La CNIL sanctionne dix collectivités sur leur cybersécurité
La CNIL a prononcé en novembre 2026 dix sanctions simplifiées contre des collectivités territoriales et un établissement public, avec des amendes de 3 000 à 20 000 euros. Les manquements portent sur l'authentification des administrateurs, l'accès permanent des prestataires, la journalisation et l'absence d'analyse d'impact.
par Gyom 10 novembre 2026 à 13:10 3 min de lecture rubrique : Vérifier et protéger
etiquettes : Sécurité
En novembre 2026, la CNIL a prononcé dix sanctions simplifiées contre des collectivités territoriales et un établissement public, pour des manquements relatifs à la cybersécurité. Les contrôles ont porté sur des communes, des départements, des régions, des acteurs publics et leurs prestataires, engagés après que la cybersécurité des collectivités est devenue en 2025 l'une des thématiques annuelles de contrôle de l'autorité.
Six failles de sécurité relevées à l'article 32
Le premier bloc de manquements tient aux mesures techniques et organisationnelles que l'article 32 du RGPD impose. La CNIL en cite six formes, toutes rencontrées sur le terrain :
- une authentification à distance trop faible pour les agents, en particulier l'absence d'authentification multifacteur pour les administrateurs ;
- des prestataires extérieurs, éditeurs de logiciels compris, capables d'accéder au réseau de façon permanente sans autorisation au cas par cas, ou par des comptes partagés entre plusieurs salariés ;
- une détection des comportements anormaux inefficace, journalisation incomplète ou journaux jamais exploités en temps réel ;
- un cloisonnement du réseau insuffisant, qui laisse une violation se propager d'un segment à l'autre ;
- des systèmes d'exploitation de serveurs obsolètes, sans correctifs de sécurité de l'éditeur ;
- des mots de passe peu robustes, transmis en clair aux usagers ou stockés sans garantie de confidentialité.
La CNIL note que plusieurs collectivités contrôlées avaient déjà subi une ou plusieurs violations de données, et que les mesures absentes auraient suffi à les éviter. Les données en jeu vont de l'état civil aux prestations sociales, en passant par les coordonnées bancaires et les informations sur des mineurs.
L'homologation de sécurité absente avant la mise en service
Plusieurs décisions relèvent un manquement distinct, sans rapport avec une faille technique : les systèmes d'information servant à échanger en ligne avec les administrés n'avaient pas été homologués avant leur mise en service, alors que le référentiel général de sécurité l'exige. L'homologation rend obligatoire pour une autorité administrative la vérification de la conformité de son système avant son ouverture.
Deux traitements à risque élevé sans analyse d'impact
Un second bloc porte sur l'analyse d'impact relative à la protection des données, prévue à l'article 35 du RGPD et à l'article 90 de la loi Informatique et Libertés. Plusieurs collectivités ont été sanctionnées pour ne pas l'avoir menée avant de mettre en oeuvre deux familles de traitements :
- les téléservices qui permettent aux parents de gérer les activités scolaires et extrascolaires de leurs enfants, parce qu'ils touchent des personnes vulnérables et des données hautement personnelles, dont des coordonnées bancaires ;
- les systèmes de vidéoprotection installés sur la voie publique, que la CNIL qualifie de surveillance systématique à grande échelle d'une zone accessible au public.
Menée à temps, l'analyse aurait fait apparaître les risques propres à ces traitements et les mesures de sécurité correspondantes. Son absence est enregistrée comme un manquement autonome, même quand le système fonctionne.
De 3 000 à 20 000 euros, un plafond qui borne la sanction
Les amendes vont de 3 000 à 20 000 euros, maximum légal de la procédure simplifiée. Le montant retenu dépend du nombre de manquements et de leur gravité, des catégories de données traitées, du budget de la collectivité, du nombre de personnes concernées et des mesures correctives déjà prises.
Pour une commune, 20 000 euros pèsent moins qu'une mise en demeure publique sur le plan politique, mais la procédure simplifiée va vite et ne demande pas de démonstration longue. La CNIL indique que d'autres procédures sont en cours et pourraient mener à des sanctions, des mises en demeure ou des rappels aux obligations.
La moitié des contrôles 2026 portent sur la sécurité
L'autorité consacre en 2026 la moitié de ses contrôles et de ses actions répressives à la sécurité des données, et annonce la poursuite des vérifications auprès des collectivités et de leurs prestataires. Elle inscrit ce programme dans la préparation de la directive NIS2, en cours de transposition, qui ajoute des exigences de sécurité informatique aux collectivités territoriales.
Le point commun des dossiers sanctionnés tient en une phrase : dans chacun, une mesure de sécurité élémentaire manquait. Aucune des failles décrites ne demande une technique avancée, l'authentification absente, l'accès permanent d'un prestataire et le serveur sans correctifs suffisent.
Source primaire CNIL, « Cybersécurité des collectivités territoriales : la CNIL prononce dix sanctions », 9 novembre 2026