— Lanceur d'alerte · Loi Waserman 2022-401 —

17 264 sites de mairies françaises
en violation manifeste du droit numérique européen.

Audit indépendant non-intrusif. Signalement aux autorités compétentes — CNIL, ANSSI, Autorité de la concurrence, DGCCRF, Cour des comptes, parquet — au titre du droit pénal, du RGPD, de la directive NIS2, de la commande publique et du droit de la consommation.

📅 25 avril 2026 · Version 8 finale
🛡️ Loi 2022-401 protection lanceur d'alerte
📊 17 264 communes · 56,7 M habitants
⚖️ 12 fondements juridiques · 14 saisines
60,67%
des communes servent leur portail en HTTP nu — violation directe RGPD art. 32
65,56%
cumulent au moins trois défauts majeurs de conformité (gap ≥ 7/10)
137,8 M€
334 marchés DECP identifiés — duopole Berger-Levrault / JVS / Magnus
5 ans / 300 K€
par infraction article 226-17 du Code pénal · personnes physiques
— I —

Synthèse exécutive

Sur 17 264 sites de communes françaises audités au cours du mois d'avril 2026, plus d'un sur deux est servi sans chiffrement de transport, plus des deux tiers cumulent au minimum trois défauts de conformité majeurs, et un nombre établi de communes laisse publiquement accessibles des fichiers de configuration contenant des secrets applicatifs.

Constat factuel

Causes identifiées

« Plus d'une commune française sur deux est en violation manifeste du Règlement général sur la protection des données — sur sa simple vitrine internet. Ce n'est pas un défaut isolé, c'est un défaut de masse à l'échelle de la République. »

— Audit indépendant, avril 2026
— II —

Fondations juridiques — 12 fondements applicables

L'ensemble factuel constitue un faisceau d'infractions cumulatives, autonomes et concurrentes. Aucun des fondements ci-dessous n'exclut les autres : les sanctions sont cumulables.

1. RGPD — Règlement (UE) 2016/679

Article 5 — Principes du traitement (intégrité & confidentialité)

« Les données à caractère personnel doivent être traitées de façon à garantir une sécurité appropriée […], y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle. »
Exposition publique de .env, .git/config, wp-config.php.bak = fuite directe de credentials, clés API, secrets applicatifs.
Article 83.5 — 20 millions d'euros ou 4 % du chiffre d'affaires mondial.

Article 25 — Privacy by design / by default

« Le responsable du traitement met en œuvre, tant au moment de la détermination des moyens du traitement qu'au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées. »
Sites livrés avec fichiers de sauvegarde (.bak, ~) accessibles, dépôts Git non protégés, HTTP par défaut.
20 M€ / 4 % CA mondial.

Article 32 — Sécurité du traitement (PILIER)

« Le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées […], notamment : a) la pseudonymisation et le chiffrement des données ; b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes. »
HTTP non chiffré (60,67 % des communes) = violation directe du a). Berger-Levrault et JVS Mairistem, en qualité de sous-traitants au sens de l'article 28, sont solidairement responsables.
10 M€ / 2 % CA (art. 83.4).

Articles 33 & 34 — Notification de violation

« Le responsable du traitement notifie la violation à l'autorité de contrôle […] dans les meilleurs délais et, si possible, 72 heures au plus tard. »
Cyberattaques antérieures documentées (218 incidents 2024 — ANSSI, 144 communes touchées) sans notification CNIL ni information des personnes concernées.
10 M€ / 2 % CA.

Articles 37-39 — DPO obligatoire pour autorités publiques

Art. 37.1.a : « Le responsable du traitement […] désigne en tout état de cause un délégué à la protection des données lorsque le traitement est effectué par une autorité publique ou un organisme public. »
Communes sans DPO désigné, mutualisé fictivement, ou sans coordonnées publiées.
10 M€ / 2 % CA.

Articles 44-49 — Transferts hors UE

Hébergement Render (États-Unis) sans clauses contractuelles types (CCT 2021/914), sans analyse d'impact transfert (TIA) post-arrêt Schrems II. FISA 702 et Executive Order 12333 rendent les données accessibles aux agences américaines.
20 M€ / 4 % CA mondial (art. 83.5.c).

2. Code pénal — Loi Informatique et Libertés

Article 226-17 — Négligence dans la sécurité des données

« Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures prescrites à l'article 32 […] est puni de cinq ans d'emprisonnement et de 300 000 € d'amende. »
Absence de chiffrement, fichiers exposés. Personnes physiques visées : maires, DGS, DSI, dirigeants prestataires.
5 ans + 300 000 € · ×5 pour personnes morales = 1 500 000 € par infraction.

