Violation de données en mairie : les 72 heures qui engagent la responsabilité du Maire
Il est 8 h 30, un lundi matin, et la secrétaire de mairie allume son poste comme chaque jour. Mais au lieu du logiciel d'état civil, un message s'affiche en lettres rouges : les fichiers de la commune ont été chiffrés, et une rançon est exigée pour les restituer. Le scénario peut être moins spectaculaire, mais tout aussi sérieux : un agent du CCAS envoie par erreur la liste des bénéficiaires de l'aide alimentaire à l'ensemble des parents d'élèves, un ordinateur portable contenant les dossiers du personnel est volé dans le véhicule d'un élu, ou l'éditeur du portail famille annonce qu'un tiers a pu consulter les comptes des familles inscrites à la cantine. Dans chacun de ces cas, la commune vient de subir ce que le Règlement Général sur la Protection des Données (RGPD) appelle une « violation de données à caractère personnel ». Et à partir de l'instant où la mairie en a connaissance, une horloge juridique se met en marche. Le contexte rend la question brûlante : octobre est le mois européen de la cybersécurité, la CNIL a annoncé qu'elle consacrerait la moitié de ses contrôles de l'année 2026 à la sécurité des données, et le piratage du système d'information de la Direction générale des Finances publiques, rendu public en août dernier, a rappelé qu'aucune administration n'est à l'abri. Le Maire sait-il qui prévenir, et dans quel délai ? Sa secrétaire de mairie sait-elle quels gestes accomplir, et lesquels proscrire ? La commune dispose-t-elle seulement d'une procédure écrite ? Cet article propose une plongée rigoureuse dans la gestion d'une violation de données en collectivité, heure par heure, afin que l'incident ne se transforme pas en faute.
Qualifier l'incident : ce que recouvre réellement une violation de données
La première difficulté, pour un Maire, est de reconnaître qu'il est face à une violation. Beaucoup d'élus associent spontanément cette notion à une cyberattaque d'ampleur, menée par des pirates professionnels. Or l'article 4 du RGPD en retient une définition bien plus large : il s'agit de toute atteinte à la sécurité qui entraîne, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles, ou l'accès non autorisé à ces données. L'erreur humaine y a donc toute sa place, au même titre que l'acte malveillant.
Cette qualification n'est pas une coquetterie juridique. C'est elle qui déclenche l'ensemble des obligations décrites ci-après. Une secrétaire de mairie qui considère qu'un envoi erroné « n'est pas grave » et le passe sous silence prive la commune de toute possibilité de réagir dans les délais. C'est pourquoi la première règle à diffuser auprès des agents est simple : tout incident, même mineur en apparence, doit être signalé immédiatement au Maire et au Délégué à la Protection des Données (DPO), à qui il revient d'en apprécier la gravité.
Les collectivités en première ligne : un contexte qui ne laisse plus de place à l'improvisation
Les chiffres publiés par la CNIL dans son rapport annuel 2025, et relayés par les centres de gestion, dessinent un paysage préoccupant. Plus de six mille violations de données ont été notifiées à l'autorité au cours de l'année 2025, un volume en progression d'environ 9,5 % par rapport à l'année précédente, et la moitié d'entre elles trouvent leur origine dans un piratage informatique. Les collectivités ne sont pas épargnées : la CNIL a mené en 2025 dix-sept missions de contrôle auprès de quinze collectivités ou de leurs sous-traitants.
Les manquements relevés lors de ces contrôles sont d'une banalité déconcertante, et c'est précisément ce qui doit alerter les élus : systèmes d'exploitation obsolètes, absence d'homologation au titre du Référentiel général de sécurité, certificats de sécurité non qualifiés, gestion approximative des habilitations et des mots de passe. Autrement dit, ce ne sont pas les attaques sophistiquées qui mettent les mairies en difficulté, mais l'accumulation de négligences ordinaires. Pour 2026, l'autorité a annoncé qu'elle consacrerait la moitié de ses contrôles et de ses actions répressives à la cybersécurité, en ciblant notamment les collectivités.
Les premières heures : contenir, préserver, alerter
Lorsque l'incident est découvert, l'urgence est d'abord technique. Il s'agit de limiter la propagation du dommage : déconnecter du réseau le poste infecté sans l'éteindre, suspendre le compte de messagerie compromis, modifier les mots de passe exposés, demander au destinataire d'un envoi erroné de supprimer le message et de confirmer cette suppression par écrit. Il faut en revanche se garder d'effacer les traces : captures d'écran, journaux de connexion et chronologie des décisions serviront à la notification comme à une éventuelle plainte. Dans une petite commune, ces gestes reposent souvent sur la secrétaire de mairie et sur le prestataire informatique ; il est donc indispensable que leurs coordonnées d'urgence figurent sur une fiche réflexe affichée près des postes.
