主要变化
- 在 2025 年网络安全审计之后，CNIL 对法国地方当局开出了十项金额从 €3,000 至 €20,000 不等的经济处罚。
- 审计揭露了对 GDPR 第 32 条的违反，包括缺乏多因素认证、网络未隔离、服务器系统陈旧以及未完成 RGS 安全认证。
- 多家实体因未能就学校门户网站和公共视频监控等高风险处理活动开展数据保护影响评估，根据 GDPR 第 35 条及法国法律受到处罚。
法国数据保护局（CNIL）于 2026 年 11 月宣布，因违反数据保护规定，已对法国地方当局（collectivités territoriales）和一家公共机构做出了十项简易处罚决定。这些执法决定源于 CNIL 于 2025 年发起的针对公共部门的检查行动，涵盖市镇、省、大区及其第三方服务提供商。
处罚金额介于 €3,000 至 €20,000 之间，达到了 CNIL 简易处罚程序下的法定最高限额。罚款金额系根据违规行为的数量与严重程度、处理的数据类别（如未成年人数据和银行明细）、各实体的预算、受影响的人员数量以及整改合规努力进行裁量。
CNIL 认定存在多项违反《通用数据保护条例》（GDPR）第 32 条的安全违规行为。主要不合规调查结果包括：
- 远程身份验证控制不足，特别是管理账户缺乏多因素认证（MFA）；
- 未经逐案授权，即允许外部软件供应商拥有永久或共享的网络访问权限；
- 因日志记录不完整或缺乏短期日志利用，导致异常检测失效；
- 网络隔离不足、服务器操作系统陈旧且缺乏安全更新，以及密码传输与存储弱化或未加密；
- 在上线在线行政服务之前，未能完成法国通用安全框架（Référentiel général de sécurité, RGS）所要求的强制性安全认证（homologation de sécurité）。
此外，相关实体因在开展高风险处理活动前未进行数据保护影响评估（DPIA），根据 GDPR 第 35 条及法国《数据保护法》（loi Informatique et Libertés）第 90 条受到处罚。未经评估的系统包括涉及未成年人及财务数据的学校和课外活动在线门户，以及公共街道视频监控系统。
CNIL 表示，其 2026 年一半的检查与执法资源都用于数据安全领域。其他监管行动仍在持续进行中。CNIL 指出，地方公共实体还必须调整其安全策略，以符合目前正在转化的欧盟 NIS2 指令即将实施的要求。
受影响对象
法国地方当局（市镇、省、大区）、公共机构，以及为法国公共实体提供服务的 IT 服务提供商或软件供应商。
跨境背景
适用于向公共当局提供技术的欧盟、瑞士及国际市场科技供应商，展示了对 GDPR 技术安全控制的严格执法以及对欧盟 NIS2 指令的准备情况。
后续关注事项
- CNIL 关于地方当局及公共机构网络安全控制的指南
- 欧盟 NIS2 指令在法国的转化进展与要求
本文仅提供一般性信息，不构成法律意见。必要时请查阅官方文本并根据您的具体情况寻求专业建议。