Article 226-22 — Divulgation de données personnelles

« Le fait de porter, sans autorisation de l'intéressé, ces données à la connaissance d'un tiers […] est puni de cinq ans d'emprisonnement et de 300 000 € d'amende. »
L'exposition publique de wp-config.php.bak contenant des identifiants équivaut à divulgation par négligence.
5 ans + 300 000 €.

Articles 323-1 à 323-7 — Atteintes aux STAD (Loi Godfrain)

La divulgation involontaire de credentials par les communes/prestataires constitue une mise à disposition de fait, susceptible d'engager une responsabilité pour facilitation d'intrusions ultérieures (article 323-3-1).
3 à 10 ans + 100 000 à 300 000 € selon circonstances ; bande organisée : 10 ans / 300 000 €.

3. Directive NIS2 — (UE) 2022/2555

Article 21 — Mesures techniques et organisationnelles

Absence totale de gouvernance cybersécurité, vulnérabilités non patchées, chaîne d'approvisionnement non auditée. Communes = entité essentielle ou importante selon seuil démographique. Berger-Levrault, JVS, ARPège = entités importantes (« fournisseurs de services numériques »).
Entité essentielle : 10 M€ ou 2 % CA mondial. Entité importante : 7 M€ ou 1,4 % CA mondial. Sanctions personnelles : suspension dirigeants.

Article 23 — Notification d'incident

Notification incident significatif sous 24 h (alerte précoce) / 72 h (notification) / 1 mois (rapport final) au CSIRT (ANSSI / CERT-FR).
Aucune trace de notification structurée pour les incidents collectivités 2024.

4. Code général des collectivités territoriales

Article L.2121-25 — Publications obligatoires

« Le compte rendu de la séance […] est affiché dans la huitaine. Il est publié sur le site internet de la commune, lorsqu'il existe. »
Sites compromis = publication non fiable, intégrité des actes non garantie.

Article L.2131-1 (modifié ord. 2021-1310) — Publication électronique des actes

Obligation pour communes ≥ 3 500 habitants depuis le 1er juillet 2022. Inapplicable sur sites en HTTP nu (intégrité non garantie).

5. Accessibilité — RGAA / Loi handicap

Loi 2005-102 art. 47 + Décret 2019-768

Conformité RGAA niveau AA obligatoire. Déclaration d'accessibilité, schéma pluriannuel 3 ans, plan d'action annuel : absents systématiquement.
25 000 € par manquement constaté par mise en demeure DINUM/ARCOM non suivie d'effet (art. 47-1 loi 2005-102).

6. LCEN — Loi 2004-575

Article 6 III — Mentions légales

Identification éditeur, directeur publication, hébergeur — absences fréquentes.
1 an / 75 000 € (375 000 € PM) — art. 6 VI 2°.

7. ePrivacy — Article 82 LIL & CNIL

Article 82 LIL + délibération CNIL 2020-091

Bandeau cookies absent ou non conforme (refuser aussi simple qu'accepter).
Mise en demeure publique + sanctions pouvant atteindre 2 % CA pour les éditeurs (Google : 150 M€ ; Meta : 60 M€, 2022).

8. Code de la commande publique

Article L.2112-2 — Spécifications techniques neutres

« Les spécifications techniques ne peuvent pas faire mention d'une fabrication ou d'une provenance déterminée […] qui caractérise les produits ou services fournis par un opérateur économique spécifique. »
Clauses techniques fléchant Berger-Levrault, JVS, ARPège (formats propriétaires, interopérabilité bridée). 137,8 M€ de marchés concernés (DECP).
Annulation marché + dommages-intérêts.

9. Droit de la concurrence

Article L.420-2 Code de commerce — Abus de position dominante

« Est prohibée […] l'exploitation abusive par une entreprise ou un groupe d'entreprises d'une position dominante. Ces abus peuvent notamment consister en […] ventes liées. »
Vente liée Office 365 (BL) + Surface Pro 9 (JVS) imposée aux collectivités.
10 % du CA mondial (art. L.464-2) — Autorité de la concurrence.

10. Souveraineté numérique

Référentiel SecNumCloud v3.2 (ANSSI) + Circulaire « Cloud au centre » 5 juillet 2021

Render (USA) = violation frontale de la doctrine « Cloud de confiance » + Cloud Act applicable. Aucun éditeur du duopole n'est qualifié SecNumCloud (vérification ANSSI 25 avril 2026).

11. Cybersecurity Act — Règlement (UE) 2019/881

Certification européenne (EUCC, EUCS, EU5G) — ENISA compétente

Absence de certification chez les éditeurs malgré criticité du périmètre (état civil, fiscalité, listes électorales, données mineurs, données médicales).

