France Travail: CNIL schließt Anordnung nach Sicherheitsnachbesserungen ab

Eine Datenschutzmeldung mit einem anderen Ausgang als der nächsten Bußgeld-Schlagzeile: Die französische Aufsicht CNIL hat ihre Sicherheitsanordnung gegen France Travail abgeschlossen. Der öffentliche Arbeitsvermittler hat die verlangten Verbesserungen fristgerecht nachgewiesen. Die Mitteilung erschien am 8. Oktober, die Entscheidung stammt vom 23. September 2026.

Was die Aufsicht jetzt entschieden hat

Die CNIL-Mitteilung zur abgeschlossenen Anordnung nennt stärkere Authentifizierung, aktive Protokollüberwachung und begrenzte Zugriffsrechte. Das angedrohte Zwangsgeld wurde nicht fällig. Die ursprüngliche Geldbuße ist davon zu unterscheiden.

Das ist eine Nachricht über überprüfte Nachbesserung. Sie ist kein allgemeines Sicherheitszertifikat für sämtliche Systeme von France Travail.

Warum es überhaupt eine Anordnung gab

Am 22. Januar hatte die CNIL eine Geldbuße von fünf Millionen Euro verhängt. Ihre Veröffentlichung vom Januar beschreibt einen Angriff aus dem ersten Quartal 2024: Über Social Engineering wurden Konten von CAP-EMPLOI-Beratern übernommen und Daten von Arbeitssuchenden zugänglich.

Ein besonders relevanter Befund: Geeignete Sicherheitsmaßnahmen waren laut Aufsicht bereits in Datenschutz-Folgenabschätzungen erkannt worden, aber nicht wirksam umgesetzt. Die Lücke lag damit zwischen dokumentierter Erkenntnis und tatsächlichem Betrieb.

Welche Verbesserungen den Abschluss ermöglichten

Die Entscheidung SAN-2026-013 beschreibt: Es wurden die Zugänge der CAP-EMPLOI-Berater durch eine robustere Passwortpolitik und Mehrfaktor-Authentifizierung abgesichert. Hinzu kamen Verbesserungen bei der Auswertung von Aktivitätsprotokollen und auf die jeweilige Aufgabe beschränkte Datenzugriffe.

Der Fall macht einen Unterschied sichtbar, der in Compliance-Projekten leicht untergeht: Eine Maßnahme kann beschlossen sein, ohne bereits zu funktionieren. Und sie kann technisch eingerichtet sein, ohne dass ihre Umsetzung für eine Prüfung nachvollziehbar belegt ist.

Unsere Einordnung: Auch der Abschluss gehört in die Nachricht

Über den Beginn eines Verfahrens wird häufig berichtet. Sein Abschluss zeigt hier, dass konkrete Nachbesserungen und ihre Nachweise eine aufsichtsrechtliche Anordnung beenden können. Daraus lässt sich weder eine allgemeine Straffreiheit noch eine Zusage für andere Verfahren ableiten.

Für Unternehmen ist die Verbindung von Risiko, Umsetzung und überprüfbarem Ergebnis relevant. Wie Informationssicherheit und Datenschutz dabei zusammenspielen, erklärt unser Beitrag zu ISO 27001 und Datenschutz. Den organisatorischen Rahmen beschreibt der ISMS-Leitfaden.

Foto im Titelbild: France-Travail-Agentur Nantes Malakoff, Kalepom, 21. März 2025, Wikimedia Commons, CC0. Archivaufnahme; Zuschnitt und Gestaltung: Kopexa.