Cybersécurité des collectivités territoriales : la CNIL prononce dix sanctions pour manquements aux règles de protection des données
Ce qu'il faut retenir
La CNIL a prononcé dix sanctions contre des collectivités territoriales et un établissement public pour des manquements à la sécurité des données personnelles et à l'obligation de réaliser une analyse d'impact (AIPD). Ces décisions rappellent les responsabilités des organismes publics en matière de cybersécurité et l'importance du contrôle des prestations informatiques externalisées.
Le 9 novembre 2026, la CNIL a annoncé dix sanctions à l'encontre de collectivités territoriales et d'un établissement public, pour des montants compris entre 3.000 et 20.000 euros. Ces sanctions font suite à des contrôles réalisés en 2025, année durant laquelle la cybersécurité des collectivités figurait parmi les priorités de contrôle de la CNIL. (1)
Les manquements relevés concernent principalement l'insuffisance des mesures de sécurité des systèmes d’information et l'absence d'analyses d'impact pour certains traitements présentant des risques élevés. Ces sanctions apportent plusieurs enseignements sur la responsabilité en matière de sécurité pour les administrations, ainsi que pour leurs fournisseurs.
1. Les manquements à l'obligation de sécurité des données
1.1 L'obligation de sécurité prévue par le RGPD
Les collectivités territoriales traitent quotidiennement de nombreuses données personnelles concernant des domaines aussi variés que l’état civil, les prestations sociales, des informations financières, des données relatives aux enfants ou encore la gestion des services publics.
En qualité de responsables du traitement, elles doivent garantir un niveau de sécurité adapté aux risques présentés par ces traitements.
L'article 32 du RGPD, relatif à la sécurité des traitements, impose aux responsables du traitement et aux sous-traitants de mettre en œuvre des mesures techniques et organisationnelles appropriées, en tenant compte de la nature des données, des risques encourus, de l'état des connaissances et des coûts de mise en œuvre. Ces mesures visent à assurer la confidentialité, l'intégrité et la disponibilité des données, ainsi que la résilience des systèmes. Elles peuvent comprendre le chiffrement des données, la gestion des accès, les procédures de sauvegarde et de restauration, et les tests réguliers de sécurité.
1.2 Les défaillances de sécurité relevées par la CNIL
Les contrôles ont mis en évidence plusieurs défaillances dans la sécurité des systèmes informatiques.
a) Une gestion inappropriée des accès et des habilitations : les modalités de connexion à distance des agents présentaient des faiblesses, particulièrement pour les comptes disposant de privilèges élevés. La CNIL a ainsi relevé l'absence d'authentification multifacteur pour certains administrateurs, ainsi que l'utilisation de mots de passe insuffisamment robustes ou conservés dans des conditions inadaptées.
Les contrôles ont également mis en évidence des accès excessifs accordés à des prestataires informatiques. Certains disposaient d'un accès permanent aux réseaux, sans autorisation spécifique pour chaque intervention. Dans d'autres cas, plusieurs salariés utilisaient un même compte.
Ces pratiques augmentent les risques d'intrusion et compliquent l'identification des personnes à l'origine des opérations effectuées sur les systèmes.
b) Insuffisances dans la surveillance et la protection des réseaux : la CNIL a constaté des lacunes dans la journalisation et l'exploitation des événements informatiques, limitant la capacité des collectivités à détecter rapidement les comportements anormaux.
Le cloisonnement insuffisant des réseaux, susceptible de faciliter la propagation d’une intrusion et l'utilisation de systèmes d'exploitation obsolètes, qui n’étaient plus maintenus, constituaient d'autres facteurs de vulnérabilité. La CNIL a par ailleurs relevé que certaines collectivités contrôlées avaient subi des violations de données que des mesures de sécurité adaptées auraient pu éviter.
c) L'absence de formalisation de la sécurité avant la mise en service de certains systèmes : plusieurs organismes n'avaient pas procédé à l'homologation de sécurité de certains systèmes d'information, alors que le référentiel général de sécurité (RGS) l'exigeait. (2)
La procédure d’homologation prévue par le RGS permet à l'autorité administrative d'apprécier les risques associés à un système et de formaliser sa décision d’acceptation des risques résiduels avant sa mise en service. Distincte des obligations prévues par l'article 32 du RGPD, cette procédure participe à la maîtrise de la sécurité des systèmes concernés.
Ces constats rappellent que la sécurité des systèmes informatiques ne repose pas uniquement sur des dispositifs techniques. Elle suppose également une organisation adaptée et un contrôle régulier des risques.
2. Les manquements à l'obligation de réaliser une analyse d'impact (AIPD)
2.1 Dans quels cas une AIPD est-elle obligatoire ?
L'article 35 du RGPD impose la réalisation d'une analyse d'impact relative à la protection des données (AIPD), préalablement à la mise en œuvre d'un traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Cette analyse permet d'évaluer la nécessité et la proportionnalité du traitement, les risques encourus et les mesures destinées à les réduire.
Pour déterminer si une AIPD est requise, plusieurs critères doivent être examinés, parmi lesquels :
- le traitement de données sensibles ou de données à caractère hautement personnel ;
- le traitement de données concernant des personnes vulnérables, tels que les enfants ;
- la surveillance systématique des personnes ;
- le traitement de données à grande échelle ; et
- le recours à des technologies innovantes.
