Accès informatiques mal sécurisés, logiciels obsolètes, portails scolaires et dispositifs de vidéoprotection déployés sans évaluation préalable des risques : les contrôles menés par la CNIL ont révélé de nombreuses défaillances dans le secteur public local. Le 9 novembre, l’autorité a annoncé dix sanctions financières, avec des amendes comprises entre 3 000 et 20 000 euros.
Un prestataire extérieur qui conserve un accès permanent au réseau informatique d’une collectivité, plusieurs agents qui partagent les mêmes identifiants ou encore des serveurs qui fonctionnent avec des logiciels privés de mises à jour de sécurité : autant de pratiques relevées par la Commission nationale de l’informatique et des libertés lors de ses contrôles engagés en 2025.
L’autorité, qui avait fait de la cybersécurité des collectivités l’une de ses priorités, a également constaté des mots de passe insuffisamment protégés, des connexions à distance mal sécurisées et des réseaux dont l’organisation ne permettait pas de contenir efficacement une intrusion. Plusieurs organismes avaient déjà subi des violations de données, dont certaines auraient pu être évitées selon la CNIL.
Les investigations ont aussi porté sur des services utilisés quotidiennement par les habitants. Des collectivités ont ainsi été sanctionnées pour avoir ouvert des portails scolaires et périscolaires sans procéder à l’analyse d’impact obligatoire, alors que ces plateformes traitent des informations concernant des enfants et parfois des données bancaires.
Des manquements ont également été constatés dans le déploiement de certains dispositifs de vidéoprotection sur la voie publique, pour lesquels une évaluation préalable des risques était requise. La CNIL relève par ailleurs l’absence d’homologation de sécurité de certains systèmes informatiques, pourtant exigée par le Référentiel général de sécurité avant leur mise en service.
Les organismes sanctionnés ne sont pas nommés dans le communiqué publié le 9 novembre, ce qui ne permet pas de savoir si des collectivités finistériennes figurent parmi eux. Pour fixer les amendes, la CNIL a notamment pris en compte la gravité des manquements, la nature des données concernées, le nombre de personnes exposées et les moyens financiers des structures.
Dans le Finistère, les communes peuvent s’appuyer sur le Centre de gestion, qui propose notamment un service mutualisé de délégué à la protection des données et un accompagnement en cybersécurité.
Ces sanctions interviennent alors que l’Assemblée nationale vient d’examiner le projet de loi transposant la directive européenne NIS 2, qui prévoit de nouvelles obligations de cybersécurité pour certaines collectivités et intercommunalités. Les débats des 9 et 10 novembre ont notamment porté sur les moyens financiers et les délais dont elles disposeront pour s’y conformer. Le vote solennel est attendu le 17 novembre. Les dix sanctions annoncées par la CNIL concernent, elles, des obligations déjà en vigueur.