Régions, départements, communes, intercommunalités : les collectivités territoriales traitent chaque jour des données personnelles en volume, et sur des sujets sensibles. État civil, listes électorales, cantine scolaire, action sociale, vidéoprotection, dossiers des agents : une mairie de 3 000 habitants tient déjà plusieurs dizaines de traitements. Elles restent pleinement soumises au RGPD, avec trois particularités qui changent la façon de piloter la conformité : un DPO obligatoire quelle que soit la taille, des bases légales propres au service public et des contraintes d'archivage que le secteur privé ne connaît pas.
La CNIL a publié le 18 septembre 2019 un guide de sensibilisation au RGPD pour les collectivités territoriales, pensé pour les petites et moyennes communes. Ce guide-ci fait le point, article par article, sur ce qu'une collectivité doit documenter, sur la façon dont une petite commune peut s'organiser avec un DPO mutualisé, et sur ce que la CNIL sanctionne réellement.
RGPD et collectivités territoriales : ce qui change par rapport à une entreprise
Le RGPD s'applique de la même façon à un organisme public et à une entreprise : mêmes principes (article 5), mêmes droits des personnes, même obligation de sécurité (article 32). Trois règles, en revanche, visent spécifiquement les autorités et organismes publics, et une commune est concernée par les trois.
Un DPO obligatoire, quelle que soit la taille de la collectivité
L'article 37.1.a du RGPD impose la désignation d'un délégué à la protection des données dès que le traitement est effectué par une autorité publique ou un organisme public, à la seule exception des juridictions dans l'exercice de leur fonction juridictionnelle. Il n'y a ni seuil d'effectif ni seuil de population : une commune de 200 habitants est soumise à la même obligation qu'une métropole. Les EPCI, les syndicats mixtes, les CCAS et les établissements publics locaux le sont aussi, chacun en tant qu'organisme public distinct.
Des bases légales propres au service public
Parmi les six bases légales de l'article 6 du RGPD, deux couvrent l'essentiel de l'activité d'une collectivité : l'obligation légale (article 6.1.c), pour l'état civil ou la gestion des listes électorales, et l'exécution d'une mission d'intérêt public (article 6.1.e), pour la plupart des services rendus aux administrés. L'intérêt légitime, lui, est fermé : l'article 6.1 précise qu'il ne s'applique pas aux traitements effectués par les autorités publiques dans l'exécution de leurs missions.
Le consentement reste possible, mais il est l'exception : il suppose un choix réel, ce qui est rarement le cas face à une administration. On le réserve aux traitements facultatifs, comme une lettre d'information municipale ou la diffusion de photos d'un événement.
Un registre sans exemption
L'article 30.5 dispense de registre les organismes de moins de 250 personnes, sauf si le traitement n'est pas occasionnel, s'il comporte un risque ou s'il porte sur des données sensibles. Une collectivité gère l'état civil, la paie ou les inscriptions scolaires en continu : l'exemption ne s'applique en pratique jamais.
RGPD et collectivités territoriales : quels sont les documents à élaborer ?
Comme toute structure soumise au RGPD, une collectivité doit pouvoir démontrer sa conformité à tout moment : c'est le principe d'accountability. Trois documents en forment le socle.
Le registre des traitements
Le registre des traitements, prévu à l'article 30 du RGPD, recense l'ensemble des traitements de données personnelles de la collectivité et en donne une vue d'ensemble.
Il est à géométrie variable selon la taille et les compétences de la collectivité. Celui d'une petite commune compte quelques dizaines de traitements (état civil, liste électorale, cadastre, prêts de la bibliothèque, cantine, paie des agents). Celui d'un EPCI ou d'un département, qui exerce des compétences plus larges (action sociale, transports, collecte des déchets), en compte plusieurs centaines.
Pour chaque traitement, le registre doit indiquer :
- le responsable du traitement et, le cas échéant, les sous-traitants et co-responsables ;
- les finalités poursuivies ;
- les catégories de personnes concernées et de données traitées ;
- les destinataires des données, y compris hors de l'Union européenne ;
- les durées de conservation ;
- les mesures de sécurité techniques et organisationnelles.
Le registre n'est pas un document qu'on rédige une fois : il se met à jour à chaque nouveau service, chaque nouveau logiciel métier et chaque changement de prestataire. C'est aussi l'outil qui permet de se poser les bonnes questions : ces données sont-elles toutes nécessaires, leur durée de conservation est-elle justifiée, leur accès est-il limité aux agents qui en ont besoin ?
L'analyse d'impact (AIPD)
L'article 35 du RGPD rend l'analyse d'impact relative à la protection des données (AIPD, ou PIA) obligatoire pour les traitements susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes. La CNIL a publié la liste des types de traitements pour lesquels elle est requise (délibération n° 2018-327 du 11 octobre 2018).
