La CNIL, la autoridad francesa de protección de datos, ha impuesto diez sanciones a entidades locales y a un organismo público por deficiencias en la seguridad de sus sistemas de información. Anunciadas el 9 de noviembre, las multas van de 3.000 a 20.000 euros, según el comunicado de la CNIL. Ausencia de doble autenticación, proveedores sin control, servidores obsoletos: la lista de fallos sirve de hoja de ruta para todos los ayuntamientos, departamentos y regiones.
Diez sanciones, nombres mantenidos en secreto
Las decisiones se dictaron mediante el procedimiento de sanción simplificado. Como recuerda ZATAZ, 20.000 euros es el importe máximo previsto en este marco. El comunicado no menciona a las entidades afectadas: la CNIL se limita a precisar que se trata de municipios, departamentos y regiones, así como de un organismo público.
El importe de cada multa se fijó teniendo en cuenta varios criterios: la gravedad y el número de los incumplimientos, la naturaleza de los datos en juego (información sobre menores o datos bancarios), el presupuesto de la entidad local, el número de personas afectadas y los esfuerzos de adecuación a la normativa. Estos controles forman parte de un tema prioritario elegido por la CNIL para 2025, la ciberseguridad de las entidades locales, que también se dirigía a sus proveedores. La autoridad indica que en 2026 dedicará a la seguridad de los datos la mitad de sus controles y de sus procedimientos sancionadores.
Los fallos detectados, uno por uno
En virtud del artículo 32 del RGPD, que exige una seguridad adecuada a los riesgos, la CNIL constató una serie de deficiencias recurrentes:
- accesos remotos, en particular para el teletrabajo, sin autenticación robusta, y administradores con privilegios sin autenticación multifactor;
- proveedores externos con acceso permanente a la red, sin autorización caso por caso, e incluso con cuentas compartidas;
- un registro de actividad incompleto o examinado demasiado tarde para detectar una anomalía;
- una segmentación de la red insuficiente, que permite que una intrusión se propague de un segmento a otro;
- servidores que funcionan con sistemas operativos que su fabricante ya no mantiene;
- contraseñas débiles, enviadas en claro a los usuarios o mal almacenadas;
- la ausencia de la homologación de seguridad que el referencial general de seguridad francés (RGS) hace obligatoria antes de la puesta en servicio de determinados sistemas, en particular los que sirven para relacionarse en línea con los ciudadanos.
La CNIL señala también que varias de estas entidades locales ya han sufrido violaciones de datos que, según ella, podrían haberse evitado con medidas adecuadas.
Portales para familias y videovigilancia sin evaluación de impacto
Un segundo reproche se refiere a la evaluación de impacto relativa a la protección de datos (EIPD), obligatoria para los tratamientos de alto riesgo en virtud del artículo 35 del RGPD y del artículo 90 de la ley francesa de Informática y Libertades. Algunas entidades locales no habían realizado ninguna para sus portales destinados a los padres, que gestionan las actividades escolares y extraescolares y manejan datos de menores y datos bancarios. Otras la habían omitido para la videovigilancia en la vía pública, que la CNIL considera una observación sistemática a gran escala de una zona de acceso público.
Una amenaza muy real, como en Chambourcy
Estas sanciones llegan en un momento en que se multiplican los ataques contra los municipios. El fin de semana del 7 y 8 de noviembre, el ayuntamiento de Chambourcy, en el departamento de Yvelines, desconectó su red informática por precaución tras un ciberataque, informa InfosYvelines. Los empleados trabajan en gran parte en papel, lo que alarga los plazos de los trámites. El municipio ha presentado una denuncia e informado a la CNIL, sin precisar el alcance de los datos afectados ni si hubo cifrado o petición de rescate. El mismo medio cita el informe de actividad de 2025 de Cybermalveillance.gouv.fr: 5.078 entidades locales y administraciones recibieron asistencia en 2025, un salto del 22 % en un año.
Qué cambia para las entidades locales y sus proveedores
El presupuesto de cada entidad local se tuvo en cuenta en el cálculo de la multa, pero no evitó la sanción. Hay otros procedimientos en curso que podrían desembocar, según la CNIL, en multas, requerimientos o recordatorios de sus obligaciones. Los editores de software y los proveedores de servicios gestionados están directamente afectados: el acceso permanente y no controlado de los proveedores figura entre los reproches. Por último, la CNIL vincula esta iniciativa a la transposición de la directiva NIS 2, todavía en curso, que impondrá nuevas exigencias de seguridad a las entidades locales.
Preguntas frecuentes
¿Qué entidades locales ha sancionado la CNIL?
Sus nombres no se comunicaron con el anuncio del 9 de noviembre. La CNIL indica únicamente que se trata de municipios, departamentos, regiones y un organismo público.
¿Por qué las multas no superan los 20.000 euros?
Es el límite legal del procedimiento de sanción simplificado. En este marco, el importe depende también del presupuesto de la entidad local y de sus esfuerzos de adecuación a la normativa.
¿Qué medidas debe priorizar un ayuntamiento?
Imponer la autenticación multifactor a los administradores y a los accesos remotos, supervisar cada intervención de los proveedores, sustituir los sistemas sin mantenimiento, explotar los registros de actividad y realizar una EIPD antes de lanzar un portal para familias o un sistema de videovigilancia.
Fuentes
- Ciberseguridad de las entidades locales: la CNIL impone diez sanciones — CNIL, 2026-11-09
- Ciberseguridad: la CNIL sanciona a diez entidades locales — ZATAZ, 2026-11-09
- Ciberataque en Chambourcy: el ayuntamiento paralizado, vuelta forzosa al papel y al lápiz — InfosYvelines, 2026-11-10