Sanction simplifiée CNIL : les failles de sécurité qui coûtent jusqu'à 20 000 €

Des failles de sécurité informatique et l'absence d'analyse d'impact : c'est ce qui a valu à dix collectivités et à un établissement public des amendes de 3 000 à 20 000 €, annoncées par la CNIL le 9 novembre 2026.

Ces décisions visent des acteurs publics, mais elles sont intéressantes pour tous les organismes. Elles montrent d'une part que la CNIL n'a pas attendu une fuite de données pour sanctionner, et d'autre part que la CNIL contrôle les prestataires en même temps que leurs clients.

Ce qu'il faut retenir des sanctions de la CNIL

La CNIL avait fait de la cybersécurité des collectivités territoriales l'une de ses thématiques de contrôle pour 2025. Elle a contrôlé des communes, des départements, des régions et un établissement public, mais aussi leurs prestataires, comme les éditeurs de logiciels.

Ces contrôles ont abouti à dix sanctions financières prononcées en procédure simplifiée, sur le fondement de l'article 32 du RGPD (sécurité) et de l'article 35 du RGPD et 90 de la loi Informatique et Libertés (analyse d'impact). Certaines des collectivités avaient déjà subi des violations de données que, selon la CNIL, des mesures adéquates auraient permis d'éviter.

Le message dépasse le secteur public : la CNIL indique consacrer en 2026 la moitié de ses contrôles et de ses actions répressives à la sécurité des données, et précise que d'autres procédures sont en cours.

La procédure simplifiée : rapide, écrite et sans publicité

La procédure simplifiée, prévue à l'article 22-1 de la loi Informatique et Libertés, est réservée aux affaires qui ne présentent pas de difficulté particulière : jurisprudence établie, précédents de la formation restreinte, questions de fait et de droit simples. Les manquements de sécurité « de base » s'y prêtent particulièrement.

Chiffre d'affaires annuel mondial de l'exercice précédentAmende maximaleAstreinte maximale50 M€ ou moins20 000 €100 € par jour de retardPlus de 50 M€100 000 €500 € par jour de retard

Ces plafonds sont prévus par la loi n° 2026-403 du 26 mai 2026, en vigueur depuis le 28 mai 2026.

Trois éléments la distinguent de la procédure ordinaire, au-delà de la nature des sanctions :

• un seul décideur : le président de la formation restreinte, ou un membre qu'il désigne, statue seul sur le rapport d'un agent de la CNIL ;
• une procédure écrite : l'organisme reçoit le rapport, peut se faire assister d'un avocat, présenter des observations écrites (la CNIL indique un délai d'un mois) et demander à être entendu ;
• pas de publicité nominative : la loi interdit de rendre publiques ces décisions, ce qui explique que la CNIL n'ait pas nommé les collectivités sanctionnées.

L'absence de publicité ne doit pas rassurer : l'amende s'accompagne souvent d'une injonction sous astreinte, et le président de la formation restreinte peut à tout moment renvoyer le dossier vers la procédure ordinaire, où les plafonds sont ceux du RGPD.

Les failles sanctionnées :

Il est intéressant de noter qu'aucune de ces failles ne relève de la sécurité de pointe.

Ce sont des mesures de base, documentées depuis longtemps par la CNIL et l'ANSSI, dont l'absence suffit à caractériser un manquement à l'article 32 du RGPD.

1. Un accès à distance sans authentification forte. Les agents se connectaient à distance, notamment en télétravail, sans authentification multifacteurs, y compris les administrateurs disposant de privilèges élevés.
2. Des prestataires connectés en permanence. Certains prestataires extérieurs, comme des éditeurs de logiciels, accédaient au réseau de façon permanente (au lieu d'une autorisation au cas par cas), parfois via des comptes partagés entre plusieurs salariés.
3. Une journalisation défaillante. Les journaux étaient incomplets ou n'étaient pas exploités en temps réel ou à court terme, ce qui empêchait de repérer les comportements anormaux.
4. Un réseau insuffisamment cloisonné. Une intrusion sur un segment pouvait s'étendre à l'ensemble du système d'information.
5. Des serveurs sous systèmes obsolètes. Certains systèmes d'exploitation n'étaient plus maintenus par leur éditeur et ne recevaient plus de correctifs de sécurité.
6. Des mots de passe mal gérés. Mots de passe trop faibles, transmis en clair aux usagers ou stockés sans garantie de confidentialité.

Un septième manquement est distinct de la sécurité au sens strict : l'absence d'analyse d'impact (AIPD) avant la mise en œuvre de traitements à risque élevé (articles 35 du RGPD et 90 de la loi Informatique et Libertés). La CNIL cite des téléservices de gestion des activités scolaires, qui combinent données d'enfants et coordonnées bancaires, et des dispositifs de vidéoprotection sur la voie publique.