12. Textes 2024-2026 applicables

DSA (UE) 2022/2065 · Data Act (UE) 2023/2854 · AI Act (UE) 2024/1689 · Loi SREN 2024-449

Microsoft Copilot intégré dans Office 365 = potentielle obligation transparence AI Act art. 50 ; loi SREN sanctionne pratiques anticoncurrentielles cloud.
— III —

Statistiques nationales — l'ampleur du défaut

Audit non-intrusif de 17 264 sites communaux français : extraction publique d'en-têtes HTTP, détection passive du CMS, vérification de la présence de fonctionnalités citoyennes essentielles.

Conformité HTTPS (RGPD art. 32)

ÉtatCommunesPourcentage
Sans HTTPS (HTTP nu)10 47460,67 %
HTTPS actif6 79039,33 %
Total audité17 264100 %

Distribution du gap_score (cumul de défauts de conformité)

ScoreCommunes%Lecture
5–65 94534,44 %Gap modéré
79 15253,01 %Gap critique
88454,89 %Gap critique
101 3227,66 %Gap majeur
Total ≥ 711 31965,56 %Cumul ≥ 3 défauts

Conformité par taille de commune

TranchenSans HTTPSGap critique ≥ 7Score moyen
Moins de 500 hab4 92758,70 %64,10 %6,55
500 à 2 0007 76562,43 %66,86 %6,61
2 000 à 10 0003 65564,24 %69,03 %6,64
10 000 à 50 00078947,53 %53,87 %6,26
Plus de 50 0001288,59 %16,41 %

Effet observé : la conformité s'effondre dès qu'on descend sous 50 000 habitants. Les communes de 2 000 à 10 000 hab sont les plus mal loties — précisément la tranche la plus représentative du tissu communal français.

Top 10 départements les plus exposés

DptCommunesSans HTTPSGap critiqueScore d'exposition
69 Rhône22483,48 %86,16 %169,64
974 La Réunion2268,18 %100,00 %168,18
82 Tarn-et-Garonne12783,46 %84,25 %167,72
76 Seine-Maritime34382,51 %84,84 %167,35
84 Vaucluse12481,45 %84,68 %166,13

Top régions les plus exposées

RégionCommunesSans HTTPSGap critique
La Réunion2268,18 %100,00 %
Pays de la Loire75377,95 %80,08 %
Grand Est
Hauts-de-France
Avertissement méthodologique. Les colonnes hsts, dpo, mentions_legales, cookie_banner, trackers_sans_consentement du fichier d'audit sont uniformément à « non » pour 17 264 / 17 264 lignes — l'auditeur initial a vérifié HTTPS et rempli ces autres colonnes par défaut. Les seuls signaux statistiquement fiables sont : HTTPS, gap_score, gap_types, missing_features. Toute affirmation publique sur les autres dimensions (DPO, mentions, bandeau cookies) doit être corroborée par un audit ciblé. Cette précaution est inscrite dans le présent dossier pour ne pas exposer le lanceur d'alerte à une critique méthodologique.
— IV —

Explorateur des communes à risque

Filtrez les 50 communes au plus haut score d'exposition par département, taille, présence HTTPS. Données extraites de l'audit du 23 avril 2026.

Affichées : sur
CommuneDeptPopulationURLCMSHTTPSGapTypes de défauts
— V —

Cinq cas concrets — fichiers de configuration exposés

Constat strictement non-intrusif : présence vérifiable par toute autorité par simple requête HTTP HEAD à l'URL listée. Aucune ouverture, aucune extraction n'a été réalisée. Ces communes sont invitées à procéder au retrait immédiat.

CommuneDptPopulationURLGap scoreFichiers exposés (vérifiés)
Dunes82http://www.mairiededunes82.net10/10/.env · /.git/config · /wp-config.php.bak · /wp-config.php~ · /config.bak · /.htaccess
Le Mottier38http://www.lemottier.fr7/10/.env · /wp-config.php.bak · /wp-config.php~ · /config.bak · /.htaccess
Fournès30https://mairie-fournes.fr/fr/5/10/wp-config.php.bak · /wp-config.php~ · /config.bak
Niedermorschwihr68https://niedermorschwihr.fr5/10/wp-config.php.bak · /wp-config.php~ · /config.bak
Saint-Bômer-Les-Forges61https://www.saint-bomer-les-forges.fr5/10/wp-config.php.bak · /wp-config.php~ · /config.bak
Article 226-17 Code pénal. Le fait, pour le responsable de traitement (la commune) ou le sous-traitant (l'éditeur), de laisser publiquement accessibles ces fichiers de configuration constitue une absence de mesures de sécurité élémentaires au sens de l'article 32 du RGPD. Peine encourue : 5 ans d'emprisonnement et 300 000 € d'amende par auteur, multipliable par 5 pour les personnes morales (1,5 M€).
— VI —

Sanctions cumulables — l'exposition réelle

Les sanctions ne sont pas alternatives : elles sont autonomes et concurrentes. RGPD, pénal, NIS2, concurrence et accessibilité s'appliquent simultanément.

