Dix sanctions prononcées par la CNIL à l’encontre de collectivités territoriales en novembre 2026 mettent en lumière des manquements récurrents à la sécurité des données. Au-delà des correctifs techniques, ces décisions soulignent l’intérêt d’une démarche structurée de gestion des risques liés à la sécurité de l’information.
Cybersécurité des collectivités territoriales : une priorité absolue pour la CNIL
En 2025, dans le cadre de la politique de contrôle de la CNIL, qui vise à garantir le respect du Règlement général sur la protection des données (RGPD), et plus particulièrement l'article 32, la CNIL a érigé les collectivités territoriales en cible prioritaire de ses vérifications, en réponse à la recrudescence des cyberattaques ciblant ces structures.
Les collectivités territoriales manipulent des volumes importants de données sensibles, telles que des informations personnelles (état civil, adresses), des données financières (coordonnées bancaires, prestations sociales) ou encore des données relatives aux mineurs, particulièrement protégées par le RGPD. Les investigations menées sur le territoire national confirment des manquements structurels répétés, exposant les données des administrés et les organismes publics à des risques majeurs de confidentialité.
En novembre 2026, la CNIL a prononcé dix sanctions financières allant de 3 000 € à 20 000 €. Le calcul de ces amendes repose sur plusieurs critères : le nombre et la gravité des manquements, la sensibilité des données traitées (mineurs, coordonnées bancaires, etc.), le volume de personnes impactées, le budget de chaque collectivité ainsi que les efforts engagés pour la mise en conformité. Ces décisions soulignent l'importance cruciale de la sécurité des données et rappellent que les exigences du RGPD s'imposent à toutes les structures, quels que soient leur taille ou leur statut juridique.
Les 5 failles critiques sanctionnées par la CNIL en 2025-2026
Les contrôles de la CNIL ont permis d’identifier cinq manquements récurrents, considérés comme des failles critiques au regard de l’article 32 du RGPD. Ces manquements, souvent combinés, exposent les collectivités à des sanctions administratives, mais aussi à des risques opérationnels et réputationnels.
Parmi les principales défaillances constatées, on relève les points suivants :
- Une authentification insuffisante ;
- Un manque d'encadrement des accès des prestataires ;
- Des failles dans la surveillance informatique ;
- Un cloisonnement insuffisant des réseaux ;
- La présence de logiciels et de mots de passe vulnérables.
Au-delà de l’article 32, la CNIL a également relevé l’absence d’Analyse d’impact relative à la protection des données (AIPD), obligatoire au titre de l’article 35 du RGPD pour les traitements présentant un risque élevé pour les droits et libertés des personnes. Certaines collectivités n’avaient pas non plus procédé à l’homologation de sécurité de leurs systèmes d’information avant leur mise en service, pourtant exigée par le Référentiel général de sécurité (RGS). Ces constats montrent que la sécurité des données repose aussi sur l’anticipation des risques et la formalisation des décisions.
ISO 27001 : un cadre pour sécuriser les données et contribuer à la conformité au RGPD
Le RGPD et la norme ISO 27001 offrent un cadre structurant pour renforcer la cybersécurité des organismes. Le RGPD impose des obligations légales en matière de protection des données, tandis que l’ISO 27001 propose une méthodologie pour mettre en place un Système de management de la sécurité de l’information (SMSI). Elle permet aux organisations d'adopter une approche méthodique articulée autour des actions suivantes :
- Identifier les menaces et les vulnérabilités ;
- Évaluer les risques associés au système d'information ;
- Déployer des mesures de protection adaptées ;
- Définir les responsabilités et les règles de gestion des accès ;
- Organiser la gestion des incidents ;
- Améliorer continuellement les dispositifs de sécurité.
L'intérêt de cette démarche est de faire de la sécurité de l'information une responsabilité partagée par l'ensemble de l'organisation.
Engager une démarche de certification ISO 27001 avec BCI France
La certification ISO 27001 est une démarche volontaire, engagée à l’initiative de l’organisation qui souhaite faire reconnaître la maturité de son dispositif de sécurité de l’information. Elle atteste, à l’issue d’un audit conduit par un organisme tiers, que le système de management de la sécurité de l’information (SMSI) de l’organisation satisfait aux exigences de la norme.
L’engagement dans une démarche de certification permet notamment :
- d’obtenir une évaluation externe et objective du SMSI, au regard d’un référentiel reconnu à l’international ;
- de gagner en clarté et en fiabilité dans la gestion des données ;
- de contribuer à réduire les risques de failles ou de pertes d’information ;
- d’attester auprès des partenaires et financeurs de la prise en compte des enjeux de sécurité de l’information.
Chez BCI France, notre mission est de certifier les organisations avec rigueur, clarté et indépendance, afin de faire de la sécurité de l’information un levier durable de confiance et de crédibilité.
Pour en savoir plus sur la norme ISO 27001 et le processus de certification, consultez la page dédiée à la sécurité des systèmes d’information.
Pour toute demande d’information, nos équipes sont à votre disposition via le formulaire de contact.
Questions fréquentes
Qu'est-ce qu'une sanction CNIL ?
Une sanction CNIL est une mesure prononcée par la Commission Nationale de l'Informatique et des Libertés lorsqu'un organisme ne respecte pas ses obligations en matière de protection des données personnelles. Elle peut notamment prendre la forme d'une amende administrative ou d'une mesure corrective.
Pourquoi la CNIL a-t-elle sanctionné des collectivités en 2026 ?
Les contrôles ont révélé plusieurs manquements à la sécurité des systèmes d'information : authentification insuffisante, accès prestataires mal encadrés, logiciels obsolètes et absence d'analyses d'impact pour certains traitements.
Comment éviter une sanction CNIL liée à la cybersécurité ?
Les sanctions prononcées en 2026 rappellent plusieurs obligations. Sur le plan technique, les organisations sont tenues de sécuriser les accès, de maintenir leurs logiciels à jour, de surveiller leurs systèmes et de vérifier régulièrement l’efficacité de leurs mesures de protection, conformément à l’article 32 du RGPD. Sur le plan formel, elles doivent réaliser une analyse d’impact (AIPD) avant de mettre en œuvre un traitement présentant un risque élevé pour les personnes, et, pour les autorités administratives comme les collectivités, faire homologuer leurs systèmes d’information avant leur mise en service, conformément au Référentiel général de sécurité (RGS).
La certification ISO 27001 permet-elle d'éviter une sanction CNIL ?
Non, la certification ISO 27001 ne constitue pas une preuve de conformité au RGPD et ne protège pas d’une sanction. Elle fournit toutefois un cadre structuré pour identifier les risques et mettre en place des mesures de sécurité, qui peut contribuer à répondre aux obligations de sécurité prévues par l’article 32 du RGPD.
Quelle est la différence entre le RGPD et ISO 27001 ?
Le RGPD est un règlement européen qui encadre le traitement des données personnelles et impose des obligations légales. ISO 27001 est une norme internationale volontaire qui définit les exigences d'un système de management de la sécurité de l'information. Les deux démarches sont complémentaires.
