Souveraineté numérique : dix sanctions de la CNIL pour la cybersécurité locale
Quand on parle de souveraineté numérique, on pense volontiers aux grandes plateformes, aux câbles sous-marins ou aux centres de données. Pourtant, la question se pose d’abord à un guichet de mairie, dans un logiciel de gestion scolaire ou sur le poste d’un administrateur système de département. Les communes, départements et régions manipulent chaque jour des données essentielles : état civil, prestations sociales, finances publiques, informations concernant des mineurs. Après avoir fait de la cybersécurité des collectivités territoriales l’une de ses thématiques de contrôle en 2025, la CNIL a prononcé dix sanctions financières. Derrière ces décisions se dessine une cartographie précise des faiblesses techniques, organisationnelles et juridiques qui guettent l’administration locale.
Dix sanctions qui dressent un inventaire des failles ordinaires
Les contrôles ont visé plusieurs collectivités, acteurs publics et prestataires intervenant dans leurs systèmes d’information. L’objectif n’était pas de cocher la présence d’outils de sécurité, mais de vérifier que les mesures réellement appliquées, qu’elles soient techniques, organisationnelles ou physiques, protégeaient suffisamment les données des administrés. Les manquements constatés au RGPD et à la loi Informatique et Libertés ont conduit à dix sanctions, prononcées dans le cadre de la procédure simplifiée.
Le principal fondement est l’article 32 du RGPD, qui impose des mesures de sécurité adaptées aux risques. Ce texte ne prescrit pas une recette unique : il demande d’évaluer les données, les usages et les menaces, puis de proportionner les protections. C’est précisément cette évaluation qui a fait défaut à plusieurs niveaux, de la connexion à distance jusqu’à la surveillance des événements de sécurité. Ce qui frappe, c’est moins la sophistication des failles que leur caractère banal : elles ressemblent à ce que rencontrent beaucoup d’organisations, publiques comme privées.
Des accès à distance trop peu protégés
Certains agents pouvaient se connecter aux réseaux de leur collectivité, notamment en télétravail, avec des modalités d’authentification jugées insuffisamment robustes. Le problème est le plus grave pour les comptes à privilèges élevés. Un compte d’administrateur protégé par un simple mot de passe revient à confier les clés de toute la maison à un secret qui peut être volé, deviné ou réutilisé ailleurs. La CNIL a relevé l’absence d’authentification multifacteur pour des administrateurs.
Ce mécanisme ajoute une preuve supplémentaire à la combinaison classique de l’identifiant et du mot de passe. Il ne supprime pas tous les risques, mais il rend l’exploitation d’un identifiant volé nettement plus difficile. Le télétravail n’est donc pas en cause en lui-même : c’est l’absence de garanties autour de l’accès distant qui fragilise le système. Une collectivité doit distinguer ses profils et protéger plus fortement les comptes techniques, ceux qui permettent de modifier la configuration, de lire des bases entières ou de créer d’autres accès.
Des prestataires connectés sans contrôle au cas par cas
Une mairie ou un département ne développe pas toujours ses outils : il s’appuie sur des éditeurs de logiciels et des prestataires pour les exploiter ou les maintenir. Les contrôles ont mis en évidence des accès extérieurs permanents, qui n’étaient pas autorisés au cas par cas, ainsi que des comptes partagés entre plusieurs salariés d’un même prestataire. Dans ces conditions, impossible de savoir avec certitude qui s’est connecté, quand et pour faire quoi. Et un accès qui n’a plus de raison d’être peut rester ouvert bien après la fin de l’intervention.
Confier une tâche à un tiers ne déplace pas la responsabilité de protéger les données. Elle impose de définir les accès nécessaires, leur durée et les modalités de leur suivi. Des comptes nominatifs permettent d’attribuer chaque action à une personne, tandis qu’un accès temporaire et encadré limite la période pendant laquelle une intervention externe peut atteindre le réseau. Il s’agit d’une gouvernance concrète des droits, bien plus exigeante qu’une clause de sécurité glissée dans un contrat.
Journalisation, cloisonnement et systèmes obsolètes
Détecter une activité anormale suppose des journaux complets et réellement analysés. Or certaines collectivités disposaient d’une journalisation incomplète, ou n’exploitaient pas les événements en temps réel ou à court terme. Des traces archivées mais jamais lues ressemblent à des caméras de surveillance dont personne ne regarde les images : elles servent après coup, mais pas à empêcher l’incident. La surveillance doit associer collecte pertinente, procédures d’analyse et capacité à réagir aux alertes.
Le cloisonnement insuffisant du réseau constitue une autre faiblesse. Dans un réseau bien segmenté, la compromission d’un poste ou d’un serveur n’ouvre pas automatiquement l’accès à tout le reste, à la manière de portes coupe-feu dans un bâtiment. À l’inverse, un réseau à plat étend l’impact d’une violation à plusieurs segments. Les contrôles ont aussi identifié des serveurs fonctionnant avec des systèmes d’exploitation obsolètes, plus maintenus par leur éditeur et donc privés de correctifs de sécurité. Un équipement qui tourne encore n’est pas un équipement dont on peut corriger les vulnérabilités.
