10 novembre 2026 — France | Cybersécurité et protection des données.

La Commission nationale de l’informatique et des libertés (CNIL) a annoncé, le 9 novembre, dix sanctions financières contre des collectivités territoriales et un établissement public. Mots de passe insuffisamment protégés, comptes administrateurs sans authentification renforcée, accès permanents de prestataires, serveurs obsolètes et analyses d’impact absentes : l’autorité décrit plusieurs manquements à la sécurité des données des administrés. Les amendes vont de 3 000 à 20 000 euros.

Précision indispensable : dix sanctions ne signifient ni dix piratages, ni dix fuites de données confirmées. La CNIL indique toutefois que certaines collectivités contrôlées ont subi des violations de données. Communiqué officiel du 9 novembre 2026.

Dix sanctions après une campagne de contrôles ciblés

La CNIL avait inscrit en 2025 la cybersécurité des collectivités territoriales parmi ses priorités de contrôle. Les vérifications ont concerné des organismes publics ainsi que certains prestataires, afin d’évaluer les mesures techniques, organisationnelles et physiques de protection des données personnelles.

L’autorité indique que les manquements concernent notamment l’article 32 du Règlement général sur la protection des données (RGPD), relatif à la sécurité des traitements, mais également l’article 35 du RGPD et l’article 90 de la loi Informatique et Libertés, concernant les analyses d’impact. Plusieurs décisions évoquent aussi une absence d’homologation de sécurité exigée par le Référentiel général de sécurité (RGS).

Les organismes concernés gèrent des informations d’état civil, des prestations sociales, des renseignements financiers et, dans certains cas, des données relatives aux mineurs. Une vulnérabilité ne signifie pas que ces informations ont toutes été effectivement consultées ou dérobées par des tiers.

Six familles de failles de sécurité relevées par la CNIL

1. Authentification multifacteur absente sur des comptes sensibles

Des agents disposant d’accès privilégiés, notamment des administrateurs informatiques, pouvaient se connecter à distance sans authentification multifacteur adaptée. En cas de vol d’identifiants, l’absence d’un second facteur de protection facilite la prise de contrôle du compte.

2. Prestataires extérieurs connectés en permanence

Des éditeurs ou prestataires informatiques disposaient d’accès durables au réseau sans autorisation limitée aux interventions nécessaires. Des comptes partagés entre plusieurs collaborateurs compliquaient en outre l’imputation précise des actions réalisées.

3. Journalisation incomplète ou insuffisamment exploitée

Les dispositifs destinés à enregistrer et détecter les comportements anormaux étaient parfois défaillants. Une journalisation incomplète, ou des journaux qui ne sont pas examinés suffisamment vite, peut retarder la détection d’une compromission ou d’une extraction massive d’informations.

4. Réseaux mal cloisonnés

L’insuffisance de séparation des segments informatiques pouvait favoriser la propagation d’un incident au-delà du premier système touché. Le cloisonnement ne supprime pas une intrusion, mais contribue à en limiter le périmètre.

5. Serveurs obsolètes

Certains serveurs utilisaient des systèmes d’exploitation qui ne recevaient plus de correctifs de leur éditeur. Un logiciel non maintenu peut conserver des vulnérabilités connues, particulièrement problématiques pour les systèmes exposés ou les services publics accessibles à distance.

6. Mots de passe faibles ou transmis en clair

La CNIL mentionne aussi des mots de passe trop peu robustes, parfois communiqués en clair aux usagers ou conservés dans des conditions ne garantissant pas leur confidentialité. Ces pratiques fragilisent la protection des comptes, même lorsque les autres équipements sont à jour.

Des violations de données ont effectivement touché certains organismes contrôlés

La CNIL indique que certaines collectivités inspectées ont subi une ou plusieurs violations de données qui auraient pu être évitées avec des mesures appropriées. Elle ne fournit cependant pas, dans son communiqué, la liste des organismes concernés, ni un bilan global du nombre de personnes touchées.

Cette distinction est fondamentale : le communiqué établit la présence de défaillances et mentionne l’existence de certaines violations ; il ne permet pas de conclure à une fuite généralisée des données des habitants dans toutes les collectivités sanctionnées.

Écoles, activités périscolaires et caméras : des analyses d’impact manquantes

Plusieurs collectivités n’avaient pas réalisé d’analyse d’impact relative à la protection des données (AIPD) avant certains traitements susceptibles de présenter un risque élevé pour les droits et libertés des personnes.

