La CNIL a prononcé dix sanctions contre des collectivités territoriales et un établissement public pour des manquements à la sécurité de leurs systèmes d’information. Annoncées le 9 novembre, les amendes vont de 3 000 à 20 000 euros, selon le communiqué de la CNIL. Absence de double authentification, prestataires sans contrôle, serveurs obsolètes : la liste des failles sert de feuille de route à toutes les mairies, départements et régions.
Dix sanctions, des noms tenus secrets
Les décisions ont été rendues selon la procédure de sanction simplifiée. Comme le rappelle ZATAZ, 20 000 euros est le montant maximal prévu dans ce cadre. Le communiqué ne nomme pas les entités concernées : la CNIL précise seulement qu’il s’agit de communes, de départements et de régions, ainsi que d’un établissement public.
Le montant de chaque amende a été fixé en tenant compte de plusieurs critères : la gravité et le nombre des manquements, la nature des données en jeu (informations sur des mineurs ou coordonnées bancaires), le budget de la collectivité, le nombre de personnes touchées et les efforts de mise en conformité. Ces contrôles s’inscrivent dans un thème prioritaire retenu par la CNIL pour 2025, la cybersécurité des collectivités, qui visait aussi leurs prestataires. L’autorité indique consacrer en 2026 à la sécurité des données la moitié de ses contrôles et de ses procédures répressives.
Les failles relevées, une à une
Au titre de l’article 32 du RGPD, qui impose une sécurité adaptée aux risques, la CNIL a constaté une série de défauts récurrents :
- des accès à distance, notamment pour le télétravail, sans authentification robuste, et des administrateurs privilégiés sans authentification multifacteur ;
- des prestataires extérieurs disposant d’un accès permanent au réseau, sans autorisation au cas par cas, voire avec des comptes partagés ;
- une journalisation incomplète ou examinée trop tard pour détecter une anomalie ;
- un cloisonnement du réseau insuffisant, qui laisse une intrusion se propager d’un segment à l’autre ;
- des serveurs tournant sous des systèmes d’exploitation que leur éditeur ne maintient plus ;
- des mots de passe faibles, envoyés en clair aux usagers ou mal stockés ;
- l’absence de l’homologation de sécurité que le référentiel général de sécurité (RGS) rend obligatoire avant la mise en service de certains systèmes, notamment ceux qui servent à échanger en ligne avec les administrés.
La CNIL relève aussi que plusieurs de ces collectivités ont déjà subi des violations de données qui, selon elle, auraient pu être évitées avec des mesures adaptées.
Portails des familles et vidéoprotection sans étude d’impact
Un second reproche concerne l’analyse d’impact relative à la protection des données (AIPD), obligatoire pour les traitements à risque élevé en vertu de l’article 35 du RGPD et de l’article 90 de la loi Informatique et Libertés. Certaines collectivités n’en avaient réalisé aucune pour leurs portails destinés aux parents, qui gèrent les activités scolaires et extrascolaires et manipulent des données d’enfants et des coordonnées bancaires. D’autres l’avaient omise pour la vidéoprotection sur la voie publique, que la CNIL considère comme une surveillance systématique et à grande échelle d’un espace ouvert au public.
Une menace bien réelle, comme à Chambourcy
Ces sanctions tombent alors que les attaques contre les communes se multiplient. Le week-end des 7 et 8 novembre, la mairie de Chambourcy, dans les Yvelines, a coupé son réseau informatique par précaution après une cyberattaque, rapporte InfosYvelines. Les agents travaillent en grande partie sur papier, ce qui allonge les délais des démarches. La commune a porté plainte et informé la CNIL, sans préciser l’ampleur des données touchées ni s’il y a eu chiffrement ou demande de rançon. Le même média cite le rapport d’activité 2025 de Cybermalveillance.gouv.fr : 5 078 collectivités et administrations y ont été assistées en 2025, un bond de 22 % sur un an.
Ce que cela change pour les collectivités et leurs prestataires
Le budget de chaque collectivité a été pris en compte dans le calcul de l’amende, mais il n’a pas évité la sanction. D’autres procédures sont en cours et pourraient aboutir, selon la CNIL, à des amendes, à des mises en demeure ou à des rappels de leurs obligations. Les éditeurs et infogéreurs sont directement concernés : l’accès permanent et non contrôlé des prestataires figure parmi les griefs. La CNIL relie enfin cette démarche à la transposition de la directive NIS 2, encore en cours, qui imposera de nouvelles exigences de sécurité aux collectivités.
Questions fréquentes
Quelles collectivités ont été sanctionnées par la CNIL ?
Leurs noms n’ont pas été communiqués avec l’annonce du 9 novembre. La CNIL indique seulement qu’il s’agit de communes, de départements, de régions et d’un établissement public.
Pourquoi les amendes ne dépassent-elles pas 20 000 euros ?
C’est le plafond légal de la procédure de sanction simplifiée. Dans ce cadre, le montant dépend aussi du budget de la collectivité et de ses efforts de mise en conformité.
Quelles mesures prendre en priorité dans une mairie ?
Imposer l’authentification multifacteur aux administrateurs et aux accès distants, encadrer chaque intervention des prestataires, remplacer les systèmes non maintenus, exploiter les journaux et réaliser une AIPD avant de lancer un portail famille ou un dispositif de vidéoprotection.
Sources
- Cybersécurité des collectivités territoriales : la CNIL prononce dix sanctions — CNIL, 2026-11-09
- Cybersécurité : la CNIL sanctionne dix collectivités — ZATAZ, 2026-11-09
- Cyberattaque à Chambourcy : la mairie paralysée, retour forcé au papier et au crayon — InfosYvelines, 2026-11-10