Les collectivités territoriales traitent « un grand nombre de données, pour certaines sensibles »  : état civil, prestations sociales, données financières, données de mineurs, paiement en ligne... Face à la multiplication des cyberattaques menées contre les collectivités, la Cnil a annoncé en 2025 que la cybersécurité des collectivités territoriales ferait partie des priorités du programme de contrôles 2025 de la commission. 

Au total, en 2025, la Cnil a mené 323 contrôles et a rendu 259 décisions, dont 83 sanctions pour un montant total de près de 487 millions d’euros (perçus par le Trésor public). Les contrôles qui ont visé les collectivités territoriales ont abouti à dix sanctions financières. 

Ces sanctions ont été prononcées par voie de procédure simplifiée, ce qui explique que les amendes soient relativement modestes (de 3 000 à 20 000 euros). Pour des manquements plus graves ou plus complexes, la Cnil passe par la procédure ordinaire, qui vise des dossiers plus complexes et des montants plus importants. 

Le contexte justifie cette nécessité de davantage protéger les données des citoyens. Ces dernières années, les cyberattaques ont été chaque année plus fréquentes et nombreuses, et la menace cyber n’a cessé de croître depuis le début de la guerre en Ukraine. Elles deviennent une arme pour un certain nombre de puissances étrangères : hier encore, après la cyberattaque très élaborée qui a visé des hypermarchés, dont le système frigorifique a été reprogrammé, le gouvernement a officiellement accusé l'Iran d'être responsable de cette attaque donc les dégâts se chiffrent en millions d'euros.

Ces contrôles visent aussi à préparer l’entrée en application de la directive NIS 2 « qui prévoit une montée en compétences et des exigences nouvelles pour les collectivités territoriales en matière de sécurité informatique ». L’examen du projet de loi visant à transposer cette directive est en cours à l’Assemblée nationale. Maire info reviendra cette semaine sur le sujet. 

« Diversité des failles »  dans la sécurité des données 

Dans son communiqué, la Cnil explique que ses contrôles ont révélé « plusieurs manquements au RGPD » , témoignant « de la diversité des failles pouvant affecter la sécurité d’un système d’information. » 

« Certaines des collectivités contrôlées ont d'ailleurs subi une ou plusieurs violations de données, qui auraient pu être évitées si les mesures adéquates avaient été prises. »

— La Commission nationale de l'informatique et des libertés (CNIL)

Plusieurs exemples de manquements à la sécurité des données sont cités par la Cnil. L’authentification à distance d’un agent d’une collectivité a été par exemple jugée insuffisante, notamment en télétravail. Les agents à privilèges élevés n’avaient pas d’authentification multifacteurs, ce qui concerne en particulier les administrateurs.

Un contrôle a aussi mis en lumière un accès excessif des prestataires (éditeurs de logiciels, par exemple) au réseau de la collectivité « de manière permanente », sans autorisation cas par cas. 

La Cnil a sanctionné également d’autres collectivités pour un cloisonnement de réseau insuffisant – « ce qui pouvait étendre l’impact d’une violation à plusieurs segments du réseau »  – une journalisation incomplète qui empêchait de repérer les comportements anormaux ou encore des serveurs dont les systèmes d’exploitation « n’étaient plus maintenus à jour par leur éditeur » , et des mots de passe trop faibles ou mal protégés.

« Certaines des collectivités contrôlées ont d’ailleurs subi une ou plusieurs violations de données, qui auraient pu être évitées si les mesures adéquates avaient été prises » , constate la Cnil. 

Autre point important : plusieurs décisions relèvent que les systèmes d’information, utilisés notamment pour échanger en ligne avec les administrés, n’avaient pas été homologués avant leur mise en service. Le référentiel général de sécurité (RGS) l’exige pourtant : cette homologation permet aux autorités administratives d’assurer la conformité de leur système.

Téléservices et vidéoprotection : des outils très utilisés par les communes 

La Cnil a aussi sanctionné des collectivités qui n’ont pas réalisé d’analyse d’impact « préalablement à la mise en œuvre »  de traitements « qui présentent des risques élevés pour les droits et libertés des personnes ». 

L’analyse d’impact relative à la protection des données (AIPD) est une étude des risques d’un traitement de données, obligatoire avant sa mise en œuvre lorsqu’il présente un risque élevé pour les droits et libertés des personnes. Une page sur le site de la Cnil détaille précisément les contours de cette AIPD. 

Deux cas de manquements à l’obligation d’effectuer une analyse d’impact sont cités. C’est le cas de téléservices permettant aux parents de gérer « les activités scolaires et extrascolaires de leurs enfants »  et qui concernent à la fois « des personnes vulnérables »  et des « données hautement personnelles » , en l’occurrence des coordonnées bancaires. Les systèmes de vidéoprotection installés sur la voie publique constituent quant à eux « une surveillance systématique à grande échelle d’une zone accessible au public »  et nécessitent donc également une AIPD. 

Ces services sont largement utilisés par les communes puisqu’elles gèrent les écoles primaires mais aussi le périscolaire et la vidéoprotection de la voie publique. Elles sont donc en première ligne, y compris les plus petites : l’AIPD doit être réalisée « préalablement à la mise en œuvre »  du traitement, rappelle la Cnil. 

Pour une commune, qui reste responsable du traitement même lorsqu’elle recourt à un prestataire, l’AIPD ne peut pas être déléguée : la commune est « tenue de s’assurer de la conformité de son traitement au RGPD », le sous-traitant devant seulement lui fournir « son aide »  et les informations nécessaires, et le délégué à la protection des données (DPD) pouvant vérifier l’exécution de l’analyse.

Suivez Maire info sur Twitter : @Maireinfo2