La CNIL sanctionne dix collectivités pour des failles de cybersécurité : mots de passe faibles et logiciels obsolètes

Le 9 novembre 2026, la Commission nationale de l’informatique et des libertés (CNIL) a annoncé avoir prononcé dix sanctions financières contre des collectivités territoriales et un établissement public. En cause : des mesures de cybersécurité jugées insuffisantes pour protéger les données personnelles des habitants. Les amendes vont de 3 000 à 20 000 euros, soit le maximum prévu par la procédure simplifiée utilisée par l’autorité. Voici ce que la CNIL a constaté et ce que les collectivités doivent corriger.

Ce que la CNIL reproche aux collectivités

Les dix sanctions visent des manquements au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés. Les griefs portent d’abord sur l’article 32 du RGPD, qui impose des mesures techniques et organisationnelles adaptées pour protéger les données personnelles. Dans les organismes contrôlés, la CNIL a relevé des faiblesses qui, selon elle, exposaient les informations des administrés à des risques de perte de confidentialité.

Ces décisions résultent d’une campagne de contrôles lancée en 2025, quand la CNIL avait fait de la cybersécurité des collectivités l’une de ses priorités. D’autres procédures sont en cours. La CNIL n’a pas communiqué le nom des organismes concernés. Les montants tiennent compte de la gravité des manquements, de la sensibilité des données, du nombre de personnes concernées et des efforts de mise en conformité déjà engagés.

Des failles parfois très simples

La liste des manquements relevés par la CNIL ressemble à un inventaire de base de la cybersécurité. Premier grief : l’absence de double authentification pour certains comptes administrateurs, qui pouvaient se connecter avec un simple mot de passe, sans second facteur. C’est l’une des protections les plus simples à mettre en place, et aussi l’une des plus efficaces contre le vol d’identifiants.

Deuxième grief : des mots de passe trop faibles, parfois transmis en clair, et des logiciels et des serveurs obsolètes, qui ne recevaient plus de correctifs de sécurité. Un mot de passe court facilite les attaques par force brute, et un système non mis à jour reste vulnérable aux failles connues, parfois depuis des années. Les attaquants disposent d’outils automatisés pour repérer ces faiblesses.

La CNIL a aussi relevé des accès permanents accordés à des prestataires extérieurs, comme des éditeurs de logiciels, alors qu’ils devraient être limités dans le temps et au strict nécessaire. Des comptes partagés entre plusieurs agents ont également été constatés, ce qui rend impossible de savoir qui a fait quoi sur un système, et les systèmes de journalisation, qui permettent de détecter une activité suspecte, étaient insuffisants. Enfin, certains réseaux informatiques étaient insuffisamment cloisonnés : en cas d’intrusion, un attaquant aurait pu passer plus facilement d’une partie du système à une autre. Plusieurs collectivités ont aussi été sanctionnées pour ne pas avoir réalisé d’analyse d’impact sur la protection des données, appelée AIPD, avant de mettre en place des dispositifs sensibles, comme les plateformes permettant aux parents de gérer les activités scolaires de leurs enfants, qui peuvent traiter des coordonnées bancaires, ou les systèmes de vidéoprotection installés sur la voie publique. L’article 35 du RGPD impose cette analyse quand un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.

Des données sensibles exposées

Les collectivités détiennent des informations considérables sur leurs habitants : état civil, finances, prestations sociales, données concernant des enfants. Une cyberattaque peut donc avoir des conséquences directes pour les administrés, comme l’usurpation d’identité ou la fraude.

La CNIL indique que certaines collectivités contrôlées ont effectivement subi une ou plusieurs violations de données, qui auraient pu être évitées avec des protections adaptées. L’autorité précise toutefois que les sanctions annoncées ne signifient pas que toutes les collectivités concernées ont été piratées, ni que leurs données ont été divulguées. Une sanction pour manquement à la sécurité ne prouve pas qu’une fuite a eu lieu, mais elle montre que les conditions d’une fuite étaient réunies.

Des amendes modestes, mais un signal fort

Les dix sanctions représentent des amendes individuelles comprises entre 3 000 et 20 000 euros. Le plafond de 20 000 euros correspond au maximum légal prévu dans le cadre de la procédure simplifiée. Ces montants restent modestes au regard des amendes de la procédure ordinaire, qui peuvent atteindre des millions d’euros. Pour une petite collectivité, 20 000 euros restent toutefois une somme significative, et la publicité de la sanction pèse autant que le montant.

Le signal adressé aux autres collectivités est clair. En 2026, la CNIL consacre la moitié de ses contrôles et de ses actions répressives à la sécurité des données personnelles, et d’autres procédures sont en cours. La pression réglementaire va aussi s’accentuer avec la directive européenne NIS2, dont la transposition française est encore en cours, et qui imposera de nouvelles obligations de sécurité informatique à de nombreux acteurs publics.

Ce que cela change pour les collectivités

Pour les autres collectivités, l’annonce du 9 novembre vaut avertissement. Les mesures attendues par la CNIL ne relèvent pas de la technologie de pointe : activer la double authentification sur les comptes sensibles, imposer des mots de passe robustes, mettre à jour les logiciels et les serveurs, limiter les accès des prestataires, supprimer les comptes partagés, journaliser les accès et cloisonner les réseaux. Les collectivités doivent aussi réaliser les analyses d’impact exigées avant de déployer des dispositifs sensibles, comme les plateformes scolaires ou la vidéoprotection. Dans un contexte de multiplication des cyberattaques contre les services publics, les contrôles vont se poursuivre.

Frequently Asked Questions

Pourquoi la CNIL a-t-elle sanctionné dix collectivités en novembre 2026 ?

La CNIL a prononcé dix sanctions simplifiées le 9 novembre 2026 contre des collectivités territoriales et un établissement public, pour des manquements à la cybersécurité : absence de double authentification, mots de passe faibles, logiciels obsolètes, accès prestataires mal maîtrisés et analyses d’impact manquantes.

Quel est le montant des amendes prononcées par la CNIL ?

Les amendes vont de 3 000 à 20 000 euros par organisme. Le montant de 20 000 euros est le maximum légal prévu dans le cadre de la procédure simplifiée. Chaque montant tient compte de la gravité des manquements, de la sensibilité des données, du nombre de personnes concernées et des efforts de mise en conformité.

Les données des habitants ont-elles été volées dans les collectivités sanctionnées ?

Pas nécessairement. La CNIL indique que certaines collectivités contrôlées ont subi une ou plusieurs violations de données, mais les sanctions ne signifient pas que toutes les collectivités concernées ont été piratées ou que leurs données ont été divulguées. La sanction vise l’insuffisance des mesures de protection, qu’une fuite ait eu lieu ou non.