RGPD et communes : Obligations et plan d'action pour les nouveaux responsables
Entré en application en mai 2018, le Règlement général sur la protection des données (RGPD) impose aux collectivités territoriales des obligations dont beaucoup restent encore partiellement appliquées. Pour un élu nouvellement en poste — ou pour un responsable qui reprend un mandat —, faire le point sur la conformité de sa commune n’est pas une option : c’est une responsabilité juridique et une exigence de confiance vis-à-vis des administrés.
Cet article présente les obligations concrètes qui s’imposent aux collectivités, les points de vigilance à auditer en priorité, et une feuille de route pragmatique pour structurer une démarche de conformité dans la durée.
Sommaire :
- 1. Pourquoi le RGPD concerne particulièrement les collectivités territoriales
- 2. Les notions fondamentales à maîtriser
- 3. Les obligations principales des collectivités territoriales
- 4. Ce qu'il faut auditer en priorité
- - Webinar : RGPD et collectivités territoriales
- 5. Une feuille de route en trois phases
- 6. Les risques en cas de manquement
Pourquoi le RGPD concerne particulièrement les collectivités territoriales
Les communes et intercommunalités traitent quotidiennement des volumes considérables de données personnelles : état civil, listes électorales, inscriptions scolaires, dossiers sociaux, gestion de la petite enfance, vidéosurveillance de l’espace public, etc. Certaines de ces données touchent à des situations sensibles — conditions de santé, difficultés économiques, minorité des personnes concernées — ce qui leur confère un niveau de protection renforcé.
Dans ce contexte, la Commission nationale de l’informatique et des libertés (CNIL) a inscrit la sécurité des collectivités territoriales parmi ses axes prioritaires de contrôle pour la période 2025-2028. Un sondage IFOP révélait déjà que 70 % des Français se déclaraient préoccupés par l’utilisation de leurs données par les organismes qui les traitent. La transparence n’est donc plus seulement une obligation réglementaire : elle est devenue un enjeu de légitimité démocratique.
Vidéosurveillance et IA : obligations et limites des communes
Les notions fondamentales à maîtriser
Qu'est-ce qu'une donnée personnelle ?
Une donnée personnelle est toute information permettant d’identifier directement ou indirectement une personne physique. La notion d’identification indirecte est centrale : même des données apparemment anonymes peuvent devenir identifiantes par combinaison. Une date de naissance croisée avec le nom d’une commune à faible population peut ainsi suffire à désigner une personne précise — et donc constituer une donnée personnelle soumise au RGPD.
La notion de traitement dépasse le seul périmètre numérique
Toute opération portant sur des données personnelles constitue un traitement, qu’elle soit informatique ou non. Les archives papier, les fichiers de suivi des usagers, les registres manuscrits entrent dans le champ d’application du règlement. Cette précision est souvent méconnue des services administratifs.
Les trois acteurs du RGPD dans une collectivité
Le RGPD distingue trois rôles :
- Le responsable de traitement détermine les finalités et les moyens du traitement. Dans une commune, c’est en général la collectivité elle-même qui assume ce rôle pour ses traitements propres.
- Le sous-traitant agit pour le compte du responsable de traitement. Il s’agit des prestataires (hébergeurs, éditeurs de logiciels, gestionnaires d’archives) auxquels la collectivité confie certaines opérations sur les données.
- La coresponsabilité s’applique lorsque deux entités — par exemple un EPCI et une commune membre — déterminent conjointement les finalités et les moyens d’un traitement partagé.
À noter : le sous-traitant au sens du RGPD n’est pas le même que le sous-traitant au sens du droit des marchés publics. Le soumissionnaire d’un marché public est souvent lui-même sous-traitant RGPD ; son propre sous-traitant au sens contractuel devient alors un « sous-traitant ultérieur » selon le règlement. Cette distinction est importante pour bien cadrer les obligations contractuelles.
Les obligations principales des collectivités territoriales
1. Disposer d'une base légale pour chaque traitement
Tout traitement doit reposer sur l’une des bases légales prévues par le RGPD. Pour les collectivités, la base la plus fréquemment invoquée est l’exécution d’une mission de service public. Elle couvre un large périmètre, mais ne dispense pas pour autant de documenter précisément la finalité poursuivie.