Enfin, l'alerte doit remonter sans délai. Le Maire, en sa qualité de responsable de traitement, doit être informé personnellement, de même que le DPO, dont l'article 39 du RGPD fait le conseiller naturel de la collectivité sur ces questions. En cas d'attaque informatique, la plateforme Cybermalveillance.gouv.fr oriente les collectivités vers des prestataires d'assistance, et les centres régionaux de réponse aux incidents peuvent être sollicités. L'erreur la plus coûteuse serait d'attendre le retour de l'agent compétent ou la réunion du conseil municipal : le délai légal court déjà.
La notification à la CNIL : le délai de 72 heures et son contenu
L'article 33 du RGPD impose au responsable de traitement de notifier la violation à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance. Ce délai se compte en heures calendaires, week-ends et jours fériés compris : un incident découvert un vendredi soir doit être notifié au plus tard le lundi soir. Seule exception, la notification n'est pas requise lorsque la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes, par exemple lorsqu'une clé USB perdue contenait des données correctement chiffrées.
La notification, effectuée au moyen du téléservice mis à disposition par la CNIL, doit décrire la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, ainsi que les mesures prises ou envisagées pour y remédier. Elle doit aussi indiquer les coordonnées du DPO. Pour une commune, cela signifie être capable de dire rapidement combien de familles sont inscrites au portail périscolaire, quelles données y figurent et si des informations relatives à la santé, comme les allergies alimentaires des enfants, sont en cause. Une commune qui tient à jour son registre des traitements dispose de ces réponses en quelques minutes ; les autres les cherchent pendant des jours.
Le RGPD tient compte de la réalité d'une crise : lorsque toutes les informations ne sont pas disponibles immédiatement, elles peuvent être communiquées de manière échelonnée. Il est donc préférable de déposer une notification initiale dans le délai, puis de la compléter, plutôt que d'attendre une vision exhaustive qui n'arrivera peut-être jamais. Toute notification tardive doit, en outre, être accompagnée des motifs du retard. Le Maire doit retenir qu'une notification n'est pas un aveu de culpabilité : c'est l'absence de notification qui constitue, en elle-même, un manquement. Et même lorsque la notification n'est pas requise, l'article 33, paragraphe 5, impose de consigner chaque incident, son analyse et les mesures prises dans un registre interne des violations, que la CNIL peut demander à consulter.
Informer les administrés : quand le risque devient élevé
L'article 34 du RGPD ajoute une seconde obligation, distincte de la première : lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, celles-ci doivent en être informées dans les meilleurs délais. Tel est le cas lorsque la fuite porte sur des coordonnées bancaires utilisées pour le prélèvement de la cantine, sur des pièces d'identité déposées pour une demande de passeport, ou sur des informations sociales détenues par le CCAS. Le message doit être rédigé en termes clairs et simples, décrire la nature de la violation, ses conséquences probables, les mesures prises et les coordonnées du DPO.
Le texte prévoit trois situations dans lesquelles cette information individuelle n'est pas exigée : lorsque les données étaient rendues incompréhensibles, notamment par chiffrement ; lorsque des mesures ultérieures ont fait disparaître le risque élevé ; ou lorsque l'information individuelle exigerait des efforts disproportionnés, auquel cas une communication publique, par exemple sur le site internet et le panneau d'affichage de la mairie, doit s'y substituer. La CNIL peut, de son côté, exiger que les personnes soient informées si elle estime le risque élevé.
Pour que cette information soit réellement utile, la commune peut s'appuyer sur la ressource publiée le 1er octobre 2026 par la CNIL et Cybermalveillance.gouv.fr à l'occasion du Cybermois, un dépliant destiné aux victimes d'une fuite de données. Il invite les personnes à changer leurs mots de passe, à activer la double authentification, à surveiller leurs comptes bancaires durant les semaines qui suivent et à redoubler de vigilance face aux tentatives d'hameçonnage. Joindre ce document au courrier adressé aux familles concernées, c'est transformer une obligation légale en véritable geste de protection envers les administrés.
Les prestataires dans la boucle : quand la violation survient chez le sous-traitant
Une part croissante des violations ne se produit pas dans les locaux de la mairie, mais chez ses prestataires : éditeur du logiciel de gestion financière, hébergeur du site internet, société qui gère le portail famille. L'article 33, paragraphe 2, du RGPD oblige le sous-traitant à notifier toute violation au responsable de traitement dans les meilleurs délais après en avoir pris connaissance. Mais c'est bien la commune, et non le prestataire, qui doit ensuite notifier la CNIL et, le cas échéant, informer les administrés.
