Protection des données et cybersécurité : Protection des données personnelles : les collectivités territoriales dans le viseur de la CNIL pour l’année 2026

À l’occasion de la publication de son rapport annuel 2025, la CNIL rappelle les principaux enjeux en matière de protection des données personnelles et confirme le renforcement de ses contrôles en 2026. Cybersécurité, vidéoprotection, sécurité des données… découvrez les principaux points de vigilance pour les collectivités territoriales.

Publié le – Mis à jour le

Rappel des contrôles et mises en demeure avant 2026 : désignation d’un DPD (délégué à la protection des données), sécurité des données, dispositifs de vidéoprotection etc.

La CNIL est amenée à réaliser des contrôles fréquents auprès des collectivités : en 2022, elle a ainsi mis en demeure 22 collectivités dans la désignation d’un délégué à la protection des données. Elle a aussi, en 2023, procédé au contrôle de huit collectivités, notamment sur l’usage d’intelligence artificielle intégré aux caméras de vidéoprotection. Elle a, à la suite desdits contrôles, adressée des mises en demeure à six collectivités après avoir constaté des manquements sur ces dispositifs.

Une vigilance maintenue sur la vidéoprotection

Dans les collectivités et notamment sur le Finistère, la vidéoprotection est déployée, parfois à grande échelle, et une vigilance particulière sur ces systèmes par le gendarme des données personnelles oblige les collectivités à se mettre en conformité.

La CNIL est attentive et peut effectuer un contrôle de proportionnalité entre le nombre de caméras installées dans une collectivité et la mesure de l’atteinte sur les droits des personnes. Cela concerne le cas où la commune installerait un grand nombre de caméras et dont la pertinence pourrait être contestée au regard de la superficie de la commune et du nombre d’habitants.

L’information des citoyens et la transparence sur les finalités de la mise en place de ces dispositifs et les droits des personnes est indispensable ; et c’est d’ailleurs l’un des manquements les plus fréquents constatés lors des contrôles CNIL réalisés en 2023 dans certaines collectivités.

A cet égard, la CNIL précise que « Compte tenu des risques pour les droits et libertés fondamentaux des personnes et la préservation de leur anonymat dans l’espace public, la CNIL restera vigilante quant à l’utilisation qui est faite par les pouvoirs publics ainsi que les collectivités des caméras « augmentées » ou tout autre logiciel d’analyse vidéo ».

Quelques chiffres clés pour l’année 2025
  • 6 167 violations de données notifiées à la CNIL
  • +9,5 par rapport à 2024
  • 50% concernent le piratage informatique
  • 17 missions de contrôle ont ainsi été réalisées auprès de quinze collectivités ou sous-traitants

Ces contrôles ont révélé certains manquements par la CNIL, tels que des « Manquements récurrents relatifs à la sécurité des données, dûs à des serveurs s’appuyant sur des systèmes d’exploitation obsolètes, absence d’homologation au RGS, utilisation de certificats de sécurité non qualifiés par l’ANSSI, utilisation de logiciels avec des difficultés de gestion des habilitations et des mots de passe » (interview réalisé par la Gazette des communes de Marie-Laure Denis, présidente de la CNIL). Ces manquements favorisent le risque de piratage et donc, de violation de données, pour la mairie comme pour les sous-traitants ; peu importe la taille de la collectivité.

La CNIL précise à cet égard que « Trois enseignements peuvent être tirés des notifications de violations de données faites à la CNIL en 2025 : personne n’est épargné ; les violations sont de plus en plus massives ; elles impliquent souvent des prestataires. » [Marie- Laure Denis, Présidente de la CNIL]

L’année 2026 : le renforcement des contrôles de collectivités concernant la cybersécurité

En 2026, la CNIL consacrera 50% de ses contrôles et actions répressives aux manquements en matière de cybersécurité. L’augmentation des violations de données, parfois due à une absence suffisante de sécurité des données imposée par la règlementation (Article 32, RGPD) et qui est mise en place reste préoccupante, selon l’autorité de contrôle.

La CNIL vérifiera ainsi le respect des exigences en matière de sécurité, notamment auprès des collectivités.

Sources