Amendes CNIL : dix sanctions de cybersécurité contre des collectivités, de 3 000 à 20 000 euros

Le communiqué de la CNIL, daté du 9 novembre 2026, annonce dix amendes pour des manquements de cybersécurité. Elles visent des collectivités territoriales et un établissement public. Les montants vont de 3 000 à 20 000 euros. Vingt mille euros est le maximum légal de la procédure utilisée, appelée procédure simplifiée. Le texte ne donne aucun nom. Il ne dit pas non plus combien de communes, de départements, de régions ou d'établissements figurent parmi les dix.

La Commission nationale de l'informatique et des libertés est l'autorité française des données personnelles. Une collectivité territoriale, au sens que le communiqué rappelle, est une commune, un département ou une région. Ces administrations tiennent des fichiers que les habitants ne choisissent pas toujours de leur confier : état civil, prestations sociales, données financières, informations sur des mineurs. En 2025, face à la hausse des cyberattaques, la CNIL a fait de la cybersécurité de ces organismes l'un de ses thèmes de contrôle. Une cyberattaque, dans ce contexte, est une intrusion dans un système informatique. Le contrôle a porté sur plusieurs collectivités, que le texte appelle aussi des acteurs publics, ainsi que sur leurs prestataires. Il s'agissait de vérifier que les mesures techniques, d'organisation et physiques protégeaient assez les données des habitants.

Les manquements retenus relèvent du règlement général sur la protection des données, le RGPD, et de la loi Informatique et Libertés. Le RGPD est le texte européen qui encadre l'usage des informations permettant d'identifier une personne. Le thème de contrôle date de 2025. Les sanctions, elles, sont annoncées le 9 novembre 2026 : le communiqué écrit qu'elles ont été prononcées en novembre 2026. Il ne date pas chaque fait de ce mois-là.

Des accès trop ouverts, et des traces mal suivies

L'article 32 du RGPD oblige à protéger les données contre un accès non autorisé, une perte ou une destruction. La CNIL dit avoir constaté, notamment, six familles de failles. Le mot « notamment » compte : la liste n'est pas présentée comme l'inventaire complet de chaque dossier.

Les agents qui se connectent à distance, en particulier en télétravail, n'avaient pas toujours une authentification assez solide. C'était plus net pour les comptes à privilèges élevés, ceux qui peuvent modifier le système. L'authentification multifacteur manquait pour les administrateurs. Cette expression désigne un second verrou, en plus du mot de passe : un code à usage limité, une application, ou une clé. Sans ce second verrou, un mot de passe volé peut suffire.

Des prestataires extérieurs, par exemple des éditeurs de logiciels, pouvaient entrer sur le réseau en permanence, sans autorisation au cas par cas. Parfois, plusieurs salariés du prestataire partageaient le même compte. Un accès permanent et partagé rend difficile de savoir qui a fait quoi, et de couper seulement le compte qui pose problème.

Les outils censés repérer un comportement anormal étaient inefficaces. La journalisation, c'est-à-dire l'enregistrement des actions sur le système, était incomplète. Ou bien ces journaux n'étaient pas lus en temps réel, ni à court terme. Un journal que personne ne consulte ne sert pas d'alerte.

Le cloisonnement du réseau était insuffisant. Séparer le réseau en zones limite la portée d'une intrusion. Sans cette séparation, une violation peut s'étendre à plusieurs segments. Des systèmes d'exploitation de serveurs étaient obsolètes : l'éditeur ne les mettait plus à jour, donc les correctifs de sécurité ne suivaient plus. Enfin, certains mots de passe étaient trop faibles, transmis en clair aux usagers, ou stockés d'une façon qui ne garantissait pas leur confidentialité. « En clair » veut dire sans chiffrement : le mot de passe reste lisible par quiconque intercepte le message.

La CNIL écrit que l'ensemble exposait des données parfois sensibles à une perte de confidentialité. Certaines des collectivités contrôlées ont subi une ou plusieurs violations de données. Le communiqué estime qu'elles auraient pu être évitées avec des mesures adaptées. Il ne dit pas que chacun des dix organismes a été piraté. Il ne publie pas la liste des informations parties.

Plusieurs décisions relèvent aussi un défaut d'homologation de sécurité. Le référentiel général de sécurité, le RGS, l'exige avant la mise en service de systèmes utilisés pour échanger en ligne avec les habitants. Cette homologation est une validation formalisée : l'administration vérifie que le service en ligne atteint le niveau de sécurité prévu, avant de l'ouvrir.

Cantine, activités, caméras : l'étude de risques manquait

Un second manquement porte sur l'analyse d'impact relative à la protection des données, souvent abrégée AIPD. Les articles 35 du RGPD et 90 de la loi Informatique et Libertés demandent cette étude avant certains traitements à risque élevé. Elle sert à décrire les risques pour les personnes et les mesures prises pour les réduire. Plusieurs collectivités ne l'avaient pas faite.

La CNIL cite deux cas. Les téléservices où des parents gèrent les activités scolaires et extrascolaires de leurs enfants mêlent des mineurs, donc des personnes vulnérables, et des coordonnées bancaires, donc des données très personnelles. Les systèmes de vidéoprotection sur la voie publique sont qualifiés, entre guillemets, de « surveillance systématique à grande échelle d'une zone accessible au public ». Dans les deux cas, l'analyse aurait dû précéder le service, et aider à choisir les mesures de sécurité.

De 3 000 à 20 000 euros, et d'autres procédures ouvertes

Les montants tiennent compte du nombre de manquements et de leur gravité, des catégories de données (mineurs, coordonnées bancaires), du budget de chaque collectivité, du nombre de personnes concernées, et des mesures prises pour se mettre en conformité. Vingt mille euros est le plafond de cette procédure simplifiée.

En 2026, la CNIL consacre la moitié de ses contrôles et de ses actions répressives à la sécurité des données. Elle poursuivra les vérifications auprès des collectivités et de leurs prestataires. D'autres procédures sont en cours. Elles peuvent aboutir à des sanctions, à des mises en demeure, ou à des rappels aux obligations. Une mise en demeure est un ordre de se mettre en conformité, distinct d'une amende déjà prononcée.

Le même texte annonce la poursuite de la sensibilisation et de l'accompagnement des collectivités. Il situe ces contrôles dans la préparation de la directive NIS2, un texte européen sur la sécurité des réseaux et des systèmes d'information, encore en cours de transposition en droit français. Cette directive doit imposer de nouvelles exigences, notamment aux collectivités. Les dix amendes du communiqué ne sont pas présentées comme des sanctions prises au titre de NIS2.

Ce que cela change pour un habitant

Le communiqué ne permet pas de savoir si sa commune, son département ou sa région fait partie des dix. Il ne joint pas de liste, de numéro de décision, ni de lettre type. Une personne qui paie la cantine en ligne, qui inscrit un enfant à une activité, ou qui passe devant une caméra municipale y lit les défauts trouvés lors des contrôles : un portail ouvert sans étude de risques, un mot de passe envoyé sans protection, un prestataire qui reste branché au réseau.

Lorsque la CNIL parle de violations de données, elle les limite à certaines collectivités contrôlées, sans les nommer. Le texte décrit des obligations de sécurité et des amendes déjà prononcées. Il ne décrit pas une démarche que l'habitant devrait entreprendre auprès de la CNIL pour ces dix dossiers. Un message qui réclamerait de l'argent ou un mot de passe en citant cette amende ne figure pas dans le communiqué.