philippe Latombe affirme que « pour être très clair, il va y avoir des inspections de la CNIL » pour vérifier que le fichier respecte bien la loi et notamment le RGPD. Pour lui, « c’est un sujet qui sera revu et il y aura d’autres décrets d’applications ».

Concernant les différentes durées de stockage, le commissaire de la CNIL explique qu’ « il y a des données qui doivent rester accessibles pendant longtemps. Notamment, par exemple, les indemnisations versées par France Travail car, s’il y a une question qui pose sur la retraite, il faut pouvoir y avoir accès. Mais, toute la question qui se pose, et notamment suite à la fuite qu’ils ont subie, est que ces données là ne doivent pas être accessibles par n’importe qui et n’importe comment. Elles doivent être conteneurisées, être dans de l’archivage et désarchivées si besoin. »

« La gouvernance de France Travail n’en a rien à faire »

Reprenant sa casquette de député, Philippe Latombe explique que théoriquement France Travail a les moyens d’assurer la sécurité des données de ce système mais il fulmine : « j’ai comme l’impression que la gouvernance de France Travail n’en a rien à faire de cette partie là. Et que son objectif est de faire la fusion et le suivi des demandeurs d’emploi au 1^er janvier, le reste, c’est pas grave, on verra plus tard. Or ce n’est pas acceptable de fonctionner comme ça et ils vont devoir respecter certaines règles dont celle du RGPD (archivage intermédiaire et définitif) et des règles applicables pour NIS2 car ils vont être soumis à NIS2. Mais j’ai vraiment l’impression qu’ils s’en fichent ».

Questionné sur le volet Fraude du système, Philippe Latombe réaffirme que « le vrai objectif de départ est d’avoir une vision à 360 du demandeur d’emploi pour essayer de trouver comment on peut le remettre sur le marché du travail. La gestion de la fraude est un objectif important mais secondaire ». Il rappelle que « le Conseil constitutionnel dit que c’est un objectif à valeur constitutionnelle que de lutter contre la fraude, qu’elle soit fiscale ou sociale, et que donc il faut prendre des mesures. Là, en l’occurrence, il y a un certain nombre de données qui peuvent permettre de faire du contrôle et qui doivent être effacées ensuite ».

Le député réaffirme : « ma vraie crainte, c’est la fuite de données. Ils n’ont pas compris comment il fallait qu’ils conteneurisent les informations, comment il fallait faire des archivages définitifs et intermédiaires. Et sur la gestion des accès, liée au nombre de personnes qui vont avoir accès à ces informations, je crains des fuites de données et ils ne pourront pas dire qu’ils n’ont pas été prévenus ».