CNIL : dix collectivités sanctionnées de 3 000 à 20 000 € pour des failles de cybersécurité

La CNIL a annoncé le 9 novembre 2026 dix sanctions financières prononcées en procédure simplifiée contre des collectivités territoriales et un établissement public, pour des manquements à la sécurité des données personnelles. Les amendes s'échelonnent de 3 000 à 20 000 euros, le plafond prévu par cette procédure. Pour toute mairie, intercommunalité ou syndicat qui gère des services en ligne, la liste des failles relevées sert de grille de contrôle.

Ce que la CNIL a sanctionné, et pourquoi

Les sanctions font suite aux contrôles menés en 2025, année où la cybersécurité des collectivités figurait parmi les thèmes prioritaires de la CNIL. Les agents ont examiné les mesures de sécurité techniques, organisationnelles et physiques, chez les collectivités comme chez leurs prestataires. Pour fixer chaque montant, l'autorité a pesé le nombre et la gravité des manquements, les catégories de données concernées (données de mineurs, coordonnées bancaires), le budget de la collectivité, le nombre de personnes touchées et les mesures de mise en conformité déjà prises.

Certaines collectivités avaient subi une ou plusieurs violations de données que, selon la CNIL, des mesures adéquates auraient permis d'éviter. L'autorité annonce que d'autres procédures sont en cours et pourraient déboucher sur des sanctions, des mises en demeure ou des rappels aux obligations. Elle indique aussi que la moitié de ses contrôles et de ses actions répressives portera sur la sécurité des données en 2026.

Les failles relevées au titre de l'article 32 du RGPD

L'article 32 du RGPD impose des mesures de sécurité adaptées au risque. La CNIL en a relevé plusieurs séries de défauts.

Authentification à distance. La connexion des agents, télétravailleurs compris, n'était pas assez robuste. Des administrateurs disposant de droits étendus n'avaient aucune authentification multifacteur.

Accès des prestataires. Des éditeurs de logiciels gardaient un accès permanent au réseau, sans autorisation au cas par cas. D'autres utilisaient des comptes partagés entre plusieurs salariés, ce qui empêche de savoir qui a fait quoi.

Journalisation et détection. Les traces d'activité étaient incomplètes ou n'étaient pas analysées à court terme, si bien qu'un comportement anormal passait inaperçu.

Cloisonnement du réseau. Le réseau était trop peu segmenté : une intrusion pouvait gagner plusieurs zones.

Systèmes obsolètes. Certains serveurs tournaient sous un système d'exploitation que l'éditeur ne maintenait plus, donc sans correctifs de sécurité.

Mots de passe. Certains étaient trop faibles, transmis en clair aux utilisateurs ou stockés sans garantie de confidentialité.

Homologation de sécurité. Des systèmes d'information servant aux échanges en ligne avec les administrés n'avaient pas été homologués avant leur mise en service, alors que le référentiel général de sécurité (RGS) l'exige.

Les analyses d'impact oubliées

Deuxième volet : l'article 35 du RGPD et l'article 90 de la loi Informatique et Libertés exigent une analyse d'impact (AIPD) avant tout traitement susceptible d'engendrer un risque élevé. Plusieurs collectivités l'ont omise pour deux types de projets : les portails destinés aux parents pour gérer les activités scolaires et périscolaires, qui concentrent des données d'enfants et des données bancaires, et la vidéosurveillance de la voie publique, qualifiée de surveillance systématique à grande échelle d'un espace accessible au public.

Ce type d'obligation de conformité préalable n'est pas propre au RGPD. Le calendrier du règlement européen sur l'IA, détaillé dans notre dossier sur l'AI Act, en impose de similaires aux organisations qui déploient certains outils.

