La Commission nationale de l’informatique et des libertés (CNIL) a annoncé, le 9 novembre 2026, dix sanctions financières à l’encontre de collectivités territoriales et d’un établissement public après des contrôles consacrés à la cybersécurité. Les amendes, prononcées dans le cadre de la procédure simplifiée, vont de 3 000 à 20 000 euros par décision.
L’autorité décrit, dans sa présentation des sanctions, des insuffisances touchant la protection de données administratives parfois sensibles : état civil, prestations sociales, coordonnées bancaires ou informations relatives aux mineurs. Ces contrôles prolongent la priorité donnée en 2025 à la sécurité informatique des collectivités.
Accès distants, prestataires et serveurs : des failles de sécurité concrètes
Plusieurs organismes contrôlés ne protégeaient pas suffisamment les connexions à distance de leurs agents. Parmi les situations relevées figurent l’absence d’authentification multifacteur pour des comptes d’administrateurs, des mots de passe faibles ou mal protégés, ainsi que des accès permanents laissés à des prestataires externes. Certains fournisseurs pouvaient utiliser des comptes partagés entre plusieurs salariés.
La CNIL constate également des journaux d’activité incomplets ou insuffisamment exploités, un cloisonnement défaillant des réseaux et l’utilisation de systèmes d’exploitation devenus obsolètes, donc privés de correctifs de sécurité. Ces défaillances exposent les traitements à des risques de divulgation ou de perte de confidentialité ; certaines collectivités concernées avaient déjà connu des violations de données.
L’autorité relève aussi l’absence, pour plusieurs systèmes d’information destinés notamment aux échanges avec les administrés, de l’homologation de sécurité requise par le référentiel général de sécurité (RGS) avant leur mise en service. Le problème dépasse donc la seule installation d’outils techniques : il concerne également l’évaluation formelle des risques et les responsabilités de l’administration.
Des analyses d’impact absentes pour les téléservices et la vidéoprotection
Plusieurs sanctions portent aussi sur l’absence d’analyse d’impact relative à la protection des données (AIPD) avant le déploiement de traitements à risque élevé, au titre de l’article 35 du règlement général sur la protection des données (RGPD) et de la loi Informatique et Libertés.
La CNIL mentionne notamment des portails de gestion des activités scolaires et périscolaires, qui concernent des enfants et peuvent mobiliser des coordonnées bancaires, ainsi que des dispositifs de vidéoprotection sur la voie publique. Une analyse préalable doit permettre d’identifier les risques et de définir les protections adaptées au traitement concerné.
Une campagne de contrôles appelée à se poursuivre
Les montants des amendes tiennent compte, selon la CNIL, de la gravité des manquements, du budget des organismes, des catégories de données en jeu et des mesures correctrices entreprises. Le plafond de 20 000 euros cité pour cette procédure simplifiée n’est pas le plafond général des sanctions prévues par le RGPD.
La CNIL indique que d’autres procédures sont en cours et rappelle qu’elle consacre, en 2026, la moitié de ses contrôles et actions répressives à la sécurité des données. Elle inscrit également ses travaux dans la préparation de la directive NIS2, dont la transposition nationale reste en discussion. Pour les administrations et leurs prestataires informatiques, les ressources pratiques de cybersécurité de la CNIL constituent un point d’appui pour revoir les dispositifs d’accès, de traçabilité et de gestion des risques.
