Loi Plein Emploi et données personnelles : les mises en garde de la Cnil

Dans le cadre de la mise en œuvre de la loi pour le plein emploi, les données personnelles des personnes inscrites à France Travail respecteront-elles leur vie privée ? La réponse de la Cnil, parue au JO du 1^er janvier, est pour le moins réservée à ce stade.

Saisie pour avis en octobre 2024 avec invocation d’un délai d’urgence sur le projet de décret relatif au système d’information de l’opérateur France Travail et portant divers autres traitements de données personnelles, l’autorité administrative a délibéré le 5 décembre 2024, détaillant sa position sur un texte qui n’était encore qu’un projet. "Au regard des conditions de saisine et notamment des délais laissés pour son analyse", son avis et l’absence d’observation de sa part sur certaines dispositions du décret "ne sauraient préjuger de la licéité de l’ensemble des traitements concernés", a-t-elle énoncé. Le décret en question a lui aussi été publié au Journal officiel du 1^er janvier (voir notre article du 7 janvier). Sur plusieurs points, la délibération de la Cnil tient compte des engagements du ministère du Travail à améliorer sa copie. 

La sécurité des données en question

Pour rappel, l’inscription automatique de nouveaux publics (dont les demandeurs du RSA et leurs conjoints) à France Travail, la mise en œuvre d’une procédure commune d’orientation et plus globalement l’amélioration de la communication entre acteurs du service public de l’emploi conduisent le gouvernement à aménager les échanges d’informations concernant les demandeurs d’emploi. Dans sa délibération, la Cnil évalue six types de traitements de données, qui "concernent au moins 6 millions de personnes", rappelle-t-elle. 

Préalablement au fond des dispositions et de manière explicite, l’autorité indépendante "s'inquiète de ce que l'ouverture massive de nouveaux accès au système d'information de France Travail, dans des délais extrêmement contraints, ne soit pas accompagnée par des mesures de sécurité adaptées aux risques, en particulier à court terme", écrit-elle en préambule. Pour rappel, France Travail et Cap emploi ont été victimes d’une cyberattaque en mars 2024, suivie d’une autre affectant les missions locales, en octobre dernier. La Cnil appelle donc à finaliser les travaux de sécurisation "avant la mise en œuvre des nouveaux traitements". 

Des données hautement sensibles

Sur le fond des traitements prévus, la Cnil rappelle notamment la très forte sensibilité des données personnelles en jeu, qui peuvent concerner la santé, le passé judiciaire, les coordonnées bancaires, mais aussi "la situation familiale, y compris la présence d’un enfant en situation de handicap ou des problèmes de santé d’un enfant", voire dans certains cas "le type et l’origine du handicap".

D’où la nécessité de "collecter et traiter ces données avec la plus grande précaution et en fournissant des garanties particulières", de "prendre des mesures de sécurité renforcées, de sensibilisation des agents accédant à ces données, d'habilitations strictes et de rendre impossible toute recherche réalisée spécifiquement à partir de requêtes portant sur ces données". 

Un partage de données élargi à d’autres acteurs ? 

La Cnil recommande au ministère "de s'assurer du caractère nécessaire des données collectées au regard des finalités poursuivies et, d'autre part, de distinguer les catégories de données nécessaires pour chacune des finalités poursuivies". Mais aussi d’ajuster les "durées de conservation pour chacune des données collectées au regard des nombreuses finalités poursuivies". 

Pour l’heure, note la Cnil, ces partages de données concernent le réseau pour l’emploi, à savoir France Travail, les missions locales, les Cap emploi, la Caisse nationale d'allocations familiales (Cnaf) et la Caisse centrale de la mutualité sociale agricole (CCMSA). Une mesure adoptée en conséquence de la censure par le Conseil constitutionnel des dispositions de la loi pour le plein emploi qui prévoyaient un partage élargi à "un nombre très important d’acteurs publics et privés". Il n’empêche que le gouvernement "prévoit d’ajouter d’autres acteurs", précise la Cnil.