En ce mois de novembre, la Commission nationale de l’informatique et des libertés (CNIL) a prononcé dix sanctions simplifiées à l’encontre de collectivités territoriales et d’un établissement public. Il leur était reproché des manquements liés à la cybersécurité.
Des manquements plus ou moins graves
Les sanctions prononcées par le gendarme ne l’ont pas été à la suite de fuites de données, mais en raison de manquements au RGPD et à la loi Informatique et Libertés. En effet, la CNIL a décidé de faire de la cybersécurité des collectivités l’un de ses chevaux de bataille et a, à ce titre, procédé à des contrôles desdites collectivités ainsi que de leurs prestataires.
La CNIL a ainsi pu mettre le doigt sur divers manquements à la sécurité qui peuvent constituer autant de failles susceptibles d’affecter des systèmes d’information utilisés pour la gestion de l’état civil, le versement de prestations sociales, le traitement de données financières ou encore de données relatives à des mineurs.
Lors de ces contrôles, la Commission a notamment constaté que les modalités d’authentification permettant à des agents de se connecter à distance n’étaient pas assez robustes, en particulier pour les agents ayant accès à de nombreuses données ; il n’y avait par exemple pas d’authentification multifacteur.
Plusieurs prestataires externes avaient également accès au réseau des collectivités de manière permanente avec des comptes partagés entre plusieurs salariés. De plus, les mesures de détection des comportements anormaux (téléchargements massifs de données, par exemple) étaient inefficaces et il n’y avait pas de cloisonnement des réseaux, ce qui aurait pu élargir la portée des violations des données.
Mais d’autres manquements s’ajoutent à ceux-ci : l’absence de mises à jour des systèmes d’exploitation des serveurs ou leur obsolescence, ce qui empêche ces serveurs de disposer des derniers correctifs de sécurité, ainsi que des mots de passe peu robustes et transmis en clair aux usagers.
Tous ces manquements ont exposé les données des administrés et, d’après la CNIL, certaines collectivités contrôlées ont subi des violations de données rendues possibles par ces différents manquements.
Pas d’analyses d’impact
Plusieurs collectivités n’ont pas réalisé d’analyse d’impact avant de mettre en place certains traitements qui présentent des risques élevés pour les droits et libertés des personnes, comme les téléservices de gestion des activités scolaires et périscolaires ou encore des systèmes de vidéoprotection installés sur la voie publique.
Des sanctions allant jusqu’à 20 000 euros
La CNIL a infligé des amendes allant de 3 000 à 20 000 euros, ce qui est le maximum légal. Les montants tiennent compte du nombre de manquements relevés, de la gravité ainsi que des données traitées.
Mais il s’agit de collectivités locales ; ces amendes n’ont donc pas le même impact que pour une entreprise.
