CNIL verhängt zehn Bußgelder: Kommunen müssen bis zu 20.000 Euro zahlen
Veröffentlicht am: 09.11.2026 um 18:24 Uhr | Redaktion boerse-global.de
Die französische Datenschutzbehörde CNIL hat gegen mehrere französische Gebietskörperschaften und eine öffentliche Einrichtung insgesamt zehn vereinfachte Sanktionen verhängt. Die festgesetzten Bußgelder bewegen sich in einer Spanne von 3.000 Euro bis 20.000 Euro, was dem gesetzlichen Höchstbetrag im Rahmen des vereinfachten Verfahrens entspricht, wie aus Fachberichten hervorgeht.
Die Maßnahmen verdeutlichen die verschärfte Gangart der Aufsichtsbehörde gegenüber dem öffentlichen Sektor, insbesondere bei Versäumnissen in der Basissicherheit der Informationstechnik.
Kontrollkampagne deckt grundlegende Sicherheitslücken auf
Die nun verhängten Sanktionen sind das Ergebnis einer Kontrollkampagne aus dem Jahr 2025, die sich als Jahresschwerpunkt der Cybersicherheit lokaler Behörden widmete. Im Zuge der Überprüfungen stellte die CNIL zahlreiche Verstöße gegen Artikel 32 der Datenschutz-Grundverordnung (DSGVO) fest, der angemessene technische und organisatorische Maßnahmen zur Gewährleistung der Datensicherheit vorschreibt.
Zu den beanstandeten Mängeln zählte insbesondere das Fehlen einer Zwei-Faktor-Authentifizierung für aus der Ferne verbundene Administratoren. Zudem bemängelten die Prüfer schwache oder unverschlüsselt im Klartext übertragene Passwörter, den Einsatz veralteter und vom Hersteller nicht mehr unterstützter Server-Betriebssysteme sowie die Nutzung gemeinsam verwendeter Benutzerkonten.
Fehlende technische Schutzmaßnahmen wie eine Zwei-Faktor-Authentifizierung können für Verantwortliche schnell zu kostspieligen Sanktionen führen. Dieser kostenlose Leitfaden unterstützt Sie dabei, die notwendigen Schritte zur rechtssicheren Umsetzung der DSGVO-Vorgaben in Ihrem Betrieb zu gehen. In 5 Schritten zur DSGVO-Umsetzung inkl. Checkliste
Weitere Defizite betrafen unvollständige oder gänzlich unüberwachte Systemprotokolle, eine unzureichende Netzwerksegmentierung und lückenhafte Überwachungsprozesse.
Überdies fielen permanente Fremdzugriffe von Software-Anbietern auf, die ohne angemessene Beschränkungen eingerichtet worden waren. Bei einigen der kontrollierten Körperschaften kam es in der Folge bereits zu Datenverstößen, die nach Einschätzung der Aufsichtsbehörde teils vermeidbar gewesen wären.
Fehlende Folgenabschätzungen und administrative Versäumnisse
Neben den technischen Mängeln im IT-Betrieb rügte die CNIL auch fundamentale Unterlassungen im Risikomanagement gemäß Artikel 35 der DSGVO sowie Artikel 90 des französischen Datenschutzgesetzes. Konkret fehlte es in mehreren Fällen an den vorgeschriebenen Datenschutz-Folgenabschätzungen.
Eine fehlende Datenschutz-Folgenabschätzung (DSFA) gilt als fundamentaler Verstoß, der hohe Bußgelder nach sich ziehen kann. Mit einer praxiserprobten Muster-Vorlage und passenden Checklisten erstellen Sie die erforderliche Dokumentation effizient und rechtssicher. Kostenlose Muster-DSFA und E-Book herunterladen
Betroffen waren unter anderem digitale Eltern-Plattformen zur Organisation von Schul- und Freizeitaktivitäten, auf denen sensible Informationen wie Bankdaten und Angaben zu Minderjährigen verarbeitet werden, sowie Systeme zur Videoüberwachung des öffentlichen Raums.
Zusätzlich hatten einige der überprüften Behörden die verbindliche französische Sicherheitsakkreditierung nach dem Standard RGS (Référentiel Général de Sécurité) versäumt.
Bei der Festsetzung der Bußgelder berücksichtigte die Aufsichtsbehörde die Schwere der jeweiligen Verstöße, die Kategorien der betroffenen Daten, das finanzielle Budget der betroffenen Körperschaften, die Anzahl der betroffenen Personen sowie den bereits erbrachten Sanierungsaufwand.
Datensicherheit bleibt Schwerpunkt der Aufsicht
Für das Jahr 2026 setzt die CNIL ihren Fokus auf diesen Problembereich fort: Die Behörde widmet die Hälfte ihrer Kontrollressourcen, Inspektionen und Durchsetzungsmaßnahmen dem Bereich der Datensicherheit.
Weitere Verfahren gegen Stellen des öffentlichen Sektors sind bereits anhängig. Die Durchsetzungsmaßnahmen treffen die Verwaltung in einer Phase regulatorischer Umbrüche, da die nationale Umsetzung der europäischen NIS2-Richtlinie in Frankreich zurzeit noch aussteht.
