Le RGPD, comme auparavant la loi Informatique et libertés, oblige un responsable de traitement à garantir la sécurité des données personnelles qu’il traite. Un défaut de cybersécurité, des négligences quant à celle-ci, peuvent entrainer des sanctions de la part de la CNIL. En novembre 2026, la CNIL a ainsi prononcé dix sanctions simplifiées à l’encontre de collectivités territoriales et d’un établissement public pour ce motif. Les sanctions sont, vues la procédure et la nature des responsables de traitement, limitées à amendes allant de 3 000 à 20 000 euros. Au delà du RGPD, dans le cas particulier des collectivités et administrations, le référentiel général de sécurité (RGS) exige une homologation de sécurité pour certains traitements.
En fin d’année dernière, la CNIL a décidé de faire de la cybersécurité des collectivités territoriales l’une de ses thématiques annuelles de contrôle face au nombre croissant de cyberattaques contre celles-ci. Il faut se rappeler que, par la nature de leurs prérogatives, les collectivités territoriales sont amenées à traiter des données particulièrement sensibles. En consultant la liste des sanction, ce point est particulièrement saillant.
Dans plusieurs, malgré cette sensibilité des données, les accès au SI étaient insuffisamment protégés : accès distants sans double authentification, accès non-nominatifs pour des prestataires à privilèges élevés, cloisonnement insuffisant, etc. L’homologation de sécurité prévue au RGS était absente dans plusieurs cas. Dans des cas d’usage aux données très sensibles (données bancaires de parents et données comportementales de mineurs dans un cadre scolaire, vidéoprotection des voies publiques…), en dépit du RGPD, des collectivités n’ont pas réalisé l’étude d’impact obligatoire.