La CNIL vise particulièrement les téléservices utilisés par les parents pour les activités scolaires et extrascolaires, puisqu’ils associent des données concernant des enfants et des informations très personnelles, notamment des coordonnées bancaires. Elle cite également des systèmes de vidéoprotection installés sur la voie publique, dont la surveillance peut être systématique et à grande échelle.

Une AIPD sert à documenter les finalités d’un traitement, à mesurer les risques, à examiner sa proportionnalité et à prévoir des mesures appropriées. Ne pas la réaliser lorsqu’elle est obligatoire constitue un manquement autonome, même en l’absence de piratage.

Téléservices : pourquoi l’homologation de sécurité importe

Plusieurs décisions relèvent également l’absence d’homologation préalable de certains systèmes d’information utilisés pour les échanges numériques avec les administrés. Le RGS impose, pour les systèmes concernés, une appréciation formalisée des risques et une décision d’acceptation par l’autorité compétente.

L’homologation n’est pas un certificat garantissant l’absence absolue de défauts : elle matérialise la responsabilité de l’organisme sur l’état de sécurité du système et les risques qu’il accepte de faire courir à son service.

De 3 000 à 20 000 euros : quelle portée pour les sanctions ?

Les amendes annoncées sont comprises entre 3 000 et 20 000 euros, ce dernier montant constituant le plafond de la procédure simplifiée applicable à ces décisions. Il ne faut pas le confondre avec les plafonds de sanctions susceptibles d’être prononcées dans d’autres procédures prévues par le droit de la protection des données.

Pour déterminer les montants, la CNIL indique avoir pris en compte la gravité et le nombre des manquements, les catégories de données, le nombre de personnes concernées, les budgets des collectivités et les mesures déjà prises pour corriger les faiblesses.

Le communiqué ne donne pas la ventilation de chacune des dix amendes. Il ne permet donc pas de calculer un montant total exact ni de relier un chiffre à une commune précise.

Pourquoi les noms des collectivités ne sont-ils pas connus ?

Les organismes sanctionnés ne sont pas identifiés dans le communiqué du 9 novembre. La procédure simplifiée de la CNIL ne prévoit pas la publicité des décisions prononcées dans ce cadre, ce qui explique l’absence de liste nominative. Il serait contraire à la rigueur journalistique d’attribuer ces manquements à des collectivités nommées sans documents supplémentaires.

Cette situation limite aussi la possibilité de comparer publiquement les mesures correctrices et les dépenses engagées par chaque organisme. La question de la transparence du suivi reste donc ouverte, sans permettre d’affirmer que les organismes ont dissimulé les incidents.

Les petites collectivités confrontées à des défis de moyens et de compétences

Le constat de la CNIL pose une question structurelle : comment assurer une sécurité informatique continue lorsque des administrations utilisent des logiciels multiples, des prestataires extérieurs et des systèmes anciens ? Les collectivités n’ont pas toutes les mêmes ressources techniques ni humaines.

Cybermalveillance.gouv.fr, l’ANSSI et leurs partenaires ont diffusé des ressources et programmes de sensibilisation à destination des élus et des collectivités. Le manque de moyens peut compliquer la maîtrise des risques, mais il ne peut être présenté comme la cause établie de chacun des dix manquements, faute de dossiers individuels publics.

NIS2 : un renforcement européen distinct du RGPD

Dans son communiqué, la CNIL rattache également cette démarche à la préparation de l’entrée en application des exigences issues de la directive européenne NIS2, alors en cours de transposition en droit français. Le RGPD régit la protection des données personnelles ; NIS2 encadre la cybersécurité des entités qui relèvent de son champ d’application. Les deux textes peuvent imposer des efforts convergents mais ne sont pas interchangeables.

Il ne serait pas exact de présenter les amendes de novembre 2026 comme des sanctions déjà prononcées au titre d’obligations françaises issues de NIS2 qui ne sont pas encore applicables à cette date.

Que faire en cas de violation de données personnelles ?

Une collectivité responsable d’un traitement doit documenter les violations de données. Lorsqu’une violation présente un risque pour les droits et libertés des personnes, une notification à la CNIL est requise dans les meilleurs délais, si possible dans les 72 heures après en avoir pris connaissance. En cas de risque élevé, les personnes concernées doivent aussi être informées, sous réserve des exceptions prévues par le RGPD.