2. Respecter le principe de finalité et de minimisation des données
Chaque traitement doit être rattaché à un objectif déterminé, explicite et légitime. Les données collectées ne doivent être ni plus nombreuses ni conservées plus longtemps que ce que la finalité exige. Cette règle invite à sortir de la logique du « au cas où » : collecter des données sans raison précise ou les conserver indéfiniment n’est pas conforme au RGPD.
La durée de conservation doit distinguer la phase active (utilisation courante des données) de la phase d’archivage. Cette dernière obéit par ailleurs à des règles spécifiques issues du code du patrimoine, qu’il convient d’articuler avec le règlement.
3. Tenir un registre des traitements
Le registre des activités de traitement est la pièce centrale de la conformité. Il recense l’ensemble des traitements mis en œuvre par la collectivité : finalités, catégories de données, destinataires, durées de conservation, mesures de sécurité. C’est sur ce document que la CNIL s’appuie en priorité lors d’un contrôle.
Au-delà de l’obligation réglementaire, le registre constitue un outil de pilotage interne : il permet au DPO de cartographier les risques, d’identifier les chantiers prioritaires et de planifier les mises à jour.
4. Désigner un délégué à la protection des données (DPO)
En tant qu’autorité publique, toute collectivité territoriale a l’obligation légale, en application de l’article 37 du RGPD, de désigner un DPO. Cette désignation doit être notifiée à la CNIL.
- Le maire ne peut pas assumer la fonction de DPO : l’incompatibilité est manifeste, le représentant légal du responsable de traitement ne pouvant pas contrôler sa propre conformité.
- Un agent de la commune peut en revanche exercer cette fonction, sous réserve de compétences requises et d’une réelle indépendance.
- Le recours à un DPO externalisé est pleinement possible. Un prestataire externe intervient alors sur la base d’un contrat, apportant une expertise dédiée sans mobiliser un poste interne.
La commune de Kourou a fait l’objet d’une décision de la CNIL pour absence de désignation de DPO, assortie d’une astreinte journalière. Ce précédent illustre concrètement les risques d’une carence sur ce point.
Le DPO, un atout stratégique et économique reconnu par la CNIL
5. Informer les administrés de manière transparente
Le RGPD impose une information claire, complète et compréhensible à destination des personnes dont les données sont traitées. Concrètement, cela suppose d’auditer l’ensemble des canaux de collecte — formulaires papier, formulaires en ligne, site web — pour vérifier que chaque point de contact comporte les mentions obligatoires : finalité, durée de conservation, droits des personnes, coordonnées du DPO.
Cette information doit également préciser à qui les données sont transmises, notamment lorsque des prestataires interviennent. Elle est aussi déclenchée en cas de violation de données présentant un risque élevé pour les personnes concernées.
6. Encadrer contractuellement les relations avec les sous-traitants
Dès lors qu’un prestataire traite des données personnelles pour le compte de la commune — hébergeur, éditeur logiciel, prestataire d’archivage —, un contrat ou une annexe spécifique doit formaliser les obligations respectives. Le RGPD impose que cet acte précise notamment les instructions données au sous-traitant, les mesures de sécurité attendues, les modalités de restitution ou destruction des données.
En l’absence de cet encadrement, la collectivité reste juridiquement responsable en cas d’incident, sans pouvoir se retourner efficacement contre le prestataire défaillant. L’audit des contrats existants est donc une priorité lors d’une prise de mandat.
7. Gérer les demandes d'exercice de droits
Les administrés disposent de droits sur leurs données : accès, rectification, effacement, opposition, portabilité. Ces demandes doivent être traitées dans des délais définis par le règlement (en principe un mois). Une procédure interne claire, un point de contact identifié et, si possible, un formulaire dédié sur le site de la commune sont les conditions d’une gestion fluide.
Les manquements dans la gestion des droits constituent l’une des sources les plus fréquentes de plaintes à la CNIL — et donc d’ouverture de contrôles.
8. Assurer la sécurité des données
La cybersécurité est un enjeu transversal que la CNIL a placé au cœur de ses priorités 2025-2028. Les communes traitent des données sensibles sur des populations vulnérables (personnes âgées, enfants, demandeurs d’aide sociale) ; leur niveau de protection doit être à la hauteur des risques.
Concrètement, cela recouvre des mesures techniques — politique de mots de passe, sécurité physique des serveurs, tests d’intrusion — et des mesures organisationnelles, notamment la sensibilisation régulière des agents. Selon certaines estimations, environ 8 Français sur 10 auraient vu leurs données exposées sur le dark web à la suite des incidents successifs touchant des organismes publics et privés.
