Ce qui a changé
- La CNIL a prononcé dix sanctions financières allant de 3 000 € à 20 000 € à l'encontre de collectivités locales françaises à la suite d'audits de cybersécurité menés en 2025.
- Les audits ont révélé des violations de l'article 32 du RGPD, notamment l'absence d'authentification multifacteur, des réseaux non segmentés, des systèmes de serveurs obsolètes et le défaut de réalisation des homologations de sécurité RGS.
- Plusieurs entités ont été sanctionnées au titre de l'article 35 du RGPD et du droit français pour ne pas avoir réalisé d'analyses d'impact relatives à la protection des données (AIPD) sur des traitements à haut risque tels que les portails scolaires et la vidéoprotection publique.
L'autorité française de protection des données (CNIL) a annoncé en novembre 2026 avoir prononcé dix sanctions simplifiées à l'encontre de collectivités territoriales françaises et d'un établissement public pour non-conformité à la protection des données. Ces décisions de sanction font suite à une campagne de contrôle engagée par la CNIL en 2025 visant le secteur public, incluant les communes, les départements, les régions et leurs prestataires de services tiers.
Les amendes infligées s'échelonnent entre 3 000 € et 20 000 €, ce qui représente le maximum légal dans le cadre de la procédure de sanction simplifiée de la CNIL. Le montant des amendes a été calibré en fonction du nombre et de la gravité des manquements, des catégories de données traitées (telles que les données relatives aux mineurs et les coordonnées bancaires), du budget de chaque entité, du volume de personnes concernées et des efforts de mise en conformité entrepris.
La CNIL a identifié de multiples manquements à la sécurité au titre de l'article 32 du Règlement général sur la protection des données (RGPD). Les principaux constats de non-conformité comprenaient :
- Contrôles insuffisants de l'authentification à distance, en particulier l'absence d'authentification multifacteur (MFA) pour les comptes d'administration ;
- Accès réseau permanent ou partagé accordé aux éditeurs de logiciels externes sans autorisation au cas par cas ;
- Détection inefficace des anomalies due à une journalisation incomplète ou à l'absence d'exploitation à court terme des journaux d'événements ;
- Segmentation réseau insuffisante, systèmes d'exploitation de serveurs obsolètes privés de mises à jour de sécurité, et transmission et stockage de mots de passe faibles ou non chiffrés ;
- Défaut de réalisation de l'homologation de sécurité obligatoire requise par le Référentiel général de sécurité (RGS) français avant le lancement de services administratifs en ligne.
En outre, des entités ont été sanctionnées au titre de l'article 35 du RGPD et de l'article 90 de la loi Informatique et Libertés pour ne pas avoir réalisé d'analyses d'impact relatives à la protection des données (AIPD) avant d'engager des activités de traitement à haut risque. Les systèmes non évalués incluaient des portails en ligne pour les activités scolaires et périscolaires traitant des données de mineurs et des données financières, ainsi que des systèmes de vidéoprotection sur la voie publique.
La CNIL a indiqué que la moitié de ses ressources de contrôle et de sanction en 2026 sont consacrées à la sécurité des données. D'autres actions réglementaires se poursuivent. La CNIL a rappelé que les entités publiques locales doivent également aligner leur niveau de sécurité sur les exigences à venir de la directive UE NIS2 actuellement en cours de transposition.
Qui peut être concerné
Collectivités territoriales françaises (communes, départements, régions), établissements publics et prestataires de services informatiques ou éditeurs de logiciels fournissant des entités publiques françaises.
Contexte transfrontalier
Pertinent pour l'ensemble de l'UE, la Suisse et les marchés internationaux s'agissant des fournisseurs de technologies aux autorités publiques, illustrant l'application stricte des contrôles de sécurité technique du RGPD et la préparation à la directive UE NIS2.
Points à vérifier ensuite
- Orientations de la CNIL sur les contrôles de cybersécurité pour les collectivités locales et les organismes publics
- État d'avancement de la transposition et exigences de la directive UE NIS2 en France
Cet article fournit des informations générales et ne constitue pas un conseil juridique. Consultez le texte officiel et obtenez des conseils adaptés à votre situation si nécessaire.