Pourquoi les prestataires concentrent les risques

Plusieurs des manquements relevés touchent les fournisseurs plus que les agents. Une collectivité de taille moyenne confie souvent sa paie, son état civil, ses inscriptions scolaires ou sa vidéosurveillance à des éditeurs extérieurs, et ces derniers se connectent à distance pour la maintenance. Un accès permanent et un compte partagé forment une porte ouverte que personne ne surveille. La collectivité reste pourtant responsable de traitement : le fait de sous-traiter ne la dégage pas de son obligation de sécurité. Le contrat doit donc préciser les accès autorisés, les conditions de leur ouverture, la durée de conservation des traces et la procédure de notification en cas d'incident. Vérifier ces clauses ne demande ni budget important ni outil particulier, seulement une relecture méthodique des contrats en cours.

Un risque qui dépasse l'amende

Une fuite de données coûte en général plus cher que la sanction. La fuite FFTir, avec une base de licenciés proposée à la vente, rappelle ce qui arrive aux données d'un organisme dont la sécurité a cédé : notification à la CNIL, information des personnes, atteinte à la confiance. Pour une collectivité, la pression est d'autant plus forte que les citoyens n'ont pas le choix de leur mairie.

Cas pratique : une commune de 4 000 habitants et son portail famille

Prenons une commune de 4 000 habitants qui ouvre en septembre 2026 un portail permettant aux parents de réserver la cantine et de payer par prélèvement. Le service est fourni par un éditeur extérieur. La commune n'a réalisé ni AIPD ni homologation, et l'éditeur dispose d'un accès permanent à la base, via un compte commun à trois techniciens.

Si ce portail fait l'objet d'un contrôle, trois manquements apparaissent d'emblée : l'absence d'AIPD alors que le service traite des données de mineurs et des IBAN, l'absence d'homologation, et le compte partagé de l'éditeur. D'après les critères publiés, la CNIL regarderait ensuite le budget de la commune, le nombre de familles concernées (disons 600 foyers) et les corrections déjà engagées. Une amende dans la fourchette de 3 000 à 20 000 euros est alors envisageable, et le risque monte si une fuite a eu lieu.

Si, au contraire, la commune agit avant tout contrôle, le scénario change. Elle réalise l'AIPD, exige de l'éditeur des comptes nominatifs avec authentification multifacteur et un accès ouvert seulement sur demande, fait homologuer le service et garde les traces d'accès. Les mêmes 600 foyers utilisent alors un service dont le dossier de conformité est prêt à être présenté en cas de contrôle. Dans ce cas, la dépense porte sur quelques journées de travail d'un spécialiste, non sur une sanction.

Ce qu'un expert informatique apporte à une collectivité

Les défauts relevés relèvent presque tous d'un audit technique. Un consultant en cybersécurité peut cartographier les accès des prestataires, vérifier que l'authentification multifacteur couvre bien tous les comptes à privilèges, contrôler la journalisation et dresser la liste des serveurs hors support. Un juriste spécialisé en protection des données aide de son côté à rédiger l'AIPD et à revoir les contrats de sous-traitance, qui doivent encadrer précisément les accès de l'éditeur.

La CNIL prévient par ailleurs que la directive NIS2, en cours de transposition, imposera de nouvelles exigences de sécurité aux collectivités. Mieux vaut donc traiter dès maintenant les points relevés dans ces dix décisions, car ils serviront de base aux obligations à venir.

Les vérifications à faire cette semaine

Une collectivité peut commencer par cinq contrôles simples :

1. Lister tous les comptes à privilèges et vérifier que chacun est protégé par une authentification multifacteur.
2. Demander à chaque prestataire la liste nominative de ses accès et supprimer les comptes partagés.
3. Identifier les serveurs dont le système n'est plus maintenu par l'éditeur et planifier leur remplacement.
4. Vérifier qu'une AIPD existe pour chaque portail famille et chaque dispositif de vidéosurveillance de la voie publique.
5. Contrôler que les services en ligne ouverts aux administrés ont fait l'objet d'une homologation de sécurité.

Cet article donne une information générale et ne remplace pas un conseil juridique personnalisé. Pour une situation précise, consultez un spécialiste en protection des données ou en cybersécurité. Les décisions, les montants et la liste complète des manquements figurent sur la page de la CNIL consacrée à ces sanctions.