Enfin, certains mots de passe étaient insuffisamment robustes, transmis en clair aux usagers ou stockés dans des conditions qui ne garantissaient pas leur confidentialité. Cet ultime point rappelle que la sécurité repose autant sur de bons choix d’architecture et de maintenance que sur le respect des règles élémentaires appliquées aux identifiants.
Une faille isolée peut devenir un risque systémique lorsque les accès sont trop étendus, les réseaux insuffisamment séparés et les alertes peu exploitées.
Pour mieux saisir comment ces défauts s’enchaînent, le tableau suivant les met en regard des risques qu’ils créent et des réflexes attendus.
| Faille constatée | Risque principal | Réflexe attendu |
|---|---|---|
| Absence d’authentification multifacteur pour les administrateurs | Prise de contrôle à partir d’un mot de passe volé | Renforcer l’authentification des comptes à privilèges |
| Accès permanents ou comptes partagés chez les prestataires | Traçabilité perdue, accès persistant | Comptes nominatifs, accès autorisés au cas par cas |
| Journalisation incomplète ou non exploitée | Intrusion détectée trop tard | Collecter, analyser et traiter les alertes |
| Réseau insuffisamment cloisonné | Propagation d’un incident à plusieurs segments | Segmenter et limiter les flux |
| Systèmes d’exploitation obsolètes | Vulnérabilités sans correctif | Anticiper la fin de support et migrer |
Pourquoi la sécurité locale est un enjeu de souveraineté numérique
La sécurité des collectivités relève de la souveraineté numérique parce que les services publics locaux reposent sur des systèmes qui traitent des informations directement liées aux habitants. Cette souveraineté ne se résume pas au choix d’un fournisseur ou à la localisation d’un hébergement : elle suppose que l’administration garde la capacité de maîtriser ses accès, de connaître ses risques et de protéger la continuité de ses services. Pour approfondir cette dimension, retrouvez nos analyses dans la rubrique souveraineté numérique.
Le mot lui-même vient de loin. En droit international, la souveraineté désigne l’autorité d’une nation sur son territoire et sa capacité à décider sans se soumettre à une puissance extérieure. Les Nations unies reposent d’ailleurs sur l’égalité souveraine de leurs états membres, tandis que le Conseil de sécurité rappelle que cette égalité de principe coexiste avec des rapports de force entre puissances. Les traités, eux, montrent que la souveraineté peut être partagée volontairement : l’Union européenne en fournit l’illustration, ses états membres mettant en commun certaines compétences pour peser dans un monde marqué par la mondialisation. À l’échelle des peuples, la souveraineté populaire irrigue la constitution et la légitimité démocratique, qu’elle s’exprime par le vote ou, dans certains cas, par un référendum.
Transposée au numérique, cette grammaire devient parlante. On parle d’indépendance technologique comme on parlait jadis d’indépendance énergétique ou, pour certaines puissances, de dissuasion nucléaire : il s’agit de secteurs stratégiques où dépendre entièrement d’autrui limite la liberté d’action. Mais la souveraineté nationale ne se décrète pas depuis les sommets de l’État seulement. Elle se construit aussi dans les choix très concrets d’une collectivité, qui doit pouvoir établir qui accède à son réseau, dans quel but et avec quels privilèges, et vérifier que ses dispositifs de protection suivent les évolutions techniques. Nos lecteurs qui s’intéressent aux compromis entre textes, états et légitimité retrouveront cette logique dans notre décryptage du cadre de Windsor et de la souveraineté numérique.
Il faut toutefois rester précis : les sanctions de la CNIL portent sur des obligations de sécurité et de protection des données, non sur la géopolitique. Leur portée immédiate est locale et opérationnelle. Elles rappellent cependant une évidence trop souvent oubliée : une politique de souveraineté reste abstraite si les systèmes qui rendent possible un service public ne sont pas correctement administrés. Un pacte de confiance entre l’administration et les citoyens se vérifie, en dernier ressort, dans la manière dont leurs données sont protégées.
Analyses d’impact manquantes : l’angle mort des traitements à risque
Les contrôles ont également relevé l’absence d’analyse d’impact relative à la protection des données (AIPD) avant la mise en œuvre de certains traitements susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes. L’article 35 du RGPD prévoit cette démarche, et l’article 90 de la loi Informatique et Libertés figure parmi les fondements mobilisés. L’AIPD vise à identifier les risques en amont et à définir les mesures qui permettront de les réduire.
