La CNIL vient de frapper là où peu l’attendaient : dix collectivités territoriales et un établissement public se retrouvent sanctionnés en novembre pour avoir négligé la cybersécurité des données personnelles qu’ils traitent quotidiennement. Des amendes comprises entre 3 000 et 20 000 euros, certes modestes, mais un message qui résonne bien au-delà des montants affichés.
Une thématique de contrôle ciblée fin d’année dernière
Ce coup de filet n’est pas le fruit du hasard. Fin 2025, la CNIL avait décidé de faire de la cybersécurité des collectivités territoriales l’une de ses priorités annuelles de contrôle, face à l’augmentation continue des cyberattaques visant ces structures. Les communes, départements et régions gèrent des données d’une sensibilité particulière : état civil, données sociales, informations scolaires, vidéoprotection… Autant d’éléments qui en font des cibles de choix pour les cybercriminels, et des responsables de traitement soumis à des obligations renforcées.
Le RGPD, dans la continuité de l’ancienne loi Informatique et libertés, impose à tout responsable de traitement de garantir un niveau de sécurité adapté aux risques. Les dix sanctions simplifiées prononcées ce mois-ci illustrent concrètement ce que la CNIL entend par « manquement » dans ce domaine.
Des failles techniques et organisationnelles préoccupantes
Des accès insuffisamment protégés
Dans plusieurs des dossiers épinglés, les accès au système d’information étaient étonnamment peu sécurisés. Pas de double authentification pour les connexions à distance, des prestataires externes disposant d’accès à privilèges élevés sans qu’ils soient nominatifs, un cloisonnement des réseaux insuffisant… Ces failles, basiques au regard des standards actuels, exposent pourtant des données que la loi qualifie de particulièrement sensibles.
L’homologation RGS aux abonnés absents
Au-delà du RGPD, les collectivités sont également soumises au référentiel général de sécurité (RGS), qui impose une homologation de sécurité pour certains traitements. Ce processus, loin d’être une simple formalité administrative, garantit qu’un système d’information a fait l’objet d’une évaluation rigoureuse avant sa mise en production. Dans plusieurs cas sanctionnés, cette homologation était tout simplement absente.
Des études d’impact oubliées malgré des données très sensibles
L’un des points les plus frappants du bilan de la CNIL concerne l’absence d’études d’impact sur la protection des données (AIPD), pourtant obligatoires dans certaines situations. Des collectivités traitant des données bancaires de parents d’élèves, des données comportementales de mineurs dans un cadre scolaire, ou encore gérant des systèmes de vidéoprotection des voies publiques, n’avaient pas réalisé ces analyses préalables. Un oubli difficilement compréhensible au vu de la nature des informations concernées, comme le détaille Republik Group dans son analyse des sanctions.
Des sanctions limitées, mais un signal fort
Les amendes prononcées restent contenues : entre 3 000 et 20 000 euros. Ce plafond s’explique par la nature de la procédure simplifiée retenue et par le statut des entités visées. Les collectivités territoriales ne disposent évidemment pas des mêmes moyens financiers qu’un grand groupe privé, et la CNIL en tient compte. Mais l’enjeu dépasse largement le montant des pénalités.
Ce que la CNIL envoie comme message, c’est avant tout un rappel : être une collectivité publique ne dispense pas de respecter les règles. Bien au contraire. La confiance des citoyens dans les services publics numériques repose précisément sur la capacité de ces structures à protéger leurs données. Et sur ce point, les manquements constatés sont particulièrement mal venus à l’heure où les cyberattaques contre les mairies, les hôpitaux et les administrations se multiplient.
Pour les collectivités qui n’ont pas encore engagé une mise en conformité sérieuse, cet épisode constitue un avertissement clair. La CNIL a démontré qu’elle était prête à passer à l’acte, y compris face aux acteurs publics. Les prochains contrôles pourraient bien concerner des structures encore moins bien préparées, et les conséquences dépasser le seul volet financier.
Questions fréquentes
Qu’est-ce qu’une sanction simplifiée de la CNIL ?
Il s’agit d’une procédure allégée permettant à la CNIL de prononcer des amendes rapidement, sans passer par la formation restreinte classique. Elle est généralement utilisée pour des cas moins complexes ou impliquant des entités aux capacités financières limitées, comme les collectivités territoriales.
Quelles obligations de cybersécurité s’imposent aux collectivités ?
Elles doivent respecter à la fois le RGPD (garantir la sécurité des données personnelles traitées, réaliser des études d’impact pour les traitements à risque) et le référentiel général de sécurité (RGS), qui impose notamment une homologation de sécurité pour certains systèmes d’information.
Qu’est-ce qu’une étude d’impact sur la protection des données (AIPD) ?
C’est une analyse préalable obligatoire pour tout traitement susceptible de présenter un risque élevé pour les droits et libertés des personnes. Elle permet d’identifier les risques et de définir les mesures pour les atténuer, avant même de lancer un traitement de données.
