Cybersécurité, la CNIL rappelle les collectivités à leurs responsabilités

État civil, prestations sociales, inscriptions scolaires : les collectivités détiennent des informations qui accompagnent les habitants à chaque étape de leur vie. Leur protection exige davantage qu’un mot de passe à l’entrée du réseau. Après avoir fait de la cybersécurité territoriale une priorité de contrôle en 2025, la CNIL annonce dix sanctions simplifiées visant des collectivités et un établissement public.

Les amendes vont de 3 000 à 20 000 euros, plafond propre à cette procédure. Leur montant tient compte de la gravité des manquements, des données traitées, du nombre de personnes concernées, mais aussi des budgets et des efforts de mise en conformité.

Des portes d’entrée insuffisamment protégées

Les contrôles ont notamment révélé des accès à distance mal sécurisés, y compris pour des administrateurs disposant de droits étendus. Certains prestataires pouvaient également intervenir en permanence sur les réseaux, sans autorisation ponctuelle, ou utiliser des comptes partagés entre plusieurs salariés. Autres fragilités relevées : serveurs obsolètes, mots de passe insuffisamment robustes et surveillance inefficace des comportements anormaux. Un cloisonnement insuffisant pouvait aussi favoriser la propagation d’un incident. Certaines collectivités ont effectivement subi des violations que des protections adaptées auraient pu éviter.

Évaluer les risques avant d’ouvrir un service

La CNIL pointe également l’absence d’analyses d’impact pour certains téléservices scolaires ou dispositifs de vidéoprotection, ainsi que des défauts d’homologation de sécurité. Pour les élus et les directions générales, l’enjeu est donc autant organisationnel que technique : identifier les responsabilités, encadrer les interventions extérieures et intégrer la protection des données dès la conception des projets. Un portail familles ne devrait pas être considéré comme achevé parce qu’il fonctionne ; il doit aussi offrir des garanties adaptées aux informations confiées par les usagers.

La sécurité mérite ainsi une place dans les budgets, les contrats et le suivi des prestataires. Attendre une attaque pour s’en préoccuper revient à laisser les administrés supporter les conséquences des failles. La confiance numérique se prépare au même titre que la continuité du service public.