La CNIL a sanctionné des collectivités et un établissement public pour des failles de cybersécurité : amendes de 3 000 à 20 000 €. Les points de vigilance pour communes et offices de tourisme.
Le 9 novembre 2026, la CNIL a annoncé dix sanctions prononcées en novembre contre des collectivités territoriales et un établissement public pour des manquements à la cybersécurité. Elles relèvent de la procédure de sanction simplifiée, avec des amendes de 3 000 à 20 000 euros, plafond légal de cette procédure. Les montants tiennent compte du nombre et de la gravité des manquements, des catégories de données, du budget de chaque collectivité, du nombre de personnes concernées et des mesures de mise en conformité.
La cybersécurité des collectivités était l'une des thématiques annuelles de contrôle de la CNIL en 2025. Les vérifications ont révélé des manquements à l'article 32 du RGPD. Les accès à distance des agents, en télétravail notamment, n'étaient pas assez protégés, sans authentification multifacteur pour les administrateurs. Des prestataires, dont des éditeurs de logiciels, accédaient au réseau en permanence ou via des comptes partagés. La journalisation était incomplète ou non exploitée, le réseau mal cloisonné, certains serveurs tournaient sur des systèmes obsolètes et des mots de passe étaient faibles ou transmis en clair.
Plusieurs collectivités n'avaient pas fait homologuer leurs systèmes d'information avant leur mise en service, comme l'exige le référentiel général de sécurité. D'autres n'avaient pas mené d'analyse d'impact (AIPD) pour des traitements à risque : les téléservices de gestion des activités scolaires et périscolaires, qui traitent des données d'enfants et des coordonnées bancaires, et la vidéoprotection sur la voie publique. Certaines avaient déjà subi des violations de données.
La CNIL indique consacrer en 2026 la moitié de ses contrôles et actions répressives à la sécurité des données. D'autres procédures sont en cours. L'autorité inscrit ces contrôles dans la préparation de la directive NIS2, en cours de transposition, qui imposera de nouvelles exigences de sécurité aux collectivités.
Les communes touristiques gèrent des données sensibles en haute saison : réservations d'hébergements municipaux, billetterie, inscriptions aux activités, vidéoprotection des plages et des centres-villes. Les offices de tourisme, qu'ils soient EPIC, SPL ou associations, partagent souvent un réseau ou des logiciels avec leur collectivité. Trois vérifications découlent de ces décisions : imposer l'authentification multifacteur aux comptes administrateurs, encadrer l'accès des éditeurs de logiciels au cas par cas et réaliser une AIPD pour toute caméra filmant l'espace public. La CNIL tiendra un stand au Salon des maires du 24 au 26 novembre 2026, Porte de Versailles, puis un webinaire le 8 décembre 2026.
Sources :
