La Ville de Cholet et Cholet Agglomération ont rétabli leurs lignes téléphoniques le dimanche 1er novembre au soir, deux jours après le début des perturbations. Les analyses du système d’information se poursuivent.
Deux jours sans standard
Les premiers dysfonctionnements remontent au vendredi 30 octobre 2026. Ils ont d’abord touché les moyens de communication de plusieurs services de la Ville et de l’agglomération, au point de rendre les standards injoignables. Une cellule de crise a été réunie autour des dirigeants des deux collectivités, et des numéros provisoires ont permis aux habitants de joindre les services pendant la coupure. Dimanche soir, toutes les lignes habituelles fonctionnaient de nouveau. La collectivité précise que ses équipes continuent de sécuriser le système d’information, et des spécialistes en cybersécurité poursuivent leurs analyses.
Un standard qui sonne de nouveau ne dit rien de l’état des serveurs, des applications métier ou des sauvegardes. La téléphonie passe souvent en premier parce que tout en dépend : les habitants appellent, les partenaires aussi, et les agents en ont besoin pour se coordonner.
Peu d’éléments publics sur l’attaque
Les communications publiques parlent bien d’une cyberattaque. Elles restent muettes sur la méthode employée, sur un éventuel groupe responsable et sur une demande de rançon. Aucun bilan n’a été publié sur une sortie de données.
Il serait donc prématuré d’écrire que des données d’habitants ont été volées. Le silence des communiqués ne prouve pas davantage qu’aucune donnée n’a été compromise. Tant que l’enquête technique n’a pas établi les faits, personne ne peut qualifier les conséquences de l’incident.
Une indisponibilité peut constituer une violation
L’article 4.12 du RGPD range parmi les violations de données la destruction, la perte et l’altération, au même titre que la divulgation ou l’accès non autorisés. La CNIL rappelle qu’une perte de disponibilité, même temporaire, peut entrer dans cette définition selon les circonstances.
Pour une collectivité, il faut donc savoir si, pendant la coupure, les agents pouvaient encore accéder aux dossiers d’état civil, d’action sociale ou d’urbanisme. Une démarche d’habitant a-t-elle été bloquée ou retardée ? Quelles catégories de données étaient concernées, et pendant combien de temps ? Les réponses déterminent le niveau de risque pour les personnes. Les informations publiques ne permettent pas de dire quels services ont été touchés à Cholet.
Notification à la CNIL : le délai court à partir de la connaissance
Lorsqu’une violation est susceptible d’engendrer un risque pour les droits et libertés des personnes, le responsable du traitement la notifie à la CNIL dans les meilleurs délais, si possible dans les 72 heures après en avoir pris connaissance (article 33). Une notification tardive doit être accompagnée des motifs du retard. Si le risque est élevé, les personnes concernées doivent aussi être informées, sous réserve des exceptions prévues à l’article 34.
Le délai ne part pas forcément de la première panne visible. Il démarre quand le responsable du traitement a une certitude raisonnable qu’un incident a compromis des données personnelles. Une notification initiale peut ensuite être complétée au fil de l’enquête. Toute violation, notifiée ou non, doit par ailleurs être consignée dans un registre interne (article 33.5). Lorsqu’une ville et son agglomération partagent un système d’information, ce qui est fréquent, chacune apprécie la violation pour les traitements dont elle est responsable et porte sa propre obligation de notification. Rien ne permet de savoir si Cholet a notifié la CNIL, ni si une notification était requise.
Préparer la prochaine crise
L’ANSSI recommande aux communes et aux intercommunalités d’anticiper la réponse à incident, la continuité et la reprise d’activité, puis de tester régulièrement l’organisation prévue.
Si le standard tombait demain, comment les habitants joindraient-ils la mairie ? Quels services faudrait-il maintenir en priorité ? Sans messagerie, les agents disposent-ils d’un autre canal ? La décision d’isoler un serveur, puis de le remettre en service, revient à quelqu’un de clairement désigné ? Les coordonnées des prestataires et les procédures restent-elles consultables quand le réseau interne est coupé ? Une sauvegarde jamais restaurée en test reste une hypothèse. Le DPO gagne à savoir, avant la crise, avec qui il travaillera dès les premières heures et comment il obtiendra les éléments techniques utiles à l’analyse de risque. Une copie du registre des violations et de la liste des contacts, conservée hors du réseau de la collectivité, évite de dépendre du système attaqué. Direction, métiers, équipes informatiques et prestataires tiennent chacun une part de la réponse.
Pour les habitants : prudence avec les messages
Le 16 octobre, deux semaines avant l’incident, la Ville avait déjà alerté sur des SMS frauduleux se faisant passer pour la mairie. Aucun lien entre ces messages et la cyberattaque n’a été établi. Le contexte invite tout de même à se méfier de toute sollicitation qui presse de se connecter, de payer ou de transmettre des informations personnelles. Pour vérifier, mieux vaut passer par le site officiel ou par des coordonnées obtenues indépendamment du message, comme le conseille Cybermalveillance.gouv.fr.
L’origine de l’attaque et ses éventuelles conséquences sur les données dépendront des investigations en cours et de ce que la Ville et l’agglomération choisiront de rendre public.
Sources : communication de la Ville de Cholet ; my-angers.info, 2 novembre 2026
ANSSI, guide “Anticiper et gérer une crise cyber”
RGPD, articles 4, 33 et 34 ; Cybermalveillance.gouv.fr.