Dix sanctions financières frappent des acteurs publics français. La CNIL révèle des failles informatiques préoccupantes, entre accès non sécurisés, surveillance défaillante et protection insuffisante des données personnelles. La cybersécurité des collectivités territoriales devient un enjeu majeur de conformité réglementaire. Le 9 novembre 2026, la Commission nationale de l’informatique et des libertés (CNIL) annonce dix sanctions financières contre des collectivités et un établissement public. Les amendes, comprises entre 3 000 et 20 000 euros, visent des insuffisances dans la protection des informations personnelles. Authentification défaillante, accès permanents de prestataires, serveurs obsolètes ou absence d’analyses d’impact figurent parmi les irrégularités constatées. Ces décisions illustrent les difficultés de sécurisation des administrations locales, détentrices de renseignements concernant notamment les familles, les mineurs et les bénéficiaires de prestations sociales. La perspective de NIS2 renforce également la pression réglementaire. Dix sanctions financières frappent des acteurs publics français. La CNIL révèle des failles informatiques préoccupantes, entre accès non sécurisés, surveillance défaillante et protection insuffisante des données personnelles. Des failles informatiques qui exposent les administrés Des amendes jusqu’à 20 000 euros et NIS2 en perspective Des failles informatiques qui exposent les administrés Une commune peut détenir des milliers d’informations personnelles, allant des actes d’état civil aux coordonnées bancaires des familles. Derrière les services municipaux, les départements et les régions se trouvent des systèmes informatiques dont la compromission peut affecter directement la vie quotidienne des citoyens. Cette réalité a conduit la CNIL à inscrire la cybersécurité des collectivités parmi ses priorités de contrôle pour 2025. L’autorité a examiné les dispositifs techniques, organisationnels et physiques de plusieurs administrations et de leurs prestataires informatiques. Les résultats ont révélé des insuffisances suffisamment importantes pour justifier dix procédures de sanction simplifiées, sur le fondement du RGPD et de la loi Informatique et Libertés. Première faiblesse identifiée, l’absence d’authentification multifacteur pour certains comptes administrateurs. Des agents pouvaient accéder à distance aux infrastructures sans disposer de mécanismes d’identification suffisamment résistants. Une situation particulièrement risquée lorsque les identifiants concernés donnent accès à des fonctions privilégiées. Les interventions des prestataires constituent une autre source de vulnérabilité. Certains fournisseurs de logiciels bénéficiaient d’autorisations permanentes sur les réseaux administratifs, sans validation spécifique pour chaque intervention. D’autres utilisaient des comptes partagés entre plusieurs collaborateurs. Ces pratiques compliquent l’identification des personnes responsables d’une opération informatique. Elles peuvent également faciliter l’exploitation d’un compte compromis et prolonger la présence d’un intrus. La surveillance des infrastructures présentait aussi des lacunes. Plusieurs collectivités disposaient de journaux d’activité incomplets ou insuffisamment exploités. Sans analyse rapide des événements suspects, une intrusion peut rester difficile à identifier. Le cloisonnement insuffisant des réseaux aggravait cette exposition. Un attaquant ayant compromis un premier système pourrait potentiellement atteindre d’autres environnements informatiques, augmentant les conséquences d’un incident. La CNIL a également découvert des serveurs utilisant des systèmes d’exploitation obsolètes, privés de correctifs de sécurité. À ces faiblesses s’ajoutaient des mots de passe trop simples, communiqués en clair aux usagers ou conservés dans des conditions inadaptées. Ces constats ne relèvent pas uniquement de risques théoriques. Certaines collectivités inspectées avaient déjà subi une ou plusieurs violations de données personnelles. Selon l’autorité, des protections appropriées auraient pu empêcher certains incidents. Enfin, plusieurs systèmes utilisés pour les échanges numériques avec les administrés n’avaient pas bénéficié de l’homologation de sécurité exigée par le référentiel général de sécurité (RGS) avant leur mise en service. Cette procédure vise notamment à formaliser l’appréciation des risques et l’acceptation des conditions de sécurité d’un système administratif. Des amendes jusqu’à 20 000 euros et NIS2 en perspective Les sanctions ne concernent pas exclusivement les vulnérabilités techniques. Plusieurs collectivités ont également négligé une obligation essentielle du RGPD : réaliser une analyse d’impact relative à la protection des données (AIPD) avant certains traitements susceptibles d’engendrer un risque élevé pour les personnes. Deux situations illustrent ces manquements. Fuites de données, piratages, arnaques : recevez l’essentiel sur votre téléphone, gratuitement et sans pub. La première concerne les plateformes numériques permettant aux parents de gérer les activités scolaires et périscolaires de leurs enfants. Ces services réunissent des informations concernant des mineurs et des éléments hautement personnels, notamment bancaires. La seconde porte sur les dispositifs de vidéoprotection installés dans l'espace public. Leur utilisation peut constituer une surveillance systématique à grande échelle, nécessitant une évaluation préalable des conséquences pour les droits et libertés. Une AIPD correctement conduite permet d'identifier les menaces, d'apprécier leur gravité et de définir des mesures adaptées avant le déploiement du traitement. Les dix amendes prononcées s'échelonnent entre 3 000 et 20 000 euros, montant maximal prévu dans le cadre de la procédure simplifiée utilisée. Pour déterminer les pénalités, la CNIL a notamment examiné la gravité et le nombre des infractions, les catégories de données concernées, les budgets des organismes, le volume de personnes exposées ainsi que les efforts de mise en conformité. Au-delà des sanctions, l'autorité annonce la poursuite des investigations. D'autres dossiers pourraient déboucher sur des amendes, des mises en demeure ou des rappels aux obligations réglementaires. La démarche s'inscrit dans une politique de contrôle renforcée. En 2026, la CNIL consacre la moitié de ses contrôles et actions répressives à la sécurité des données. Cette vigilance accompagne également la préparation de la directive européenne NIS2, dont la transposition française est encore en cours à la date de cette annonce. Le dispositif doit renforcer les exigences de cybersécurité applicables à certaines entités publiques, selon leur périmètre d'assujettissement. Pour les collectivités, l'enjeu dépasse désormais la simple conformité documentaire. La maîtrise des comptes privilégiés, la supervision des prestataires, la maintenance des serveurs et la détection des comportements anormaux constituent des éléments centraux de protection. Ces dix décisions rappellent une réalité de la cyber intelligence : l'identification précoce des vulnérabilités et la connaissance des accès informatiques peuvent éviter qu'une faiblesse administrative ne devienne une porte d'entrée pour des cybercriminels. Chercheur / Journaliste / Conférencier / Enseignant Damien Bancal est journaliste spécialisé en cybersécurité, expert en cyber intelligence, enseignant, conférencier, auteur de 20 livres et fondateur du projet ZATAZ en 1989. Depuis plus de 30 ans, il enquête sur la cybercriminalité, les fuites de données, le piratage informatique et la protection de l’identité numérique. Réserviste citoyen de la Gendarmerie nationale au sein de l’UNCyber, il a remporté le CTF Social Engineering du HackFest 2024 après avoir été finaliste de la compétition nord-américaine en 2023. Lauréat du Prix spécial du livre du FIC / InCyber 2022, son travail a notamment été relayé par le New York Times. Il figure également parmi les 500 personnalités tech les plus influentes recensées par Tyto PR. Le site ZATAZ.COM s’est imposé comme une référence dans l’actualité de la cybercriminalité, du piratage informatique, des violations de données et de la défense numérique. À travers ses enquêtes, ses analyses et ses alertes, Damien Bancal contribue activement à mieux informer sur les menaces qui touchent les particuliers comme les organisations. Damien Bancal poursuit son engagement à travers ses activités journalistiques, ses conférences, ses ateliers, ses cours et sa société veillezataz.com, lancée en 2022. Cyberattaque des frigos : la piste iranienne se précise Ce site utilise Akismet pour réduire les indésirables. Découvrez comment les données de vos commentaires sont traitées. LA VEILLE CYBER QUI VA DROIT À L'ESSENTIEL. Chaque vendredi, recevez les alertes cyber, brèves inédites et menaces émergentes de ZATAZ. S'informer, c'est déjà se cybersécuriser. Vos données ont-elles fuité ?Un service Pro de ZATAZ DERNIÈRES ACTUALITÉS ●mardi 10 novembre 2026 à 03:00 Cybersécurité : la CNIL sanctionne dix collectivitésCyberattaque des frigos : la piste iranienne se préciseNvidia : l’espionnage par la séduction et le social engineering L’Université de Waterloo victime d’une attaque de ransomware ciblant son système de messagerie Piratage : les joueurs et joueuses de Star Citizen et Squadron 42 en danger ? Blackmarket : Tea-horse Ancient Road fermé Publicités et contenu personnalisés, mesure de performance des publicités et du contenu, études d’audience et développement de services