Cybersécurité des collectivités territoriales : la CNIL prononce dix sanctions

En novembre 2026, la CNIL a prononcé dix sanctions simplifiées à l'encontre de collectivités territoriales et d'un établissement public pour des manquements relatifs à la cybersécurité des collectivités territoriales. Ces décisions rappellent l'obligation pour toute organisation publique ou privée de protéger les données personnelles selon l'article 32 du RGPD [S1, S2]. Les dirigeants d'entreprises prestataires et les responsables de systèmes d'information doivent réévaluer immédiatement leurs contrôles d'accès, la maintenance de leurs parcs applicatifs et leurs analyses de risques [S1, S2].

Le cadre des contrôles et les sanctions prononcées

Les collectivités territoriales traitent un volume important de données d'administrés, dont des données sensibles comme l'état civil, les versements de prestations sociales, les informations financières ou les données de mineurs. Face à la multiplication des cyberattaques, la CNIL a fait de la sécurité informatique des collectivités territoriales l'une de ses thématiques annuelles de contrôle dès 2025. Les vérifications ont ciblé des communes, des départements, des régions, des établissements publics ainsi que leurs prestataires techniques.

À l'issue de ces contrôles, dix amendes financières ont été prononcées dans le cadre de la procédure simplifiée, pour des montants compris entre 3 000 € et 20 000 €. Le montant de 20 000 € représente le plafond légal prévu pour ce type de procédure. Les montants ont été modulés selon la gravité des manquements, la nature des données exposées, le budget de chaque entité, le nombre de personnes concernées et les mesures correctives engagées. La CNIL consacre d'ailleurs la moitié de ses actions de contrôle et de répression de l'année 2026 à la sécurité des données.

Les failles de sécurité sanctionnées sur le système d'information

Les manquements à l'obligation de sécurité prévue à l'article 32 du RGPD concernent les mesures techniques, physiques et organisationnelles. Les décisions publiées par l'autorité de contrôle mettent en évidence plusieurs vulnérabilités fondamentales sur les réseaux internes et les accès distants.

Authentification et gestion des accès distants

La CNIL a relevé que les modalités de connexion à distance pour les agents, notamment en situation de télétravail, manquaient de robustesse. Les administrateurs disposant de privilèges élevés ne disposaient pas d'un système d'authentification multifacteur pour accéder aux infrastructures. Par ailleurs, certains mots de passe en circulation étaient trop faibles, stockés sans garanties suffisantes de confidentialité ou transmis en clair aux usagers.

Gestion des tiers et des prestataires externes

Les contrôles ont révélé des failles critiques dans la gouvernance des accès accordés aux prestataires informatiques, tels que les éditeurs de logiciels. Plusieurs intervenants extérieurs disposaient d'un accès permanent au réseau de la collectivité sans autorisation préalable au cas par cas. Dans d'autres cas, plusieurs salariés d'un même prestataire utilisaient un compte d'accès partagé, ce qui empêche toute traçabilité individuelle.

Maintenance, cloisonnement et détection

L'absence de mise à jour des infrastructures matérielles et logicielles a également été sanctionnée. Des serveurs fonctionnaient sous des systèmes d'exploitation obsolètes pour lesquels les éditeurs ne fournissaient plus de correctifs de sécurité. De plus, le cloisonnement réseau insuffisant permettait à une intrusion de se propager entre différents segments du système. Enfin, la journalisation incomplète ou l'absence d'analyse des journaux en temps réel empêchait la détection rapide d'activités anormales. En cas d'incident critique, une organisation doit savoir comment réagir, comme nous l'expliquons dans notre article sur la gestion d'une fuite de données et la communication.

Absence d'homologation de sécurité préalable

Plusieurs collectivités utilisaient des téléservices pour échanger avec les administrés sans avoir réalisé d'homologation de sécurité. Cette démarche est pourtant rendue obligatoire par le référentiel général de sécurité (RGS) avant toute mise en service d'un système d'information administratif.

Le défaut d'analyse d'impact relative à la protection des données

En dehors des failles techniques, la CNIL a sanctionné le non-respect des articles 35 du RGPD et 90 de la loi Informatique et Libertés. Ces textes imposent la conduite d'une analyse d'impact relative à la protection des données (AIPD) avant la mise en place de traitements susceptibles d'engendrer un risque élevé pour les droits des personnes.

Deux types de traitements ont été sanctionnés pour absence d'AIPD :

• Les téléservices scolaires et extrascolaires, qui collectent des coordonnées bancaires et concernent des mineurs, qualifiés de personnes vulnérables.
• Les dispositifs de vidéoprotection déployés sur la voie publique, qui constituent une surveillance systématique à grande échelle d'un espace accessible au public.

L'absence de cette étude préalable a privé les collectivités d'une évaluation méthodique des risques et du déploiement des garanties appropriées.

Synthèse des manquements et des exigences légales

Le tableau suivant récapitule les principales défaillances constatées lors des contrôles et les obligations légales correspondantes :

Effets pour votre entreprise

Ces sanctions rappellent que la sécurité des données ne concerne pas uniquement le secteur public. Le RGPD s'applique à toute entité, privée ou publique, établie dans l'Union européenne ou traitant les données de résidents européens. Les entreprises privées, en particulier lorsqu'elles agissent en qualité de sous-traitants pour le secteur public ou pour d'autres entreprises, sont soumises à des obligations strictes de sécurité.

Pour sécuriser votre organisation et anticiper les contrôles, plusieurs vérifications doivent être menées :

1. Réviser les accès externes et les comptes à privilèges : vous devez supprimer les comptes partagés, exiger une authentification multifacteur pour tous les accès distants et limiter les accès de vos sous-traitants à des fenêtres d'intervention définies.
2. Mettre à jour les parcs logiciels et serveurs : vous devez identifier les systèmes qui ne bénéficient plus de correctifs de sécurité de leur éditeur afin de planifier leur migration ou leur remplacement.
3. Auditer la chaîne de journalisation : vous devez vous assurer que les journaux de connexion et d'activité sont conservés, protégés contre l'altération et exploités régulièrement pour détecter toute anomalie.
4. Recenser les traitements nécessitant une analyse d'impact : si votre entreprise traite des données bancaires, des données de mineurs ou met en place des outils de surveillance, vous devez vérifier auprès de votre conseil juridique ou de votre DPO si une AIPD est requise [S1, S2].
5. Préparer les exigences futures : la directive NIS2, en cours de transposition, va étendre les exigences de sécurité à de nombreux acteurs économiques et publics.

Pour structurer la supervision interne de vos activités opérationnelles et de vos processus techniques, vous pouvez vous appuyer sur des outils métiers sur mesure.

Accompagnement Stratedge Consulting

Stratedge Consulting conçoit et développe des sites web, des tableaux de bord et des outils de pilotage sur mesure pour les dirigeants d'entreprise. Nous ne réalisons pas d'audits juridiques de conformité RGPD ni de prestations de mise en conformité réglementaire, qui relèvent de votre avocat ou de votre DPO. Nous accompagnons les équipes dirigeantes dans la structuration technique de leurs outils internes et de leurs interfaces de travail. Nos projets sur mesure débutent à 10 000 € HT pour un site web et à 15 000 € HT pour des outils de pilotage. Vous pouvez échanger sur vos projets numériques lors d'une visio de trente minutes avec un expert Stratedge.