La Commission Nationale de l'Informatique et des Libertés (CNIL) a publié une série de dix décisions de sanction, prises dans le cadre de la procédure simplifiée, à l'encontre de collectivités territoriales et d'un établissement public, pour des manquements graves à la sécurité des données personnelles.

Faits et contexte

La Commission Nationale de l'Informatique et des Libertés (CNIL) a publié le 9 novembre 2026 dix décisions de sanction à l'encontre de collectivités territoriales et d'un établissement public, comprenant des amendes allant de 3 000 € à 20 000 €, pour des manquements relatifs à la cybersécurité.

Ces décisions résultent d'une campagne de contrôles initiée en 2025 par la CNIL, qui avait fait de la cybersécurité des collectivités territoriales l'une de ses thématiques prioritaires en raison du volume et de la sensibilité des données traitées.

Motifs de la décision

• Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : La CNIL a constaté que les mesures techniques et organisationnelles mises en œuvre étaient insuffisantes pour protéger les données des administrés contre des risques de perte de confidentialité. Les manquements relevés incluaient des modalités d'authentification à distance insuffisamment robustes (notamment l'absence d'authentification multifacteur pour les comptes à privilèges), des accès permanents et non tracés pour des prestataires, des systèmes d'exploitation obsolètes et non supportés, ou encore une journalisation des événements de sécurité inefficace. L'autorité a également souligné que l'absence d'homologation de sécurité, requise par le référentiel général de sécurité (RGS), constituait un manquement à cette obligation.
• Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : Plusieurs collectivités n'avaient pas mené d'analyse d'impact pour des traitements présentant un risque élevé pour les droits et libertés des personnes. L'autorité a cité en exemple les téléservices de gestion des activités scolaires et périscolaires, impliquant des données de mineurs et des données bancaires, ainsi que les systèmes de vidéoprotection sur la voie publique, qualifiés de "surveillance systématique à grande échelle d’une zone accessible au public". La CNIL a estimé que cette analyse préalable aurait permis d'identifier et de maîtriser les risques en amont.

Décision de l'autorité

En conséquence, l'autorité a imposé des amendes allant de 3 000 € à 20 000 € aux collectivités et à l'établissement public concernés. Pour fixer ces montants, la CNIL a tenu compte de la gravité des manquements, des catégories de données concernées (données de mineurs, coordonnées bancaires), du budget des entités et des mesures correctrices prises.

Enseignements

Cette décision rappelle que :

• La mise en œuvre des mesures de sécurité fondamentales (gestion des accès, authentification forte pour les comptes à privilèges, mise à jour des systèmes, journalisation) constitue le socle minimal de l'obligation de sécurité de l'article 32 du RGPD.
• La réalisation d'une analyse d'impact est impérative pour les traitements courants mais à risque élevé, tels que les services en ligne destinés aux enfants ou la vidéoprotection de l'espace public.
• La gestion des accès des prestataires externes doit faire l'objet d'une attention particulière, en proscrivant les accès permanents et les comptes partagés au profit d'accès ponctuels, tracés et limités au strict besoin.