Por: Carlos A. FERREYROS SOTO
Doctor en Derecho
Universidad de Montpellier I Francia.
cferreyros@ferreyros-ferreyros.com
RESUMEN
Introducción. En noviembre de 2026, la CNIL sancionó a diez entidades territoriales francesas por vulneraciones del RGPD y de la Ley de Informática y Libertades en materia de seguridad de datos. El documento evidencia que la protección digital de los datos ciudadanos es una obligación jurídica exigible, no una mera recomendación técnica.
Contenido. Las infracciones se concentraron en el artículo 32 del RGPD: autenticación remota insuficiente, ausencia de multifactor para administradores, accesos permanentes de proveedores sin autorización individual, cuentas compartidas, registros incompletos o no supervisados, segmentación deficiente de redes, sistemas operativos obsoletos y contraseñas débiles o almacenadas sin confidencialidad. También se sancionó la falta de evaluación de impacto (AIPD) en tele servicios escolares con datos bancarios de menores y en videovigilancia pública. La CNIL impuso multas de 3.000 a 20.000 euros, considerando la gravedad, la sensibilidad de los datos, el presupuesto y las medidas correctivas adoptadas.
Conclusiones. La ciberseguridad constituye una obligación de cumplimiento normativo directamente vinculada a la protección de datos personales. Las entidades públicas deben asegurar sus sistemas antes de su puesta en servicio, conforme al RGS, y documentar riesgos antes de desplegar tratamientos de alto impacto.
Recomendaciones. Se recomienda implementar autenticación multifactor, control de accesos por proveedor, segmentación de red, actualización de sistemas, monitoreo de registros y realización previa de AIPD. Asimismo, conviene preparar la organización para la directiva NIS2, que reforzará las exigencias de seguridad informática.
A fin de acceder a normas similares y estándares europeos, las empresas, organizaciones públicas y privadas interesadas en asesorías, consultorías, capacitaciones, estudios, evaluaciones, auditorías sobre el tema, sírvanse comunicar al correo electrónico:cferreyros@ferreyros-ferreyros.com
________________________________________________________
Ciberseguridad de las autoridades territoriales: la CNIL impone diez sanciones.
9 de noviembre de 2026
En noviembre de 2026, la CNIL impuso diez sanciones simplificadas contra autoridades locales y una institución pública por infracciones relacionadas con la ciberseguridad.
El contexto
Las autoridades territoriales ( municipios, departamentos, regiones) procesan una gran cantidad de datos, algunos de los cuales son sensibles (gestión del estado civil de los usuarios, pago de prestaciones sociales, datos financieros o incluso datos relativos a menores).
Por ello, ante el creciente número de ciberataques, la CNIL decidió, en 2025, convertir la ciberseguridad de las administraciones locales en uno de sus temas de control anuales .
De este modo, se realizó un control a diversas autoridades locales, actores públicos y sus proveedores de servicios, con el fin de verificar que las medidas de seguridad, técnicas, organizativas y físicas implementadas para proteger los datos de los ciudadanos fueran suficientes.
Las comprobaciones revelaron varias infracciones del RGPD y de la Ley francesa de Protección de Datos, lo que dio lugar a diez sanciones económicas en virtud del procedimiento simplificado.
Las infracciones sancionadas
Violaciones de seguridad (Artículo 32 del RGPD)
Las deficiencias detectadas demuestran la diversidad de vulnerabilidades que pueden afectar la seguridad de un sistema de información.
