Des collectivités territoriales sanctionnées par la Cnil car insuffisamment sécurisées
Publication :
Dix amendes allant de 3 000 € à 20 000 € ont été prononcées par la Cnil suite au contrôle de plusieurs collectivités territoriales ainsi que leurs prestataires sur la sécurisation de leur informatique.
La Cnil a contrôlé les collectivités territoriales et leurs prestataires afin de vérifier que les mesures de sécurité, techniques, organisationnelles et physiques, mises en œuvre pour protéger les données des administrés étaient suffisantes.
Données sur les mineurs et coordonnées bancaires
Les montants des amendes tiennent compte du nombre de manquements et de leur gravité, des catégories de données traitées, si elles concernent des mineurs, des coordonnées bancaires, etc. Cela tient compte du budget de la collectivité et du nombre de personnes concernées. Ces montants intègrent aussi les mesures prises pour se mettre en conformité.
Les amendes vont de 3 000 € à 20 000 € car c’est le maximum légal pour ce type de procédure, indique la Cnil. Les contrôles ont révélé plusieurs manquements au RGPD et à la loi Informatique et Libertés, entraînant dix sanctions financières dans le cadre de la procédure simplifiée.
Des failles de sécurité sanctionnées
Les manquements sanctionnés ciblent la sécurité (article 32 du RGPD). Cela concerne des failles pouvant affecter la sécurité d’un système d’information. Ce sont notamment les modalités d’authentification permettant aux agents des collectivités de se connecter à distance (en télétravail) qui n’étaient pas suffisamment robustes, en particulier pour ceux disposant de privilèges élevés.
Il n’y avait pas d’authentification multi-facteur pour les administrateurs qui ont le poste pouvant réaliser le plus de tâches dans un système d’information. Des prestataires extérieurs - par exemple, des éditeurs de logiciels - pouvaient accéder au réseau des collectivités de manière permanente (au lieu d’être autorisés au cas par cas), ou via des comptes partagés entre plusieurs salariés.
Une journalisation des actions insuffisante
La Cnil pointe que des mesures déployées afin de détecter les comportements anormaux étaient inefficaces. Par exemple, la journalisation des actions sur le système d’information était incomplète ou il n’y avait pas d’exploitation en temps réel ou à court terme de ces journaux.
Dans d’autres cas, le cloisonnement du réseau de la collectivité territoriale était insuffisant. Cela pouvait permettre d’étendre l’impact d’une violation informatique à plusieurs segments du réseau de la collectivité. D’autre part, la Cnil a relevé que certains systèmes d’exploitation utilisés par des serveurs étaient obsolètes. Ces systèmes d’exploitation n’étaient plus maintenus à jour par leur éditeur et ne bénéficiaient donc pas des correctifs de sécurité adéquats.
Des mots de passe peu sécurisés
De plus, la Cnil retient que certains mots de passe étaient insuffisamment robustes, transmis en clair aux usagers ou stockés dans des conditions qui ne permettent pas de garantir leur confidentialité. La Cnil souligne que l’ensemble de ces manquements exposaient les données, parfois sensibles, des administrés à des risques de perte de confidentialité. Point important, on apprend que certaines des collectivités contrôlées ont d’ailleurs subi une ou plusieurs violations de données. « Cela aurait pu être évité si les mesures adéquates avaient été prises » estime la Cnil.
Plusieurs décisions de la Cnil lors de ces contrôles, relèvent que les systèmes d’information des collectivités, utilisés notamment pour échanger en ligne avec les administrés, ne faisaient pas l’objet d’une homologation de sécurité avant leur mise en service, alors que le référentiel général de sécurité (RGS) l’exige. Cette homologation est rendue obligatoire. Elle est destinée à assurer aux autorités administratives la mise en conformité de leur système d’information.
Absence d’analyse impact
La Cnil observe un manquement à l’obligation d’effectuer une analyse d’impact (articles 35 du RGPD et 90 de la loi Informatique et Libertés). Plusieurs collectivités ont été sanctionnées pour ne pas avoir réalisé d’analyse d’impact (AIPD) préalablement à la mise en œuvre de certains traitements qui présentent des risques élevés pour les droits et libertés des personnes.
C’est notamment le cas des téléservices servant aux parents de gérer les activités scolaires et extrascolaires de leurs enfants, puisqu’ils concernent à la fois des personnes vulnérables que sont les enfants et des données hautement personnelles comme des coordonnées bancaires.
Encadrer l’usage de la vidéo protection
Cela concerne aussi les systèmes de vidéo protection installés sur la voie publique, qui constituent « une surveillance systématique à grande échelle d’une zone accessible au public » critique la Cnil. La Cnil déclare que ces analyses d’impact auraient permis aux collectivités d’évaluer les risques liés aux traitements en cause et de prendre les mesures de sécurité nécessaires.
Enfin, la Cnil rappelle son nouveau focus sur la sécurisation des systèmes d’information en 2026. La moitié de ses contrôles et de ses actions répressives est consacrée à la sécurité des données. La Cnil poursuivra ses vérifications afin de s’assurer que les données, parfois sensibles, des administrés sont traitées dans des conditions de sécurité satisfaisantes par les collectivités territoriales et leurs prestataires. La Cnil annonce que d’autres procédures sont actuellement en cours et pourraient mener, en cas de manquements, à des sanctions, des mises en demeure ou des rappels aux obligations.
Sensibilisation des collectivités la cyber sécurité
En parallèle, la Cnil indique qu’elle poursuit ses actions de sensibilisation et d’accompagnement des collectivités territoriales en matière de cyber sécurité. Cela s’inscrit dans la préparation de l’entrée en application de la directive NIS2, en cours de transposition, qui met à la charge notamment des collectivités territoriales de nouvelles exigences en matière de sécurité informatique.
La Cnil déclare s’être intéressée aux collectivités territoriales que sont les communes, les départements et les régions car elles traitent un grand nombre de données, pour certaines sensibles telles que la gestion de l’état civil des usagers, le versement de prestations sociales, les données financières, ou des données concernant des mineurs. Face au nombre croissant de cyberattaques, la Cnil a décidé, en 2025, de faire de la cyber sécurité des collectivités territoriales l’une de ses thématiques annuelles de contrôle.
