Veille juridique #05 I RGPD & Cybersécurité
Les quatre juristes de l’ATD16 ont à cœur de sécuriser au maximum vos activités et vous proposent une veille juridique couvrant le deuxième trimestre de l’année 2026. Nous mettons notre expertise au service de tous les adhérents tous les adhérents à l’assistance juridique et RGPD (règlement général sur la protection des données), pour les soutenir dans tous les domaines de la vie locale : gestion domaniale, marchés publics, pouvoir de police, fonctionnement des assemblées locales, protection des données personnelles, etc. À ce titre, nous proposons des conseils personnalisés, la création de modèles d’actes (délibérations, arrêtés, DCE…), ainsi que la relecture de vos procédures.
2 I RGPD & CYBERSÉCURITÉ
Rapport annuel de la CNIL : une hausse record des violations de données en 2025
La CNIL a publié, le 18 mai 2026, son rapport annuel 2025. Elle y constate une hausse record des violations de données personnelles : 6 167 violations ont été recensées, soit une augmentation de 9,5 % par rapport à 2024. Le secteur public est le plus touché : les administrations publiques représentent 19 % des violations constatées.
La CNIL alerte aussi sur la faiblesse de certains dispositifs de sécurité : en 2024, 80 % des violations de grande ampleur ont été rendues possibles par l’usurpation d’un compte protégé uniquement par un mot de passe.
En 2026, la CNIL fera de la cybersécurité des collectivités territoriales l’une de ses priorités de contrôle.
Comme le souligne Marie-Laure Denis, présidente de la CNIL : « personne n’est épargné ; les violations sont de plus en plus massives ; elles impliquent souvent des prestataires ».
En 2026, la CNIL consacrera ainsi 50 % de ses contrôles et actions répressives aux manquements en matière de cybersécurité.
Cyberattaque : le rôle central du sous-traitant en cas de violation de données
Dans une fiche publiée le 27 mai 2026, la CNIL rappelle qu’une cyberattaque visant un sous-traitant peut entraîner des conséquences directes pour ses clients.
En cas d’incident, le sous-traitant doit rapidement organiser la crise, identifier les données concernées et informer les responsables de traitement concernés afin qu’ils puissent respecter leurs obligations RGPD notamment en termes de notification de leur violation à la CNIL.
La CNIL rappelle également que la violation doit être notifiée sous 72 heures lorsqu’elle présente un risque pour les droits des personnes concernées. En cas de risque élevé, les personnes doivent aussi être informées de manière claire.
Cette fiche souligne l’importance d’anticiper ces situations : répartition des rôles, procédure de crise, communication avec les clients, documentation de l’incident et préparation de modèles de notification.
https://www.cnil.fr/fr/cyberattaque-le-sous-traitant-au-centre-de-la-crise
La CNIL a prononcé 23 nouvelles sanctions depuis janvier
Dans un article publié le 6 juillet 2026, la CNIL indique avoir prononcé 23 nouvelles sanctions depuis janvier 2026 dans le cadre de sa procédure de sanction simplifiée, pour un montant cumulé de 133 750 euros. Parmi ces sanctions, 19 trouvent leur origine dans des plaintes déposées auprès de l’autorité.
Cette procédure, mise en place depuis 2022, permet à la CNIL de traiter plus rapidement les dossiers ne présentant pas de difficulté juridique particulière. Elle est toutefois encadrée : la sanction ne peut pas dépasser 20 000 euros et le nom de l’organisme sanctionné ne peut pas être rendu public.
Les manquements relevés concernent principalement trois sujets : la vidéosurveillance excessive des salariés, le non-respect des règles relatives aux cookies et le défaut de réponse aux demandes d’exercice de droits, parfois accompagné d’un défaut de coopération avec la CNIL. L’autorité rappelle notamment que les caméras ne peuvent pas filmer les salariés en permanence sans justification particulière, que le refus des cookies doit être aussi simple que leur acceptation, et que les organismes doivent répondre effectivement aux demandes d’accès ou d’effacement.
