Was sich geändert hat
- Die CNIL hat am 23. September 2026 den Beschluss SAN-2026-013 gefasst und damit die Anordnung vom Januar 2026 gegen France Travail geschlossen.
- France Travail wies die vollständige Umsetzung der Multi-Faktor-Authentifizierung, robuster Passwortrichtlinien, aktiver Protokollüberwachung und Zugriffsbeschränkungen nach.
- Der beschränkte Ausschuss entschied nach überprüfter Einhaltung, das bedingte Zwangsgeld von €5,000 pro Tag nicht einzufordern.
Die französische Datenschutzbehörde (CNIL) gab am 8. Oktober 2026 bekannt, dass ihr beschränkter Ausschuss (formation restreinte) die zuvor am 22. Januar 2026 erlassene Anordnung gegen France Travail geschlossen hat. Nach dem Nachweis der vollständigen Einhaltung innerhalb der vorgegebenen Frist entschied die Regulierungsbehörde, die bedingte Zwangsgeldzahlung (astreinte) nicht einzuziehen.
Hintergrund und ursprüngliche Sanktionen
Im Januar 2026 verhängte der beschränkte Ausschuss der CNIL eine Geldbusse von €5 Millionen gegen France Travail wegen unzureichender Sicherheitsmassnahmen zum Schutz personenbezogener Daten von Arbeitsuchenden, was gegen Artikel 32 der Datenschutz-Grundverordnung (DSGVO) verstiess. Neben der Sanktion erliess die CNIL eine Anordnung zur technischen und operationalen Abhilfe, untermauert durch ein mögliches Zwangsgeld bei Nichteinhaltung von €5,000 pro Tag.
Erforderliche Massnahmen zur Behebung
Um Konformität zu erreichen, musste France Travail spezifische Sicherheitskontrollen in vier operativen Schlüsselbereichen umsetzen:
1. Passwort-Robustheit: Einführung einer strengeren Passwortrichtlinie mit Mechanismen zur Beschränkung des Kontenzugriffs.
2. Berater-Authentifizierung: Durchsetzung der Multi-Faktor-Authentifizierung (MFA) für Beraterkonten von CAP EMPLOI.
3. Überwachung von Aktivitätsprotokollen: Einrichtung aktiver Überwachungs- und Protokollierungsmechanismen für das MAP-Tool.
4. Zugriffssteuerungs-Management: Strikte Beschränkung des Zugriffs von CAP EMPLOI-Beratern auf personenbezogene Daten, die für ihre Betreuungsaufgaben erforderlich sind.
Schliessung der Anordnung
Mit dem Beschluss SAN-2026-013 vom 23. September 2026 bestätigte die CNIL formell, dass France Travail die fristgerechte Einhaltung aller Konformitätsanforderungen nachgewiesen hat. Die Agentur führte erweiterte Authentifizierungskontrollen, robuste Passwortregeln, MFA-Integration, verbesserte Protokollüberwachungstools und rollenbasierte Zugriffsbeschränkungen ein.
Da France Travail den Abhilfeanordnungen nachkam, entschied der beschränkte Ausschuss, das tägliche Zwangsgeld von €5,000 nicht einzufordern, und schloss das Anordnungsverfahren offiziell ab. Der Fall verdeutlicht die technischen Sicherheitserwartungen an öffentliche Stellen und grosse Verantwortliche im Rahmen des EU-Datenschutzrechts.
Wer betroffen sein kann
France Travail, CAP EMPLOI-Berater und Arbeitsuchende in Frankreich, deren personenbezogene Daten von der Agentur verarbeitet werden.
Grenzüberschreitender Kontext
Relevant in der gesamten Europäischen Union als Beispiel für behördliche Durchsetzung und technische Sicherheitskonformitätsstandards gemäss Artikel 32 DSGVO.
Was als Nächstes zu prüfen ist
- Konsultieren Sie den CNIL-Beschluss SAN-2026-013 und den Beschluss SAN-2026-003 auf Légifrance für vollständige Textdetails.
- Beachten Sie die CNIL-Empfehlungen zur Multi-Faktor-Authentifizierung und Protokollüberwachung gemäss Artikel 32 DSGVO.
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ziehen Sie den offiziellen Text zu Rate und holen Sie bei Bedarf eine auf Ihre Situation abgestimmte Beratung ein.