Pour les administrés, une publication de la CNIL concernant les collectivités en général ne signifie pas que leurs propres données ont été volées. Les personnes ayant reçu un avis individuel de violation doivent suivre les consignes de l’organisme concerné, surveiller les tentatives d’hameçonnage et changer les mots de passe concernés lorsque cela leur est demandé.

Analyse PRODPRESS : la cybersécurité est une responsabilité de service public

Les dix décisions mettent en évidence des problèmes souvent élémentaires : mises à jour, séparation des accès, traçabilité, maîtrise des interventions techniques et analyse préalable des risques. Leur répétition montre que l’existence de règles et de guides ne garantit pas leur mise en œuvre effective.

La question dépasse la seule informatique : l’administration demande aux citoyens des informations parfois indispensables à l’exercice de leurs droits. Elle doit donc protéger ces informations sur toute leur durée de traitement, y compris lorsque le service est confié à un sous-traitant.

Le fait établi n’est pas une faillite généralisée de toutes les collectivités françaises. Il est l’existence de dix sanctions pour des manquements suffisamment caractérisés aux yeux du régulateur. Les causes précises, la diffusion réelle d’éventuelles données compromises et les corrections apportées doivent être examinées sans extrapolation.

Ce qui reste à établir

• L’identité des organismes concernés par chaque décision ;
• La répartition individuelle des amendes et leur montant cumulé ;
• Le nombre total de personnes effectivement touchées par les violations évoquées ;
• La chronologie technique des incidents et les mesures correctives définitives ;
• L’éventuel suivi administratif ou judiciaire des violations identifiées.

Nos enquêtes connexes sur PRODPRESS

• Cybermenaces en Europe : administrations, transports et réseaux essentiels dans le rapport ENISA 2026
• Cyberattaque du ministère de l’Intérieur : la CNIL informée, mais quelles réponses et garanties ?
• VSA, BriefCam, Système V : quelles garanties contrôlées par la CNIL ?

Documents officiels consultables — visionneuse PDF

Le règlement RGPD est hébergé dans la médiathèque documentaire PRODPRESS et consultable directement ci-dessous. Le guide CNIL reste accessible depuis le site officiel du régulateur.

Guide pratique CNIL — Sécurité des données personnelles, version 2024 (PDF officiel, 64 pages)

Sources et références — 18 documents

1. CNIL, communiqué du 9 novembre 2026 — Source primaire des dix sanctions.
2. CNIL, procédure de sanction simplifiée — Procédure, plafond, absence de publicité.
3. RGPD — règlement (UE) 2016/679 — Articles 32, 33, 34 et 35.
4. CNIL, présentation du RGPD — Texte européen expliqué.
5. CNIL, analyse d’impact AIPD — Traitements à risque élevé.
6. CNIL, guide de sécurité des données personnelles — Recommandations techniques et organisationnelles.
7. CNIL, traçabilité des opérations — Journalisation des accès.
8. CNIL, notification des violations — Déclaration des incidents.
9. ANSSI, homologation de sécurité — Gestion et acceptation des risques.
10. ANSSI, Référentiel général de sécurité — RGS et téléservices.
11. Cybermalveillance.gouv.fr, collectivités — Accompagnement et prévention.
12. Directive (UE) 2022/2555, NIS2 — Cadre de cybersécurité européen.
13. Maire-info / AMF, édition du 10 novembre 2026 — Lecture territoriale des sanctions.
14. IT Social, 10 novembre 2026 — Enjeux techniques et prestataires.
15. Next, 9 novembre 2026 — Couverture spécialisée.
16. Landot et associés, 9 novembre 2026 — Analyse juridique spécialisée.
17. Localtis / Banque des Territoires, 10 novembre 2026 — Contexte NIS2.
18. CNIL, bilan des sanctions 2025 — Contexte du contrôle.

Glossaire

CNIL : Commission nationale de l’informatique et des libertés. RGPD : règlement général sur la protection des données. AIPD : analyse d’impact relative à la protection des données. MFA : authentification multifacteur. RGS : Référentiel général de sécurité. NIS2 : directive européenne visant à renforcer la cybersécurité de certaines entités.

Note de méthode : données et faits vérifiés à la date du 10 novembre 2026. Les sanctions sont établies par la CNIL ; les conséquences possibles d’une faille ne sont pas présentées comme des incidents prouvés. Les organismes demeurent non nommés faute de source officielle permettant leur identification. Vignette éditoriale de synthèse créée par IA, illustration non documentaire. © PRODPRESS®.

PRODPRESS® — Authentique. Impertinent. Libre.