Dans une collectivité, les candidats naturels sont la vidéoprotection, les traitements de l'action sociale portant sur des personnes vulnérables, les téléservices qui croisent plusieurs fichiers et les dispositifs de suivi des agents. La méthode tient en cinq étapes, détaillées dans notre guide pour réaliser son AIPD et dans notre livre blanc sur l'AIPD.
Les contrats avec les sous-traitants
Éditeurs de logiciels métier, hébergeurs, prestataires de la cantine ou du périscolaire : une collectivité confie une grande part de ses traitements à des tiers. L'article 28 du RGPD impose un contrat qui fixe l'objet, la durée, la nature et la finalité du traitement, les obligations de sécurité et le sort des données en fin de contrat.
La particularité du secteur public tient à la commande publique : ces clauses doivent figurer dès le dossier de consultation, et les garanties offertes par les candidats en matière de protection des données peuvent être intégrées aux critères d'attribution. Un marché signé sans clause RGPD oblige à renégocier un avenant en cours d'exécution, au moment où la collectivité a le moins de levier. Pour les prestataires déjà en place, un audit des sous-traitants permet de mesurer l'écart.
Mairies et petites communes : le DPO mutualisé
Désigner un DPO à temps plein n'est pas réaliste pour une commune de quelques centaines d'habitants. Le RGPD l'a prévu : l'article 37.3 permet de désigner un seul délégué pour plusieurs autorités ou organismes publics, compte tenu de leur structure organisationnelle et de leur taille.
L'obligation, elle, n'est pas théorique. Le 5 mai 2022, la CNIL a mis en demeure 22 communes de plus de 20 000 habitants qui n'avaient pas désigné de DPO, en leur laissant quatre mois pour le faire, et a rendu la liste publique (bilan publié par la CNIL). Elle rappelait à cette occasion qu'un DPO peut être mutualisé à l'échelle intercommunale ou départementale.
Qui peut porter un DPO mutualisé ?
Plusieurs structures proposent aujourd'hui un DPO partagé aux communes :
- les centres de gestion de la fonction publique territoriale, qui l'offrent à leurs collectivités affiliées ;
- les intercommunalités, pour leurs communes membres ;
- les syndicats mixtes et agences départementales spécialisés dans le numérique ;
- un prestataire externe, désigné par une convention ou un marché public.
Le choix entre ces options relève de la même logique qu'entre un DPO interne ou externe : proximité avec les services, disponibilité réelle et absence de conflit d'intérêts (article 38.6 du RGPD).
Ce que la mutualisation ne transfère pas
Mutualiser le délégué ne mutualise pas la responsabilité. Le maire, ou le président de l'EPCI, reste responsable du traitement, et le DPO n'est pas personnellement responsable de la conformité. Trois points restent à la charge de chaque collectivité :
- désigner formellement le DPO par un acte propre, publier ses coordonnées et les communiquer à la CNIL (article 37.7) ;
- lui donner accès aux informations et aux agents, et l'associer en amont des projets (article 38) ;
- tenir son propre registre : un DPO mutualisé peut fournir une trame commune, mais chaque commune reste propriétaire de ses traitements.
Les missions du délégué sont celles de l'article 39 : informer et conseiller la collectivité et ses agents, contrôler le respect du RGPD, conseiller sur les AIPD et coopérer avec la CNIL. Notre guide sur le rôle et les missions du DPO les détaille.
Les traitements types d'une collectivité
La plupart des communes partagent la même ossature de traitements. Les connaître permet de démarrer le registre sans partir d'une page blanche, et de repérer ceux qui demandent une attention particulière.
- État civil : actes de naissance, de mariage et de décès, tenus en vertu d'une obligation légale. Les droits de rectification et d'effacement y sont strictement encadrés.
- Listes électorales : gérées depuis le 1er janvier 2019 dans le répertoire électoral unique tenu par l'Insee. La commune reste responsable des inscriptions et radiations qu'elle y saisit.
- Restauration scolaire et périscolaire : inscriptions, facturation, et parfois données de santé (allergies, projet d'accueil individualisé), qui relèvent de l'article 9 du RGPD. Les écoles posent aussi des questions propres, traitées dans notre guide sur le RGPD dans l'Éducation nationale.
- Action sociale : dossiers du CCAS, aides facultatives, portage de repas. Les personnes concernées sont souvent vulnérables, ce qui en fait un candidat prioritaire à l'AIPD.