En règle générale, la réunion de deux critères constitue un indicateur de risque élevé. Selon les caractéristiques du traitement, un seul critère peut toutefois suffire pour nécessiter une AIPD. (3)
Pour rappel, la CNIL a publié une liste de traitements pour lesquels une AIPD est requise ou, à l'inverse, n'est pas requise.
2.2 Les manquements constatés
Plusieurs collectivités ont été sanctionnées pour ne pas avoir réalisé d'AIPD avant de mettre en service des dispositifs présentant des risques élevés.
Deux catégories de traitements sont concernées.
a) Les téléservices scolaires et périscolaires : les plateformes permettant aux parents de gérer les activités scolaires et extrascolaires de leurs enfants traitent des informations concernant des mineurs, considérés comme des personnes vulnérables, ainsi que des données hautement personnelles, telles que des coordonnées bancaires. La combinaison de ces caractéristiques justifie une analyse préalable des risques, portant entre autres sur les habilitations, les modalités d'accès aux données et les garanties de sécurité.
b) Les dispositifs de vidéoprotection sur la voie publique : les systèmes de vidéoprotection peuvent constituer une surveillance systématique à grande échelle d'une zone accessible au public, situation expressément visée par l'article 35 du RGPD. Selon les finalités poursuivies, le dispositif peut relever du RGPD ou du régime spécifique de la loi Informatique et Libertés applicable aux traitements « police-justice ». (4)
L'AIPD doit permettre d'évaluer les risques liés à la collecte, à l'enregistrement, à la conservation et aux conditions de consultation des images.
Dans les deux cas, l'analyse d'impact constitue un outil de prévention. Elle doit intervenir avant la mise en œuvre du traitement et non servir uniquement à régulariser un dispositif déjà opérationnel.
3. Quels enseignements pour les collectivités territoriales et leurs prestataires informatiques ?
3.1 Pour les collectivités et administrations : organiser et contrôler la conformité
a) Assurer la sécurité des traitements : ces sanctions rappellent que les organismes publics doivent assurer la sécurité des traitements dont ils sont responsables, y compris lorsque leur exploitation technique est confiée à des prestataires tiers. Cette responsabilité suppose d'identifier les traitements, de définir les habilitations, de contrôler les mesures de sécurité et de vérifier les conditions d'intervention des fournisseurs.
Les projets numériques doivent en outre faire l'objet d'une évaluation des risques dès leur conception. Lorsque le traitement présente un risque élevé, une AIPD doit être réalisée avant sa mise en œuvre.
b) Le rôle du DPO : conformément à l'article 37 du RGPD, les collectivités territoriales sont tenues de désigner un délégué à la protection des données (DPO).
Le DPO informe et conseille l'organisme sur ses obligations, contrôle le respect du RGPD et fournit des conseils concernant les AIPD. Il est essentiel d'associer le DPO aux projets numériques impliquant des traitements de données personnelles dès leur conception et de lui permettre de travailler avec les différents services concernés.
3.2 Pour les fournisseurs informatiques : encadrer les prestations et sécuriser les interventions
Les défaillances constatées concernent également les conditions dans lesquelles les prestataires informatiques (éditeurs de logiciels, intégrateurs, prestataires de maintenance, hébergeurs) accèdent aux systèmes des collectivités. Lorsqu'ils interviennent en qualité de sous-traitants au sens du RGPD, ces prestataires doivent mettre en œuvre des mesures de sécurité adaptées aux traitements et respecter les instructions documentées du responsable du traitement.
Une attention particulière doit être portée aux interventions à distance. Les accès doivent être gérés en privilégiant les comptes individualisés, des habilitations limitées, une authentification renforcée et la journalisation des opérations.
Les prestataires doivent également fournir les informations techniques nécessaires à l'évaluation des risques et assister les collectivités dans la réalisation des AIPD, conformément aux obligations applicables et aux prestations convenues.
La répartition des responsabilités doit être clairement définie : la collectivité reste responsable de ses traitements, tandis que le prestataire répond de ses propres obligations en qualité de sous-traitant. Ces exigences doivent être traduites dans les contrats informatiques. Il conviendra de préciser notamment les conditions d'accès aux systèmes, les responsabilités respectives, les mesures de sécurité attendues, et les procédures de notification des incidents de sécurité.
Les dix sanctions annoncées par la CNIL illustrent les conséquences d'une protection insuffisante des systèmes informatiques et de l'absence d'évaluation préalable des risques. Les amendes, comprises entre 3.000 et 20.000 euros, ont été prononcées dans le cadre de la procédure de sanction simplifiée. Les délibérations n’ont pas été rendues publiques.
Au-delà des sanctions financières, ces sanctions rappellent que la conformité au RGPD exige une politique de sécurité suivie, une répartition claire des responsabilités et un encadrement contractuel rigoureux des prestations externalisées.
La CNIL a annoncé que d’autres procédures concernant les collectivités locales étaient en cours.
* * * * * * * * * * *
(1) CNIL, 9 novembre 2026, « Cybersécurité des collectivités territoriales : la CNIL prononce dix sanctions ».
(3) CNIL, « L'analyse d'impact relative à la protection des données (AIPD) ».
(4) Loi n°78-17 relative à l'informatique, aux fichiers et aux libertés du 6 janvier 1978 modifiée, article 90
Bénédicte DELEPORTE
Avocat
Deleporte Wentz Avocat
Novembre 2026