Parmi les cas relevés figurent les téléservices permettant aux parents de gérer les activités scolaires et extrascolaires de leurs enfants. Ces dispositifs réunissent des données concernant des personnes vulnérables, les enfants, et des coordonnées bancaires. Cette combinaison justifie une attention particulière avant le lancement du service. Une analyse conduite suffisamment tôt aide à déterminer quels accès limiter, quelles données protéger et quelles précautions prévoir dans le fonctionnement même du téléservice.
Les dispositifs de vidéoprotection installés sur la voie publique sont également concernés : ils constituent une surveillance systématique à grande échelle d’une zone accessible au public, situation qui appelle une évaluation approfondie des risques. L’AIPD n’est pas un document à produire pour le dossier : elle doit éclairer les choix de conception et le niveau de protection du traitement. Son absence prive la collectivité d’une étape structurée pour anticiper les effets possibles sur les personnes concernées.
L’homologation de sécurité, étape trop souvent oubliée avant l’ouverture au public
Plusieurs décisions constatent aussi l’absence d’homologation de sécurité, avant leur mise en service, de systèmes d’information utilisés notamment pour échanger en ligne avec les administrés. Le référentiel général de sécurité (RGS) impose cette démarche aux systèmes concernés. L’homologation permet à l’autorité administrative de s’assurer que les risques ont été pris en compte et que le système respecte les exigences applicables avant d’être ouvert aux usagers.
Cette étape compte d’autant plus pour les téléservices, qui concentrent des démarches administratives et des informations personnelles. Elle doit s’articuler avec les autres exigences : une homologation ne remplace ni les mesures de sécurité prévues par le RGPD, ni une AIPD lorsqu’elle est requise. Ensemble, ces démarches offrent à la collectivité plusieurs occasions complémentaires de vérifier la solidité d’un service, de sa conception initiale à son exploitation quotidienne.
Des amendes de 3 000 à 20 000 euros, mais un signal bien plus large
Les dix sanctions financières s’échelonnent de 3 000 à 20 000 euros, ce dernier montant correspondant au maximum légal dans cette procédure simplifiée. La CNIL précise que les montants tiennent compte de plusieurs facteurs : le nombre et la gravité des manquements, la nature des données traitées, notamment celles de mineurs ou les coordonnées bancaires, le nombre de personnes concernées et le budget de chaque collectivité. Les mesures prises pour se mettre en conformité sont aussi prises en considération.
Ces amendes ne résument pourtant pas la portée des contrôles. Certaines collectivités examinées ont subi une ou plusieurs violations de données, qui auraient pu être évitées si des mesures adéquates avaient été mises en place. Le lien entre prévention et conséquences concrètes apparaît ici très nettement : des accès mal maîtrisés ou une détection tardive compliquent la réaction à un incident et peuvent exposer des informations confidentielles.
La CNIL poursuit ses vérifications en 2026, année où la moitié de ses contrôles et actions répressives est consacrée à la sécurité des données. D’autres procédures sont en cours et peuvent déboucher, si des manquements sont constatés, sur des sanctions, des mises en demeure ou des rappels aux obligations. En parallèle, l’autorité maintient ses actions de sensibilisation et d’accompagnement des collectivités territoriales.
NIS2 en ligne de mire : faire de la sécurité un processus continu
Cette double approche, contrôle et accompagnement, s’inscrit aussi dans la préparation de la directive européenne NIS2, qui doit imposer de nouvelles exigences de sécurité informatique à plusieurs catégories d’acteurs, notamment aux collectivités territoriales. Les contrôles actuels mettent déjà en évidence des sujets qui nécessitent une organisation durable : gestion des comptes, surveillance des systèmes, traitement des vulnérabilités et anticipation des risques liés aux services numériques. Les collectivités qui auront réglé ces fondamentaux aborderont ces nouvelles obligations en position beaucoup plus solide.
Pour les équipes informatiques, ces décisions invitent à traiter la sécurité comme un processus continu plutôt que comme une vérification ponctuelle. Il faut pouvoir réévaluer régulièrement les droits d’accès, tenir compte des fins de support des logiciels, exploiter réellement les journaux et intégrer les exigences de protection dès la conception d’un service. Cette démarche implique aussi les responsables de traitement et les prestataires : la cybersécurité d’un service public dépend de la coordination entre choix techniques, procédures internes et maîtrise des interventions extérieures.
Aucune collectivité ne peut éliminer tout risque, mais toutes peuvent réduire l’exposition de leurs habitants en structurant leurs contrôles et en corrigeant les faiblesses avant qu’elles ne se transforment en incidents. Les décisions de la CNIL rappellent que la confiance dans les services publics numériques se gagne dans le détail : un compte administrateur mieux protégé, un accès prestataire borné dans le temps, une alerte réellement lue. À l’heure où les échanges administratifs se dématérialisent et où les obligations de sécurité se renforcent, ces gestes quotidiens sont la meilleure traduction de la souveraineté numérique au service des usagers.
