Data10 novembre 2026Disponible

Dix sanctions de la CNIL contre des collectivités pour failles de cybersécurité

La CNIL a prononcé dix sanctions financières, de 3 000 à 20 000 euros, contre des collectivités et un établissement public, annoncées le 9 novembre. Reproches : connexion à distance sans double authentification, accès permanents des prestataires, traces de connexion incomplètes.

Après avoir contrôlé plusieurs collectivités et leurs prestataires, la CNIL a prononcé dix sanctions par procédure simplifiée, avec des amendes de 3 000 à 20 000 euros, maximum de cette procédure.
Les failles relevées : des administrateurs connectés à distance sans double authentification (un second code en plus du mot de passe), des prestataires avec un accès permanent ou un compte partagé, des journaux de connexion (traces des accès) incomplets, un réseau non découpé en zones, des serveurs dont le système n'est plus mis à jour et des mots de passe envoyés en clair.
Plusieurs collectivités ont aussi été sanctionnées pour l'absence d'analyse d'impact (étude des risques avant un traitement sensible de données), notamment pour des services en ligne où les parents gèrent les activités scolaires de leurs enfants. Selon la CNIL, des fuites de données subies par certaines auraient pu être évitées.

Ce que ça change pour une direction

Vérifiez que vos administrateurs et vos prestataires se connectent à distance avec une double authentification, et que les accès des prestataires s'ouvrent au cas par cas.
Contrôlez que les traces de connexion sont complètes, que quelqu'un les surveille, et dressez la liste des serveurs que leur éditeur ne met plus à jour.
Avant de lancer un service qui traite des données de mineurs ou des coordonnées bancaires, faites l'analyse d'impact : la CNIL en a sanctionné l'absence.

Sources :

Analyse

Le contexte

Ces sanctions suivent le choix de la CNIL, en 2025, de faire de la cybersécurité des collectivités un thème annuel de contrôle, face à la multiplication des cyberattaques. Elle indique consacrer en 2026 la moitié de ses contrôles et de ses actions de sanction à la sécurité des données.

Ce que la CNIL précise

Le montant de chaque amende tient compte du nombre de manquements et de leur gravité, des données traitées (données de mineurs, coordonnées bancaires), du budget de la collectivité, du nombre de personnes touchées et des mesures prises pour se mettre en conformité. D'autres procédures sont en cours.

Au-delà des collectivités

La CNIL relie ce travail à la directive NIS2 (règles européennes de cybersécurité), en cours de transposition, qui fixera de nouvelles exigences notamment aux collectivités. Clubic invite les dirigeants de PME à vérifier d'abord les accès des prestataires et la double authentification.

Pour une direction informatique ou juridique

Un prestataire qui garde un accès permanent à votre réseau expose vos données, comme la CNIL l'a relevé chez les collectivités. Demandez à chacun de vos éditeurs quel accès il détient, qui s'en sert avec quel compte, et à quelle date il a été vérifié pour la dernière fois.