La CNIL prononce dix sanctions pour des manquements à la cybersécurité de services publics

Ce qui est nouveau

La Commission nationale de l’informatique et des libertés (CNIL) annonce dix sanctions financières prononcées en novembre 2026 contre des collectivités territoriales et un établissement public. Leurs noms ne sont pas publiés. Les amendes s’échelonnent de 3 000 à 20 000 euros.

Les décisions sanctionnent des défauts de sécurité au regard du règlement général sur la protection des données (RGPD), ou l’absence d’analyse d’impact relative à la protection des données avant certains traitements à risque élevé. Pour fixer les montants, la CNIL indique avoir notamment tenu compte de la gravité des manquements, des données concernées, du budget des collectivités et des mesures de mise en conformité.

Ce qui change et pourquoi

Ces sanctions concrétisent la priorité de contrôle donnée en 2025 à la cybersécurité des collectivités. La CNIL explique ce choix par la multiplication des cyberattaques et par les nombreuses données personnelles traitées par ces administrations.

Les contrôles ont notamment révélé des accès à distance insuffisamment protégés, dont des comptes administrateurs sans authentification multifacteur. Certains prestataires disposaient d’accès permanents ou de comptes partagés. Des serveurs utilisaient des systèmes d’exploitation qui ne recevaient plus de correctifs de sécurité.

La détection et le confinement des incidents présentaient aussi des lacunes : des journaux d’activité incomplets ou inexploités limitaient la détection, tandis qu’un cloisonnement insuffisant pouvait étendre une violation à plusieurs segments du réseau.

Pourquoi c’est important

Les données exposées comprennent notamment des informations sur des mineurs et des coordonnées bancaires. Certaines collectivités contrôlées avaient déjà subi des violations de données : selon la CNIL, des mesures adaptées auraient permis d’en éviter certaines.

L’évaluation préalable des risques est également en cause. Des téléservices scolaires et extrascolaires ainsi que des dispositifs de vidéoprotection sur la voie publique avaient été déployés sans l’analyse d’impact requise.

La CNIL annonce que d’autres procédures sont en cours. Elles pourraient déboucher sur des sanctions, des mises en demeure ou des rappels aux obligations ; leur issue n’est pas encore connue.