Votre mairie conserve votre état civil et, parfois, les coordonnées bancaires que vous lui avez données pour payer la cantine de vos enfants. La CNIL a infligé dix amendes, de 3 000 à 20 000 euros, à des collectivités et à un établissement public, pour des failles dans la protection de vos informations.
L'an dernier, la CNIL a fait de la cybersécurité des collectivités l’une de ses priorités de contrôle, après la multiplication des cyberattaques contre les services publics. Ses agents ont inspecté des collectivités, mais aussi leurs prestataires informatiques, pour vérifier comment ils protègent les données des usagers. Au bout de ces vérifications, l’autorité a prononcé dix sanctions contre des collectivités et un établissement public. Plusieurs de ces collectivités avaient subi une ou plusieurs fuites de données, et selon la CNIL, des mesures adaptées auraient permis de les éviter.
Protégez votre entreprise gratuitement pendant 30 jours
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Les failles de sécurité relevées par la CNIL dans les collectivités
Dans plusieurs collectivités, les administrateurs informatiques se connectaient à distance, notamment en télétravail, sans double authentification. Il suffit alors d’un mot de passe volé pour qu’un pirate prenne la main sur les comptes les plus puissants du réseau. La CNIL a aussi constaté que des éditeurs de logiciels gardaient un accès permanent au réseau de la collectivité, sans autorisation au cas par cas, ou se connectaient avec un compte partagé entre plusieurs salariés. En piratant Atexo, un éditeur de logiciels pour les administrations, des pirates ont ainsi pu accéder aux données d’usagers de la Région Hauts-de-France, RIB compris.
Les agents de la CNIL ont aussi trouvé des journaux de connexion incomplets, ou que personne ne consultait en temps réel. Sans ces traces, une collectivité peut laisser un intrus fouiller ses fichiers sans rien voir. Et sans cloisonnement entre les différentes parties du réseau, un pirate entré par un seul poste peut accéder à tous les serveurs. Certaines collectivités utilisaient encore des systèmes d’exploitation abandonnés par leur éditeur, donc privés de correctifs de sécurité. D’autres envoyaient en clair aux usagers leurs mots de passe, ou avaient mis en service des systèmes d’information sans l’homologation de sécurité exigée des administrations.
Si vous dirigez une PME, vous pouvez vérifier dès aujourd’hui les deux premiers points chez vous. Quels prestataires gardent un accès permanent à votre réseau, et vos administrateurs se connectent-ils avec une double authentification ? À Saint-Étienne, la CNIL a infligé à l’Hôpital privé de la Loire 500 000 euros d’amende, notamment pour ces deux failles, après le vol des données de plus de 500 000 patients.
La CNIL a fixé chaque amende selon les données en jeu
Avec la procédure de sanction simplifiée, la CNIL règle plus vite les dossiers sans grande complexité juridique, mais ne peut pas dépasser 20 000 euros par amende. « Ces montants tiennent notamment compte du nombre de manquements relevés et de leur gravité, des catégories de données traitées (données de mineurs, coordonnées bancaires, etc.), du budget de chacune des collectivités et du nombre de personnes concernées », souligne la CNIL.
Le RGPD impose une analyse d’impact avant tout traitement de données à risque élevé pour la vie privée. Plusieurs collectivités ont ouvert sans cette étude des portails d’inscription aux activités scolaires et périscolaires, où vous enregistrez les informations de vos enfants et vos coordonnées bancaires. D’autres ont installé des caméras de vidéoprotection sur la voie publique, alors que le règlement exige cette analyse pour toute « surveillance systématique à grande échelle d’une zone accessible au public ».
Si votre commune vous prévient d’une fuite de données, méfiez-vous des messages qui reprennent vos informations pour réclamer un paiement ou un code de confirmation.
En 2026, la CNIL consacre la moitié de ses contrôles et de ses sanctions à la sécurité des données. Comme l’expliquait Victor Nicolle, directeur des contrôles et des sanctions de la CNIL, quand l’autorité a annoncé renforcer ses contrôles, « de nombreuses procédures sont en cours, notamment auprès des collectivités territoriales, concernant des fichiers de l’État et des entreprises détenant un grand nombre de données ». L’autorité instruit d’autres dossiers, et elle pourra prononcer de nouvelles amendes ou des mises en demeure.