- Vidéoprotection : encadrée par les articles L. 251-1 et suivants du Code de la sécurité intérieure en plus du RGPD, avec une autorisation préfectorale préalable. Notre guide vidéosurveillance en 10 questions fait le tour du sujet.
- Ressources humaines : carrière, paie, absences et dossiers médicaux des agents.
- Urbanisme et fiscalité locale : demandes d'autorisation, cadastre, données foncières.
Durées de conservation et archives publiques
C'est la principale différence avec une entreprise. Les données d'une collectivité sont des archives publiques au sens du Code du patrimoine : à la fin de leur durée d'utilité administrative, elles ne sont pas simplement supprimées, elles sont triées, versées aux archives ou éliminées avec le visa du service d'archives compétent. Le registre doit donc indiquer, pour chaque traitement, la durée de conservation en base active, puis le sort final des données.
Site web de la collectivité : ce qui est obligatoire
Le site internet est souvent la première porte d'entrée des administrés, et le premier endroit où une non-conformité se voit. Quatre points sont à vérifier.
L'information des administrés
Au même titre qu'une entreprise, la collectivité doit informer les personnes des traitements qui les concernent (article 13 pour les données collectées directement, article 14 pour les autres). Les administrés doivent pouvoir savoir :
- quels traitements portent sur leurs données, et pour quelles finalités ;
- sur quelle base légale ils reposent ;
- à qui leurs données sont transmises, notamment lorsque la collectivité a confié une activité à un sous-traitant ;
- combien de temps elles sont conservées ;
- quels sont leurs droits et comment les exercer.
Concrètement, cela passe par une politique de protection des données accessible depuis toutes les pages, et par une mention d'information sur chaque formulaire et chaque téléservice (inscription à la cantine, prise de rendez-vous, signalement en ligne).
Les coordonnées du DPO
L'article 37.7 impose de publier les coordonnées du délégué. Une adresse fonctionnelle dédiée vaut mieux qu'un nom propre : elle survit au changement de prestataire ou au départ d'un agent.
Les traceurs
Les cookies et autres traceurs déposés par le site relèvent de l'article 82 de la loi Informatique et Libertés : ceux qui ne sont pas strictement nécessaires au service demandent le consentement préalable de l'internaute. Les outils de mesure d'audience peuvent en être exemptés s'ils respectent les conditions posées par la CNIL.
L'open data
Depuis le 7 octobre 2018, les collectivités de plus de 3 500 habitants qui emploient plus de 50 agents en équivalent temps plein doivent publier en ligne leurs principaux documents et bases de données. Le Code des relations entre le public et l'administration (article L. 312-1-2) impose d'occulter ou d'anonymiser au préalable les données personnelles qu'ils contiennent, sauf exceptions prévues par les textes. La CNIL détaille cette articulation dans sa fiche Les collectivités territoriales et l'open data.
Les droits des administrés et les violations de données
Des droits encadrés par les missions de service public
Les administrés disposent des mêmes droits que les clients d'une entreprise : accès, rectification, effacement, opposition. Leur exercice est toutefois encadré par la nature des missions publiques. L'article 17.3 du RGPD écarte le droit à l'effacement lorsque le traitement est nécessaire au respect d'une obligation légale ou à l'exécution d'une mission d'intérêt public, et le droit d'opposition ne s'applique pas lorsque le traitement repose sur une obligation légale.
Une commune ne peut donc pas supprimer un acte d'état civil sur simple demande. Elle doit en revanche répondre dans le délai d'un mois, motiver un éventuel refus et indiquer la possibilité de saisir la CNIL. Un point d'entrée unique pour les demandes (formulaire en ligne ou adresse dédiée) évite qu'une demande se perde entre deux services.
Les violations de données
Un rançongiciel qui chiffre les serveurs de la mairie, un fichier envoyé au mauvais destinataire, un ordinateur portable volé : ce sont des violations de données au sens du RGPD. L'article 33 impose de les notifier à la CNIL dans les 72 heures lorsqu'elles présentent un risque pour les personnes, et l'article 34 d'en informer les personnes concernées lorsque le risque est élevé. Toutes les violations, même non notifiées, doivent être consignées en interne. Notre guide sur les violations de données détaille la marche à suivre.
RGPD et collectivités territoriales : risques et sanctions encourus
L'enjeu tient d'abord à la confiance des citoyens dans les services publics locaux. Il est aussi financier : les collectivités territoriales peuvent être sanctionnées par la CNIL, y compris par des amendes administratives, dont le plafond est fixé par l'article 83 du RGPD à 20 millions d'euros.
