Authentification, prestataires, réseaux, mots de passe, analyses d’impact : les dix sanctions annoncées par la CNIL le 9 novembre 2026 portent sur des failles connues, que les collectivités concernées pouvaient repérer et corriger bien avant qu’elles ne soient relevées.
Le 9 novembre 2026, la CNIL a annoncé dix sanctions financières visant des collectivités territoriales et un établissement public, pour des montants allant de 3 000 à 20 000 euros. Les manquements relevés n’ont rien d’exotique : comptes administrateurs sans double authentification, prestataires connectés en permanence, serveurs privés de correctifs depuis longtemps.
La plupart de ces collectivités disposaient probablement d’une politique de sécurité, de contrats avec leurs prestataires et d’un délégué à la protection des données. Il leur manquait une vérification régulière de l’application réelle des mesures écrites. Pour un DPO de collectivité, chaque faille pose la même série de questions : à quel moment pouvait-on la voir, que demander à la DSI, quelle preuve garder, et comment obtenir une correction avant l’incident ?
Des décisions non publiées
Les dix sanctions relèvent de la procédure simplifiée, dont les décisions ne sont pas rendues publiques. La CNIL décrit les manquements de façon groupée : on ignore quelle collectivité a commis quelle faute, et pour quel montant. Une même collectivité a pu en cumuler plusieurs.
La CNIL précise avoir tenu compte du nombre et de la gravité des manquements, des catégories de données en cause (mineurs, coordonnées bancaires), du budget de chaque collectivité, du nombre de personnes concernées et des mesures de mise en conformité déjà prises. Le communiqué permet d’isoler neuf types de failles.
Comptes à privilèges sans authentification multifacteur
Certains accès distants, dont ceux d’administrateurs aux droits étendus, reposaient sur un simple identifiant et un mot de passe. Un mot de passe qui fuite suffit alors à ouvrir la porte, et avec un compte administrateur l’attaquant peut presque tout faire.
Quand agir : à l’ouverture d’un accès distant, à l’attribution de droits d’administration, lors de chaque revue des habilitations.
Le DPO n’a pas besoin de toucher aux identifiants. Il peut demander à la DSI la liste des comptes administrateurs, des accès VPN et des connexions externes, avec pour chacun l’état de la double authentification, puis la liste des exceptions et leur justification.
Une vérification annuelle des accès privilégiés trouve sa place dans le programme d’audit RGPD, avec un suivi des exceptions et de leur date de correction. La collectivité et ses équipes techniques mettent en œuvre ; le DPO conseille et contrôle.
Prestataires connectés en permanence et comptes partagés
La CNIL vise notamment des éditeurs de logiciels qui pouvaient se connecter au réseau à tout moment, sans autorisation au cas par cas, ou par des comptes communs à plusieurs de leurs salariés. Un accès toujours ouvert élargit la surface d’attaque. Un compte partagé empêche de savoir qui a fait quoi.
Quand agir : au choix du prestataire, à la signature du contrat, à chaque renouvellement ou revue des droits.
Le point de départ tient en un inventaire des prestataires disposant d’un accès technique : ressources accessibles, personnes habilitées, conditions d’ouverture de l’accès, modalités de révocation. Éditeurs de logiciels métiers, mainteneurs et infogérants en priorité.
Viennent ensuite les comptes nominatifs, un accès limité au temps de l’intervention et une revue périodique. Un contrat de sous-traitance conforme à l’article 28 du RGPD ne règle pas la question des accès techniques laissés ouverts.
Journaux incomplets, ou jamais lus
Des journaux d’événements incomplets, ou conservés sans être exploités rapidement : la CNIL relève les deux situations. Une connexion à 3 heures du matin, une extraction massive de données ou une élévation de privilèges passent alors inaperçues.
Quand agir : à la conception du système, lors de son déploiement, à chaque audit de sécurité.
Le DPO peut demander quelles opérations sont tracées, combien de temps les journaux sont gardés, qui les consulte et comment une alerte est traitée. Pour les applications contenant des données personnelles, une grille de contrôle de la traçabilité, proportionnée à la sensibilité des données, rend l’exercice reproductible d’une année sur l’autre.
La collectivité documente les événements surveillés, la façon de les analyser, le responsable des alertes et la trace des vérifications réalisées. Les journaux contiennent eux-mêmes des données personnelles : leur durée de conservation et les droits d’accès doivent être encadrés.
Un réseau à plat
Services administratifs, écoles, action sociale, services techniques : dans beaucoup de collectivités, tout communique avec tout. Sans cloisonnement, un poste compromis à la médiathèque peut ouvrir la voie jusqu’aux dossiers sociaux.
Quand agir : à la conception de l’architecture réseau, à l’intégration d’un nouveau logiciel, lors d’une évolution importante du système d’information.
Le DPO ne dessine pas les VLAN ni les règles de pare-feu. Il vérifie que le risque de propagation a été étudié pour les traitements concernés, et que les insuffisances relevées par la DSI figurent dans un plan d’action suivi par la direction.
Des serveurs hors support
Des serveurs tournaient sur des systèmes d’exploitation qui ne recevaient plus les correctifs de sécurité de leur éditeur. Rien ne prouve qu’une intrusion ait eu lieu. Le risque, lui, était connu, daté et prévisible.
Quand agir : lors de l’inventaire des actifs, avant la fin du support éditeur, à la préparation du budget informatique.
