La CNIL sanctionne dix collectivités territoriales pour des failles de cybersécurité
Le 9 novembre 2026, la CNIL a annoncé dix amendes de 3 000 à 20 000 euros contre des collectivités pour des failles de sécurité et des AIPD manquantes.
Le 9 novembre 2026, la CNIL a annoncé dix sanctions à l'encontre de collectivités territoriales et d'un établissement public pour des manquements relatifs à la cybersécurité. Les amendes vont de 3 000 à 20 000 euros, le maximum légal de la procédure de sanction simplifiée. Elles font suite aux contrôles menés après que la CNIL a fait, en 2025, de la cybersécurité des collectivités territoriales l'une de ses thématiques annuelles de contrôle.
Ce que la CNIL a constaté
Au titre de l'article 32 du RGPD (sécurité), les contrôles ont relevé :
- des accès à distance des agents, notamment en télétravail, sans authentification suffisamment robuste, et l'absence d'authentification multifacteur pour les administrateurs ;
- des prestataires extérieurs, par exemple des éditeurs de logiciels, disposant d'un accès permanent au réseau, sans autorisation au cas par cas ou via des comptes partagés entre plusieurs salariés ;
- une journalisation incomplète, ou des journaux non exploités en temps réel ou à court terme ;
- un cloisonnement du réseau insuffisant, permettant à une violation de s'étendre à plusieurs segments ;
- des serveurs fonctionnant avec des systèmes d'exploitation qui ne sont plus mis à jour par leur éditeur ;
- des mots de passe peu robustes, transmis en clair aux usagers ou stockés sans garantie de confidentialité.
Certaines collectivités avaient subi des violations de données qui, selon la CNIL, auraient pu être évitées. Plusieurs avaient aussi mis en service des systèmes d'information sans l'homologation de sécurité qu'exige le référentiel général de sécurité (RGS).
Plusieurs collectivités ont également été sanctionnées pour ne pas avoir réalisé d'AIPD avant des traitements à risque élevé : les téléservices permettant aux parents de gérer les activités scolaires de leurs enfants (données de mineurs et coordonnées bancaires) et la vidéoprotection sur la voie publique.
La suite
La CNIL indique consacrer en 2026 la moitié de ses contrôles et actions répressives à la sécurité des données, et d'autres procédures sont en cours. Elle inscrit cette action dans la préparation de la directive NIS2, qui imposera de nouvelles exigences de sécurité aux collectivités ; pour l'état du projet de loi français, voir NIS2 en octobre 2026.
Que faire maintenant
Vérifiez les points cités par la CNIL : authentification multifacteur pour les accès à distance et administrateurs, accès des prestataires maîtrisés, journaux réellement exploités, cloisonnement et systèmes maintenus. Puis listez les traitements qui exigent une AIPD, en commençant par les services destinés aux enfants et la vidéoprotection.
Dazr Compliance transforme ces mesures en contrôles récurrents avec responsables et preuves, tient le registre des traitements et un registre des AIPD, et suit les revues des prestataires avec leurs échéances. L'interface est disponible en français.
Sources
À titre d’information, ne constitue pas un conseil juridique. Dernière mise à jour le 10 novembre 2026.
Également disponible en: English