CNIL sanctionne dix collectivités pour cybersécurité

En novembre 2026, la CNIL a prononcé dix sanctions simplifiées à l’encontre de collectivités territoriales et d’un établissement public pour des manquements relatifs à la cybersécurité.

Les collectivités territoriales, en tant qu’acteurs publics, traitent des données sensibles (état civil, prestations sociales, données financières ou concernant des mineurs). Face à l’augmentation des cyberattaques, la CNIL a fait de la cybersécurité des collectivités territoriales une thématique annuelle de contrôle en 2025.

Manquements sanctionnés

Les contrôles ont révélé plusieurs manquements au RGPD et à la loi Informatique et Libertés, entraînant des sanctions dans le cadre de la procédure simplifiée.

• Sécurité des systèmes d’information : absence d’authentification multifacteur pour les administrateurs, accès permanent de prestataires non autorisés, journalisation inefficace, cloisonnement insuffisant des réseaux, systèmes obsolètes non mis à jour, mots de passe insuffisamment robustes ou transmis en clair.
• Absence d’homologation de sécurité : certains systèmes d’information n’ont pas fait l’objet d’une homologation préalable, alors que le référentiel général de sécurité (RGS) l’exige.
• Analyse d’impact insuffisante : plusieurs collectivités n’ont pas réalisé d’analyse d’impact préalable pour des traitements à haut risque, notamment des téléservices scolaires et des systèmes de vidéoprotection.