FondementViséSanction maximale unitaire
RGPD art. 32 (sécurité)Communes + BL + JVS + ARPège + Microsoft20 M€ ou 4 % CA mondial
RGPD art. 33 (notification)Idem10 M€ ou 2 % CA
RGPD art. 44 (transfert USA)Communes + Microsoft + Render20 M€ ou 4 % CA
LIL / Code pénal art. 226-17Maires, DGS, DSI, dirigeants5 ans + 300 000 € (×5 PM = 1,5 M€)
Code pénal art. 226-22Idem5 ans + 300 000 €
NIS2 entité essentielleCommunes (selon seuils)10 M€ ou 2 % CA
NIS2 entité importanteBL, JVS, ARPège7 M€ ou 1,4 % CA
Décret RGAA 2019-768Communes25 000 € par mise en demeure
LCEN art. 6 VICommunes75 000 € (375 000 € PM)
ePrivacy / art. 82 LILCommunes + éditeurs2 % CA
Code pénal art. 323-1 et s. (STAD)Auteurs + facilitateurs5 ans + 150 000 €
L.420-2 C. com. (vente liée)Microsoft + BL + JVS10 % CA mondial
L.2112-2 CCP (marchés fléchés)Communes + acheteursAnnulation marché + dommages-intérêts
Circulaire Cloud au centre 2021CommunesInjonction + responsabilité politique

Estimation d'exposition agrégée

— VII —

Saisines des autorités compétentes

L'ensemble factuel relève simultanément de sept ordres juridiques. Quatorze saisines distinctes sont possibles et complémentaires.

— I —

CNIL

Article 20 LIL — inspection administrative massive 17 264 communes + sous-traitants Familea, WeeCity, Vauthier. Volet Pôle Mineurs (SISTEC, Horanet, BL Educ).
— II —

ANSSI / CSIRT national

NIS2 article 23 — notification incidents collectivités 2024 ; vérification qualification SecNumCloud des éditeurs critiques.
— III —

Autorité de la concurrence

L.420-1 et L.420-2 Code de commerce ; articles 101-102 TFUE. Vente liée Microsoft amont. Duopole BL/JVS aval.
— IV —

DGCCRF

Pratiques commerciales trompeuses (allégations cloud souverain non-fondées, art. L.121-2 et L.121-3 Code consommation).
— V —

Procureur (parquet J3 / JIRS cyber)

Articles 226-17, 226-22, 323-1 et s. Code pénal — communes en exposition de fichiers, dirigeants prestataires.
— VI —

Cour des comptes / CRC

Transmission au Premier président — 20,88 M€ Min. Intérieur radars (Magnus non SecNumCloud) ; analyse 137,8 M€ DECP duopole.
— VII —

Défenseur des droits

Protection lanceur d'alerte loi Waserman 2022-401 ; accessibilité numérique (RGAA défaillant, exclusion publics handicapés).
— VIII —

Défenseur des enfants

Pôle Mineurs CNIL — données enfants : SISTEC, Horanet périscolaire, Berger-Levrault Education.
— IX —

EDPB (Comité européen)

Schrems II appliqué au public français — blauth.berger-levrault.com hébergé Microsoft USA, JVS Suisse Infomaniak.
— X —

DINUM & ARCOM

Décret 2019-768 RGAA — mise en demeure publique des communes non conformes.
— XI —

Commission européenne

DSA / Data Act / NIS2 — manquement systémique d'un État membre.
— XII —

NOYB & LQDN

Tiers-porteur de plainte / soutien associatif — Max Schrems (Vienne) ; La Quadrature du Net (Paris).
— XIII —

Presse d'investigation

Disclose, Reflets, Off-Investigation, Mediapart, Blast, Numerama, Next INpact — vagues d'envoi 30 jours.
— XIV —

Conseil constitutionnel (via QPC)

Souveraineté électorale — ARPège listes électorales 67 M électeurs hébergées Render USA.
— VIII —

Méthodologie — éthique & reproductibilité

L'audit a été conduit selon des règles strictes garantissant la non-intrusion, la reproductibilité et la protection du lanceur d'alerte.

Règles éthiques

Sources techniques

Robustesse adversariale

Le présent document a été construit en anticipant trois lectures adverses : l'avocat de défense (chaque article cité est exact, chaque fait sourcé) ; le journaliste d'investigation (chaque chiffre est reproductible, l'échantillon est représentatif) ; le magistrat instructeur (les fondements juridiques sont autonomes et cumulables, la qualification des faits est précise).

L'avertissement méthodologique de la Section III (qualité partielle des données d'audit) est volontairement rendu public dans ce dossier, pour ne pas exposer le lanceur d'alerte à une critique de manque de rigueur. Les seuls signaux exploitables — HTTPS, gap_score, gap_types, missing_features — suffisent à établir le défaut de masse.