Sanctions CNIL contre des collectivités : l'article 32 du RGPD

Dix sanctions, de 3 000 à 20 000 euros

La CNIL a annoncé en novembre 2026 dix sanctions financières contre des collectivités territoriales et un établissement public. Elles ont été prononcées en procédure simplifiée, et les montants vont de 3 000 euros à 20 000 euros, le plafond légal de cette procédure. La commission ne dit pas, dans sa publication, quelle sanction frappe une commune, un département ou une région. Elle précise en revanche comment elle fixe le montant : le nombre et la gravité des manquements, les catégories de données en jeu (mineurs, coordonnées bancaires), le budget de la collectivité, le nombre de personnes concernées et les mesures de mise en conformité déjà prises. Le signal est net. La CNIL poursuit ses vérifications, d'autres procédures sont en cours, et rien n'exclut des mises en demeure ou de simples rappels à l'ordre.

Ce que reproche la CNIL au titre de la sécurité

Le premier grief repose sur l'article 32 du RGPD, qui impose des mesures de sécurité adaptées aux risques. La CNIL détaille les manquements relevés. Chacun parle à une commune qui fait vivre un site ou un téléservice, même sans service informatique. Les sanctions visent des collectivités de toutes tailles, mais le raisonnement vaut pour une petite mairie : dès qu'un site collecte des données ou qu'un prestataire s'y connecte, la responsabilité de la sécurité reste celle de la commune, pas celle de son hébergeur ou de son éditeur.

L'accès à distance et les prestataires

L'authentification à distance n'était pas assez robuste : pas d'authentification multifacteur pour les administrateurs. Des prestataires, dont des éditeurs de logiciels, disposaient d'un accès permanent au réseau ou utilisaient des comptes partagés. Je vois la même fragilité sur les sites de petites collectivités. Le compte d'administration du site, partagé entre la secrétaire de mairie, un élu et le prestataire, sert à tout le monde et n'appartient à personne. Dès que quelqu'un change de poste, on ne sait plus qui peut encore se connecter. Un compte nominatif par personne règle une bonne partie du sujet.

Les mots de passe, les journaux et les serveurs

La liste continue avec des mots de passe trop faibles, transmis en clair aux usagers ou mal stockés. Elle cite aussi des serveurs dont le système d'exploitation n'était plus maintenu par son éditeur, un réseau mal cloisonné et une détection des comportements anormaux inefficace : journalisation incomplète, journaux non exploités. Le mot de passe envoyé en clair par courriel à un administré est le cas le plus courant sur un site avec espace usager. Il se corrige sans budget, par un lien d'activation à usage unique.

Voici les manquements de sécurité que la CNIL a retenus, tels qu'elle les décrit :

• authentification à distance insuffisante, sans multifacteur pour les administrateurs
• accès permanent des prestataires au réseau, comptes partagés
• journalisation incomplète et journaux non exploités
• cloisonnement du réseau insuffisant
• systèmes d'exploitation de serveurs obsolètes
• mots de passe faibles, transmis en clair ou mal stockés
• systèmes d'information non homologués avant leur mise en service

L'analyse d'impact oubliée

Le second grief porte sur l'analyse d'impact relative à la protection des données, prévue par l'article 35 du RGPD et l'article 90 de la loi Informatique et Libertés. Elle manquait dans deux cas précis. Le premier : les téléservices qui permettent aux parents de gérer les activités scolaires et extrascolaires, puisqu'ils traitent des données d'enfants et des coordonnées bancaires. Le second : la vidéoprotection sur la voie publique, que la CNIL assimile à une surveillance systématique à grande échelle. Une commune qui ouvre un portail famille ou installe des caméras doit donc faire cette analyse avant la mise en service, pas après un contrôle.

Trois contrôles sur un site de collectivité

La CNIL ne formule pas de recommandations détaillées dans cette publication. Elle renvoie vers sa fiche « Sécurité : tracer les opérations » pour la journalisation. Le référentiel général de sécurité est lui aussi en toile de fond : l'homologation des systèmes d'information relève de l'ordonnance n° 2005-1516 du 8 décembre 2005. La directive NIS2, elle, est en cours de transposition. Je m'en tiens à ces textes, que la CNIL cite elle-même. Sur un site de commune, je commence par trois contrôles : qui dispose d'un compte d'administration, qui héberge le site et dans quel état de mise à jour, et quel traitement de données personnelles passe par un formulaire ou un espace usager. Mon travail sur les sites de mairies et collectivités part de ces questions, et mon retour sur les failles PHP du 21 octobre montre la même logique côté hébergement.