CNIL : dix sanctions contre des collectivités pour failles de cybersécurité

CNIL : dix sanctions simplifiées pour des manquements à la cybersécurité dans les collectivités territoriales

En novembre 2026, la Commission nationale de l'informatique et des libertés (CNIL) a prononcé dix sanctions financières à l'encontre de collectivités territoriales et d'un établissement public, dans le cadre de sa procédure simplifiée. Ces décisions font suite à une série de contrôles menés auprès de communes, de départements, de régions ainsi que de leurs prestataires.

Un axe prioritaire fixé dès 2025

Face à la multiplication des cyberattaques visant le secteur public local, la CNIL avait inscrit, dès 2025, la cybersécurité des collectivités territoriales parmi ses priorités de contrôle. Les collectivités traitent en effet des données de nature très diverse — état civil, prestations sociales, données financières, informations concernant des mineurs — ce qui rend les conséquences d'une violation particulièrement sensibles pour les administrés.

Des failles multiples et systémiques

Les contrôles ont mis au jour plusieurs catégories de manquements à l'article 32 du RGPD, qui impose aux responsables de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données.

Parmi les défaillances constatées :

• Authentification insuffisante : les connexions à distance, notamment en télétravail, ne s'appuyaient pas sur une authentification multifacteur, y compris pour les comptes disposant de privilèges élevés (administrateurs).
• Accès tiers non maîtrisés : certains prestataires, comme des éditeurs de logiciels, bénéficiaient d'un accès permanent au réseau des collectivités, sans autorisation au cas par cas, ou via des comptes partagés entre plusieurs salariés.
• Journalisation défaillante : les outils de détection des comportements anormaux étaient inefficaces — journaux incomplets ou non exploités en temps réel — rendant toute réaction rapide à un incident impossible.
• Cloisonnement réseau insuffisant : l'absence de segmentation adéquate du réseau exposait l'ensemble de l'infrastructure en cas d'intrusion sur un seul segment.