Francouzský úřad pro ochranu osobních údajů (CNIL) vydal 22. ledna 2026 rozhodnutí o uložení
pokuty 5 milionů euro francouzskému úřadu práce France Travail. Sankce následuje po masivním
narušení bezpečnosti osobních údajů, ke kterému došlo v období od února do března 2024.
Incident zasáhl přes 36 miliónů osob, a týkal se nejen aktuálních uchazečů o zaměstnání, ale také
všech osob registrovaných v systému v posledních dvaceti letech. Útočníci se během útoku
zmocnili přibližně 25 gigabajtů dat, obsahující jména, pohlaví, data a místa narození, adresy
bydliště, e-mailové adresy, telefonní čísla a rodná čísla. Kromě těchto údajů útočníci získali také
individuální referenční čísla osob registrovaných v systému, což v souhrnu představuje extrémní
zásah do soukromí dotčených subjektů.
Útočníci se vydávali za zaměstnance spolupracující organizace Cap Emploi, která zajišťuje
podporu při hledání zaměstnání pro osoby se zdravotním postižením. Útočníci nejdříve
kontaktovali technickou podporu Travail France s požadavkem na resetování přístupových hesel
k účtům některých zaměstnanců Cap Emploi, a po získání kontroly nad těmito účty je využili k
neoprávněnému přístupu do centrální databáze.
Dle rozhodnutí CNIL francouzský úřad práce porušil článek 32 nařízení GDPR, který ukládá
povinnost zajistit bezpečnost zpracování. Mezi hlavní pochybení patřila absence dostatečně
komplexních autentizačních procedur pro externí uživatele a nedostatečné monitorování aktivity
v samotném systému. Ačkoli byla neobvyklá aktivita a částečná nedostupnost služeb detekována
již koncem února, k faktickému zahájení šetření a identifikaci útoku došlo až 5. března 2024, měsíc
po tom, co útočníci získali přístup do systému.
Významným faktorem při posuzování závažnosti incidentu byla skutečnost, že zaměstnanci Cap
Emploi měli nastavena neúměrně široká přístupová oprávnění. Systém jim umožňoval provádět
vyhledávání napříč celou zemí bez ohledu na jejich regionální působnost nebo okruh přidělených
klientů, což útočníkům přímo usnadnilo získání dat v takto obrovském rozsahu.
France Travail se hájila sdílenou odpovědností s Cap Emploi, avšak dozorový úřad konstatoval,
že jakožto správce svého informačního systému nese hlavní odpovědnost za technické
zabezpečení a dohled nad vlastním prostředím France Travail. Dozorový úřad rovněž zdůraznil,
že většina opatření, která by útoku mohla zabránit, byla již dříve identifikována v rámci
provedených analýz, ale nebyla včas realizována.