Cette répartition fait peser sur la mairie un risque considérable : si l'éditeur tarde à l'informer, c'est le délai de 72 heures de la commune qui s'en trouve amputé. D'où l'importance des clauses contractuelles imposant au prestataire une alerte dans un délai court et précis, assortie de toutes les informations nécessaires à la notification. Les conventions types déjà utilisées dans certains partenariats publics fixent par exemple un délai d'alerte maximal de 48 heures, ce qui constitue un repère raisonnable.
Plainte, assurance et responsabilités : protéger la collectivité après l'incident
Lorsque la violation résulte d'un acte malveillant, le dépôt de plainte s'impose. Il n'est pas seulement un acte symbolique : depuis la loi d'orientation et de programmation du ministère de l'Intérieur du 24 janvier 2023, le Code des assurances subordonne l'indemnisation des pertes causées par une atteinte à un système informatique au dépôt d'une plainte dans les 72 heures suivant la connaissance de l'atteinte. Une commune assurée contre le risque cyber qui tarde à porter plainte peut donc perdre le bénéfice de sa garantie. Deux délais de 72 heures courent ainsi en parallèle, et le Maire doit les avoir tous deux à l'esprit.
Sur le plan des responsabilités, le guide publié conjointement par la CNIL et Cybermalveillance.gouv.fr sur les obligations des collectivités en matière de cybersécurité rappelle que celles-ci peuvent voir leur responsabilité administrative, civile et pénale engagée à la suite d'une attaque. Le Code pénal réprime en effet, à son article 226-17, le fait de procéder à un traitement sans mettre en œuvre les mesures de sécurité requises. Les administrés lésés peuvent, de leur côté, rechercher réparation de leur préjudice sur le fondement de l'article 82 du RGPD.
La valeur ajoutée d'Etatys : une procédure prête avant que la crise n'éclate
C'est pourquoi la méthode Etatys repose sur une conviction : tout doit être prêt avant la crise. Grâce à l'automatisation de la création de tous les dossiers clients lors d'une nouvelle mise en conformité, chaque commune que nous accompagnons dispose dès le départ de sa procédure de gestion des violations, de sa fiche réflexe destinée aux agents, de son registre interne des violations et d'un registre des traitements complet, qui permet de répondre en quelques minutes aux questions posées par le formulaire de la CNIL. Le jour de l'incident, nous prenons en charge l'analyse du risque, la rédaction de la notification et la préparation du message aux administrés, aux côtés du Maire.
Les exigences en matière de sécurité évoluent par ailleurs rapidement, au rythme des recommandations de la CNIL, des publications de l'ANSSI et des orientations européennes. Notre outil de veille juridique exclusif analyse en continu ces évolutions et met à jour la documentation de nos clients dès qu'une nouvelle exigence apparaît. Votre procédure de gestion des violations n'est ainsi jamais un document figé dans un classeur, mais un outil vivant, aligné sur l'état du droit au moment où vous en avez besoin.
Conclusion : faire de la crise un moment de maîtrise
La question n'est plus de savoir si une commune subira un jour une violation de données, mais quand, et surtout comment elle y réagira. Un courriel mal adressé, un ordinateur volé ou un rançongiciel ne sont pas en eux-mêmes des fautes ; ils le deviennent lorsque la collectivité tarde à les qualifier, omet de les notifier ou laisse ses administrés dans l'ignorance du risque qu'ils courent.
Le Maire dispose, avec les articles 33 et 34 du RGPD, d'un cadre clair : contenir l'incident, notifier la CNIL dans les 72 heures, informer les personnes lorsque le risque est élevé, et documenter chaque étape. Ce cadre ne demande pas des moyens considérables, mais une organisation pensée à l'avance, des agents formés et des contrats de sous-traitance qui ne laissent aucune zone d'ombre. En cette année où la CNIL fait de la cybersécurité sa priorité de contrôle, cette préparation est la meilleure démonstration de responsabilité qu'un élu puisse offrir.
Etatys est le cabinet de mise en conformité qui transforme l'obligation de sécurité en organisation concrète, adaptée aux moyens des communes et des intercommunalités. Notre solution de DPO externalisé, appuyée sur l'automatisation de vos dossiers de conformité et sur notre veille juridique permanente, vous garantit une procédure prête, des agents préparés et un interlocuteur disponible au moment où chaque heure compte. Contactez Etatys dès aujourd'hui pour mettre en place votre procédure de gestion des violations de données et aborder sereinement le prochain incident.