Se observó en particular que:
- Las modalidades de autenticación que permitían a los agentes de las autoridades locales conectarse de forma remota (sobre todo cuando trabajaban a distancia) no eran lo suficientemente robustas, especialmente para aquellos con altos privilegios (falta de autenticación multifactor para los administradores);
- Algunos proveedores de servicios externos (por ejemplo, editores de software) podrían acceder a la red de las autoridades locales de forma permanente, sin necesidad de autorización específica para cada caso, o a través de cuentas compartidas entre varios empleados;
- Las medidas implementadas para detectar comportamientos anormales fueron ineficaces (registro incompleto o falta de uso en tiempo real o a corto plazo de los registros );
- La segmentación de la red era insuficiente, lo que podría extender el impacto de una brecha a múltiples segmentos de la red;
- Algunos sistemas operativos utilizados por los servidores estaban obsoletos: su proveedor ya no los mantenía actualizados y, por lo tanto, no se beneficiaban de correctivos de seguridad adecuados;
- Algunas de las contraseñas utilizadas no eran lo suficientemente seguras, se transmitían a los usuarios en texto claro o se almacenaban en condiciones que no garantizaban su confidencialidad.
Todas estas deficiencias expusieron los datos de los ciudadanos, en ocasiones sensibles, a riesgos de vulneración de la confidencialidad. Algunas de las autoridades territoriales auditadas incluso sufrieron una o más filtraciones de datos, que podrían haberse evitado si se hubieran tomado las medidas adecuadas.
Varias resoluciones también señalaron que los sistemas de información de las autoridades territoriales, utilizados en particular para la comunicación en línea con los ciudadanos, no habían sido certificados en materia de seguridad antes de su puesta en servicio, a pesar de que el Marco General de Seguridad (RGS) así lo exige. Esta certificación, que ahora es obligatoria , permite a las autoridades administrativas garantizar el cumplimiento de la normativa por parte de sus sistemas de información.
Incumplimiento de la obligación de realizar una evaluación de impacto (artículos 35 del RGPD y 90 de la Ley francesa de protección de datos).
Varias autoridades territoriales han sido sancionadas por no realizar una evaluación de impacto (AIPD) antes de la implementación de ciertas operaciones de procesamiento que presentan altos riesgos para los derechos y libertades de las personas.
Esto es particularmente cierto en este caso:
- servicios en línea que permiten a los padres gestionar las actividades escolares y extracurriculares de sus hijos, ya que estas conciernen tanto a personas vulnerables (niños) comodatos altamente personales (datos bancarios);
- sistemas de videovigilancia instalados en vías públicas, que constituyen una “vigilancia sistemática a gran escala de una zona accesible al público”.
Estos análisis habrían permitido a las comunidades evaluar los riesgos asociados con los tratamientos en cuestión y tomar las medidas de seguridad necesarias.
Las sanciones impuestas
Se han impuesto multas que oscilan entre los 3.000 y los 20.000 euros (máximo legal para este tipo de procedimiento). Estas cantidades tienen en cuenta, en particular, el número y la gravedad de las infracciones detectadas, las categorías de datos tratados (datos de menores, datos bancarios, etc.), el presupuesto de cada administración local y el número de personas afectadas. Asimismo, ellas tienen en cuenta las medidas adoptadas para garantizar el cumplimiento de la normativa.
La CNIL, que en 2026 dedicó la mitad de sus auditorías y acciones de control a la seguridad de los datos, continuará sus verificaciones para garantizar que los datos, a veces sensibles, de los ciudadanos sean tratados en condiciones de seguridad satisfactorias por las autoridades territoriales y sus proveedores de servicios. Actualmente se están llevando a cabo otros procedimientos que, en caso de incumplimiento, podrían dar lugar a sanciones, notificaciones formales o recordatorios a las obligaciones.
Paralelamente, la CNIL continúa sus actividades de sensibilización y apoyo a las autoridades territoriales en materia de ciberseguridad. Este doble enfoque de supervisión y apoyo también formará parte de la preparación para la implementación de la Directiva europea NIS2 (UE 2022/2555, centrada en la ciberseguridad global y la resiliencia de las redes y sistemas de información), actualmente en proceso de transposición, que impone nuevos requisitos de seguridad informática, especialmente a las autoridades locales.
Texto de referencia
Texto de referencia
- Artículo 32 del RGPD (seguridad)
- Artículo 35 del RGPD (Evaluación de Impacto en la Protección de Datos)
- Artículo 90 de la Ley francesa de protección de datos (AIPD)
Texto de referencia