Les montants retenus, de 3 000 à 20 000 €, tiennent compte notamment du nombre et de la gravité des manquements, des catégories de données en cause, du nombre de personnes concernées et des mesures de mise en conformité déjà prises.

Pourquoi les entreprises sont aussi visées

L'article 32 du RGPD s'applique de la même façon à une commune et à une PME. Les six failles relevées se retrouvent dans de nombreuses entreprises, et la procédure simplifiée permet à la CNIL de les sanctionner vite, sans dossier lourd.

Trois raisons de prendre ces décisions au sérieux côté privé :

• La CNIL n'attend pas l'incident. Les sanctions ne font pas suite à des fuites de données mais à des contrôles. L'existence d'une faille de sécurité, même sans exploitation, est donc suffisante pour sanctionner.
• Les prestataires sont contrôlés. La CNIL a contrôlé les éditeurs et prestataires en même temps que leurs clients. Un sous-traitant est lui-même tenu à l'obligation de sécurité de l'article 32, et la procédure simplifiée peut viser un responsable de traitement comme un sous-traitant. Pour les éditeurs SaaS et les ESN, la question n'est pas seulement contractuelle, elle est aussi réglementaire.
• La sécurité est la priorité de 2026. La CNIL indique y consacrer la moitié de ses contrôles et de ses actions répressives cette année, et rattache cette action à la préparation de NIS2, dont la loi de transposition est en cours d'adoption au Parlement.

En pratique : les points à vérifier dès maintenant

Ces vérifications doivent être réalisées par la DSI ou le prestataire informatique. Leur résultat doit être documenté : en cas de contrôle, il faut pouvoir apporter la preuve des mesures prises.

• L'authentification multifacteur est activée pour tout accès à distance, et d'abord pour les comptes administrateurs.
• Les accès des prestataires sont nominatifs, ouverts au cas par cas et tracés ; aucun compte partagé ni accès permanent.
• Les journaux couvrent les accès et opérations sensibles, et quelqu'un les exploite effectivement, avec des alertes.
• Le réseau est segmenté, de sorte qu'une compromission reste contenue.
• Aucun serveur ni poste ne tourne sous un système qui n'est plus maintenu par son éditeur.
• La politique de mots de passe est conforme aux recommandations de la CNIL.
• Une AIPD a été réalisée pour chaque traitement à risque élevé (données de mineurs, données bancaires, surveillance, données sensibles à grande échelle).

Côté contrats, la décision invite à relire les clauses de sécurité et d'accès des contrats de prestation et de sous-traitance : modalités de connexion du prestataire, journalisation, droit d'audit, notification des incidents.

En cas de contrôle, la CNIL vérifie la répartition des responsabilités dans ces contrats.

Questions fréquentes

Quel est le montant maximal d'une sanction simplifiée de la CNIL ?

20 000 € d'amende et 100 € d'astreinte par jour de retard pour un organisme dont le chiffre d'affaires annuel mondial ne dépasse pas 50 M€ ; 100 000 € et 500 € par jour au-delà.

La CNIL peut-elle sanctionner sans violation de données ?

Oui. Les dix sanctions du 9 novembre 2026 reposent sur des failles constatées lors de contrôles, indépendamment de toute fuite.

Un prestataire informatique peut-il être sanctionné ?

Oui. Le sous-traitant est tenu à l'obligation de sécurité de l'article 32 du RGPD, et la procédure simplifiée peut viser un sous-traitant comme un responsable de traitement.

Les sanctions simplifiées sont-elles publiées ?

Non : la loi interdit de rendre publiques les décisions prises selon cette procédure. La CNIL en rend compte sans nommer les organismes.

Peut-on contester une sanction simplifiée ?

Oui. L'organisme peut présenter des observations écrites, demander à être entendu, se faire assister d'un avocat, puis exercer un recours contre la décision devant le Conseil d'État, compétent en premier et dernier ressort (article R. 311-1, 4° du code de justice administrative).

Être accompagné

Joshua Société d'Avocats accompagne les entreprises et leurs prestataires dans l'audit de leurs mesures de sécurité au regard du RGPD, la réalisation de leurs analyses d'impact et la revue de leurs contrats informatiques et de sous-traitance. Le cabinet les assiste également lorsqu'elles font l'objet d'un contrôle ou d'une procédure de sanction de la CNIL.

Sources

• CNIL, Cybersécurité des collectivités territoriales : la CNIL prononce dix sanctions, 9 novembre 2026
• CNIL, La procédure de sanction simplifiée
• Article 22-1 de la loi n° 78-17 du 6 janvier 1978, version en vigueur depuis le 28 mai 2026, issue de l'article 60 de la loi n° 2026-403 du 26 mai 2026
• Article R. 311-1 du code de justice administrative
• Règlement (UE) 2016/679 (RGPD), articles 32 et 35
• CNIL, Sécurité : tracer les opérations
• CNIL, Recommandation relative à l'authentification multifacteur
• CNIL, Mots de passe