Ce qu'il faut auditer en priorité
Qu’il s’agisse d’une prise de mandat ou d’un bilan en cours de mandat, cinq chantiers méritent une attention immédiate.
L’état du registre des traitements. Existe-t-il ? Est-il à jour ? Couvre-t-il les traitements réellement mis en œuvre, y compris ceux conduits par les services les moins visibles ? Un registre obsolète ou lacunaire est souvent le premier signal d’une conformité dégradée.
La désignation du DPO. Si aucun DPO n’est désigné — ou si la désignation n’a pas été notifiée à la CNIL —, c’est le premier chantier à traiter.
Les contrats avec les prestataires. Y a-t-il une annexe RGPD dans chaque contrat impliquant un traitement de données ? Les prestataires présentent-ils des garanties satisfaisantes en matière de sécurité ?
L’information des personnes. Les formulaires de collecte, le site de la commune, les accueils physiques offrent-ils une information conforme sur les traitements ? Les mentions sont-elles à jour et compréhensibles ?
L’historique des incidents de sécurité. Y a-t-il eu des violations de données ? Ont-elles été notifiées à la CNIL dans le délai réglementaire de 72 heures ? Ont-elles donné lieu à des mesures correctives documentées ?
Une feuille de route en trois phases
Phase 1 — Les trois premières semaines : poser les bases
La première décision à prendre est la désignation d’un DPO, ou la vérification que la désignation existante est toujours valide et notifiée. Sans interlocuteur identifié sur ces sujets, il est difficile d’avancer de manière cohérente.
En parallèle, un inventaire des traitements permet de faire le point sur l’existant et d’identifier les données les plus sensibles — celles qui appellent des mesures de sécurité prioritaires.
Phase 2 — Les six premiers mois : les victoires rapides
Plusieurs chantiers peuvent être engagés rapidement pour améliorer le niveau de conformité visible. La mise à jour ou la reconstruction du registre des traitements donne une cartographie fiable sur laquelle appuyer les décisions suivantes. La sensibilisation des agents — même sous forme de premières actions pédagogiques — commence à installer une culture de la protection des données dans les équipes.
L’audit contractuel des relations avec les prestataires permet de colmater les brèches juridiques les plus exposées. Enfin, la mise à niveau des mentions d’information sur le site et les formulaires améliore immédiatement la conformité visible, y compris aux yeux de la CNIL.
Phase 3 — Le deuxième semestre : structurer la conformité dans la durée
Une fois les bases posées, il s’agit de construire une gouvernance durable. Cela passe par la finalisation du registre, la mise en place de revues annuelles, et la réalisation des analyses d’impact sur la protection des données (AIPD) pour les traitements à risque élevé.
La création de processus formalisés pour la gestion des demandes de droits — avec un formulaire dédié si possible — rend la collectivité plus réactive et plus visible dans sa démarche. Des audits de sécurité et des tests d’intrusion permettent d’anticiper les vulnérabilités du système d’information.
Au-delà de la première année, l’objectif est d’entrer dans une logique de conformité continue : revues régulières, veille sur les nouvelles lignes directrices de la CNIL, formation des agents renouvelée à chaque arrivée dans les équipes.
Les risques en cas de manquement
La CNIL dispose d’une procédure de sanction simplifiée qui lui permet d’intervenir plus rapidement, avec des amendes dont le montant reste plafonné mais qui peuvent s’accompagner d’avertissements rendus publics. Pour des élus locaux, le risque réputationnel n’est pas négligeable.
Les manquements les plus fréquemment sanctionnés concernent l’information des personnes, les durées de conservation, l’absence de registre des traitements, la sécurité insuffisante des données et l’absence de désignation d’un DPO. Le manque de coopération avec la CNIL lors d’un contrôle a également conduit à des sanctions.
Le cabinet HAAS Avocats est spécialisé depuis trente ans en droit des nouvelles technologies et de la propriété intellectuelle. Il accompagne les acteurs du numérique dans le cadre de leurs problématiques judiciaires et extrajudiciaires relatives au droit de la protection des données. Dans un monde incertain, choisissez de vous faire accompagner par un cabinet d’avocats fiables. Pour nous contacter, cliquez ici.