Associer à chaque logiciel ou système hébergeant des données personnelles sa date de fin de support suffit souvent à faire remonter le sujet au bon moment, avant le vote du budget. Garder temporairement un ancien serveur se défend à condition de documenter les risques, les mesures compensatoires et la date prévue de remplacement, et de signaler à la direction les risques restés ouverts.
Mots de passe faibles, envoyés en clair
Mots de passe trop faibles, transmis en clair aux usagers, stockés sans garantie de confidentialité : le constat touche les comptes des agents comme les téléservices ouverts aux administrés.
Quand agir : au choix d’une application, à la création des comptes, à la rédaction des procédures d’assistance informatique.
Le DPO peut faire vérifier la création, la réinitialisation, le stockage et la transmission des mots de passe. Un mot de passe permanent envoyé par courriel est à proscrire ; un lien de réinitialisation à usage unique fait le même travail sans exposer le compte.
Une politique de mots de passe bien rédigée ne dit rien de ce que font réellement les logiciels. Les exigences doivent s’appliquer aux outils internes comme aux téléservices, avec des vérifications régulières.
Des téléservices ouverts sans homologation RGS
Plusieurs collectivités avaient mis en service des systèmes d’échange avec les administrés sans homologation de sécurité préalable, alors que le référentiel général de sécurité (RGS) l’impose.
Homologation et AIPD sont deux démarches distinctes. Les travaux de l’une nourrissent l’autre, et aucune ne remplace l’autre.
Quand agir : avant la mise en production de tout téléservice relevant du RGS.
La collectivité identifie les systèmes concernés, constitue le dossier et fait prendre la décision d’homologation par l’autorité compétente. Le plus simple consiste à inscrire cet examen dans la procédure de validation des projets numériques, au même titre que la consultation du DPO.
Un portail famille sans analyse d’impact
La CNIL sanctionne l’absence d’AIPD pour des téléservices permettant aux parents de gérer les activités scolaires et extrascolaires de leurs enfants. Données de mineurs et coordonnées bancaires dans le même outil : la combinaison justifiait l’analyse.
Quand agir : avant l’achat du logiciel, pendant la préparation du marché public, au plus tard avant la mise en œuvre du traitement.
Recenser les portails famille, les outils de restauration scolaire et les inscriptions périscolaires permet de voir rapidement quelles AIPD existent. Pour la suite, une règle simple : tout nouveau projet traitant des données de mineurs passe par le DPO dès sa définition.
Une AIPD rédigée après plusieurs années d’exploitation aide à régulariser la situation. Elle n’efface pas le manquement initial.
Une vidéoprotection déployée avant l’AIPD
Dernier manquement : des dispositifs de vidéoprotection de la voie publique, qualifiés par la CNIL de surveillance systématique à grande échelle d’une zone accessible au public, installés sans AIPD. La CNIL fonde ces manquements sur l’article 35 du RGPD et sur l’article 90 de la loi Informatique et Libertés.
L’autorisation préfectorale, quand elle est requise, ne dispense pas la collectivité de ses obligations de protection des données. Le panneau d’information à l’entrée de la commune non plus.
Quand agir : dès la préparation du projet, avant la pose et la mise en service des caméras.
Le DPO a son mot à dire sur la nécessité de l’AIPD, les finalités, les personnes filmées, les destinataires, la durée de conservation et l’accès aux images. Un audit des dispositifs existants, puis un contrôle préalable à chaque nouvelle implantation ou modification importante, règlent la plupart des cas. L’inventaire des caméras doit rester à jour et les analyses être revues quand les risques changent.
Des mesures écrites, rarement vérifiées
Une collectivité peut tenir un registre à jour, disposer d’une politique de sécurité et de contrats de sous-traitance en règle, et laisser malgré tout des comptes administrateurs sans double authentification ou un portail famille sans AIPD. Les dix sanctions le montrent : la CNIL demande la preuve que les mesures sont appliquées, adaptées aux risques et réexaminées.
Un DPO externe ne peut garantir l’absence de sanction. Il peut organiser des contrôles adaptés, formuler des recommandations écrites et alerter la direction quand rien ne bouge. La répartition des rôles reste la même : le responsable de traitement décide et répond de la conformité, la DSI et les prestataires mettent en œuvre les mesures techniques, le DPO conseille, contrôle et rend compte.
Pré-diagnostic : où en est votre collectivité ?
Le questionnaire reprend les failles sanctionnées par la CNIL. Répondez « oui » seulement si vous avez vu le justificatif. Un DPO du réseau DPO FRANCE vous adresse en retour une lecture de vos réponses et les points à traiter en priorité.
Cette grille sert de premier niveau de vérification. Elle ne remplace ni un audit technique de sécurité ni une analyse de risques.
Sources
- CNIL, 9 novembre 2026, Cybersécurité des collectivités territoriales : la CNIL prononce dix sanctions
- Banque des Territoires, Cybersécurité : la Cnil inflige des amendes à 10 collectivités
- CNIL, La procédure de sanction simplifiée
- CNIL, Analyse d’impact relative à la protection des données
- CNIL, Sécurité : tracer les opérations
- Règlement (UE) 2016/679 (RGPD), articles 24, 28, 32, 35 et 39
- Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, article 90
- Ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives (référentiel général de sécurité)