Le cas de la commune de Kourou montre comment la CNIL procède. Faute de DPO et de réponse à ses courriers, la commune a été sanctionnée par une décision du 12 décembre 2023 : une amende de 5 000 euros, assortie d'une injonction de désigner un délégué sous astreinte. L'injonction n'ayant pas été exécutée, la formation restreinte a liquidé l'astreinte à 6 900 euros par la délibération SAN-2024-009 du 22 juillet 2024. Les manquements retenus sont les plus simples à éviter : l'absence de DPO (article 37) et le défaut de coopération avec la CNIL (article 31).
Ces montants restent modestes au regard du plafond. Pour les dossiers les plus simples, la CNIL dispose aussi d'une procédure de sanction simplifiée, où l'amende est limitée à 20 000 euros. Mais la décision peut être rendue publique, et cette publicité pèse souvent davantage pour un élu que le montant lui-même.
Outiller la conformité : registre et AIPD sans y passer l'année
Dans la plupart des collectivités, la conformité repose sur un DPO mutualisé ou sur un agent qui cumule cette mission avec d'autres. Le temps disponible est la vraie contrainte, et c'est là qu'un outil fait la différence :
- partir de modèles de traitements propres aux collectivités plutôt que d'une page blanche ;
- faire remplir les fiches de traitement par les services eux-mêmes (état civil, RH, scolaire), le DPO relisant et validant ;
- suivre les sous-traitants et leurs contrats au même endroit que le registre ;
- déclencher les AIPD à partir du registre, sur les traitements identifiés comme à risque ;
- pour un DPO mutualisé, gérer plusieurs communes depuis un même espace sans mélanger les registres.
C'est l'approche de Leto pour le secteur public : un registre tenu au quotidien, des AIPD menées dans le même outil et des preuves de conformité prêtes à présenter. Pour voir comment cela s'applique à votre collectivité, vous pouvez demander une démo.
Questions fréquemment posées
Les collectivités territoriales sont-elles soumises au RGPD ?
Oui, comme tout organisme public ou privé, les collectivités territoriales sont soumises au RGPD dès lors qu'elles traitent des données personnelles : agents, administrés, usagers des services publics, etc.
Les collectivités territoriales doivent-elles obligatoirement nommer un DPO ?
Oui. Contrairement aux entreprises privées, les collectivités territoriales sont tenues de désigner un délégué à la protection des données (DPO) quelle que soit leur taille, et de lui fournir les moyens nécessaires à l'exercice de ses missions.
Une petite commune peut-elle mutualiser son DPO ?
Oui. L'article 37.3 du RGPD permet à plusieurs autorités ou organismes publics de désigner un même délégué, compte tenu de leur structure et de leur taille. En pratique, les centres de gestion, les intercommunalités ou des syndicats spécialisés proposent un DPO mutualisé. Chaque commune doit toutefois le désigner par un acte propre et communiquer ses coordonnées à la CNIL.
Le DPO mutualisé est-il responsable de la conformité de la commune ?
Non. Le responsable du traitement reste la collectivité, représentée par le maire ou le président. Le DPO informe, conseille et contrôle, mais il n'est pas personnellement responsable en cas de manquement. La commune doit lui donner accès aux informations et l'associer en amont de ses projets.
Quelles sont les bases légales les plus utilisées par les collectivités territoriales ?
Les collectivités s'appuient principalement sur l'intérêt public et l'obligation légale. Dans la majorité des cas, elles n'ont pas besoin de recueillir le consentement des administrés, sauf pour certains traitements spécifiques.
Le registre des traitements est-il obligatoire pour une collectivité territoriale ?
Oui. Conformément à l'article 30 du RGPD, toute collectivité doit tenir un registre des traitements recensant les données traitées, leurs finalités, les acteurs impliqués (responsable de traitement, sous-traitants), les durées de conservation et les mesures de sécurité.
Quand une collectivité doit-elle réaliser une analyse d'impact (AIPD) ?
Une AIPD est obligatoire pour les traitements susceptibles d'engendrer des risques élevés pour les droits et libertés des personnes. Par exemple, la CNIL recommande d'en réaliser une lors de la mise en place d'un système de vidéosurveillance par une collectivité.
Les administrés peuvent-ils demander l'effacement de leurs données auprès d'une collectivité ?
Pas systématiquement. Les droits à l'effacement et à la rectification peuvent être limités lorsque la collectivité a l'obligation légale de conserver certaines données - comme les données d'état civil - en vertu de la loi.
Quelles sanctions encourt une collectivité territoriale qui ne respecte pas le RGPD ?
La CNIL peut prononcer des amendes administratives allant jusqu'à 20 millions d'euros, en plus d'avertissements et de mises en demeure, éventuellement rendus publics. Elle a déjà mis en demeure 22 communes n'ayant pas désigné de DPO, et sanctionné la commune de Kourou en 2023 pour le même manquement.
