RGPD dans une mairie : les obligations propres à une collectivité

Un délégué à la protection des données obligatoire, sans exception de taille

L'article 37 du RGPD impose la désignation d'un délégué à la protection des données (DPO) à toute autorité ou organisme public — une obligation que notre guide sur le DPO externalisé présente comme conditionnelle pour une entreprise privée, mais qui devient systématique pour une collectivité territoriale, y compris la plus petite commune.

Le DPO peut être un agent interne formé, un élu, ou un prestataire mutualisé — la mutualisation via le Centre de gestion départemental de la fonction publique territoriale est une solution fréquente pour les petites communes qui n'ont pas la taille critique pour un DPO dédié.

Cette obligation est activement contrôlée

Ce n'est pas une règle théorique : la CNIL a mis en demeure 22 communes n'ayant pas désigné de DPO, et a sanctionné la commune de Kourou (5 000 € d'amende, assortie d'une astreinte de 150 € par jour de retard) après l'absence de réponse à cette mise en demeure. La procédure n'a été close qu'après la désignation effective d'un DPO par la commune.

Les collectivités, priorité de contrôle de la CNIL

La cybersécurité des collectivités territoriales fait partie des thématiques prioritaires de contrôle de la CNIL. La raison : une mairie traite des données particulièrement sensibles à l'échelle d'une commune — état civil, aide sociale, données financières, paiement en ligne — avec des moyens informatiques souvent plus limités qu'une administration nationale ou une grande entreprise.

État civil et démarches en ligne

Les formulaires de demande d'actes d'état civil ou de démarches administratives collectent des données particulièrement identifiantes. Le principe de minimisation s'applique comme ailleurs : ne demander que les informations strictement nécessaires au traitement de la demande, et respecter les durées de conservation propres aux archives publiques, qui obéissent à un cadre distinct des durées RGPD génériques.

Vidéoprotection des espaces publics

Une caméra filmant la voie publique relève d'un régime spécifique (autorisation préfectorale, en plus du RGPD), avec des règles précises : durée de conservation des images généralement limitée à un mois, information claire et visible du public par une signalétique conforme, et étude d'impact obligatoire pour les dispositifs les plus étendus. Lors de ses contrôles, la CNIL relève régulièrement les mêmes manquements sur ce type de dispositif : des durées de conservation dépassées, une signalétique d'information incomplète ou absente, et l'absence d'analyse d'impact pour des dispositifs à grande échelle.

Publication des délibérations et comptes rendus

La transparence de la vie municipale impose de publier délibérations et comptes rendus de conseil, qui mentionnent parfois des noms d'administrés (subventions nominatives, décisions individuelles). Le principe de minimisation s'applique aussi à cette publication en ligne : ne conserver que les données réellement nécessaires à l'information du public, et limiter dans le temps l'accessibilité des documents les plus anciens plutôt que de les archiver indéfiniment sur le site public.

Portail citoyen, newsletter et réseaux sociaux

Un site de mairie n'échappe à aucune des règles applicables à tout site web : cookies et consentement pour la mesure d'audience, inscription à la newsletter municipale avec désinscription simple, et vigilance sur les commentaires publics visibles sur la page Facebook ou Instagram de la collectivité, qui peuvent exposer des données de résidents sans modération suffisante.

RGPD et droit d'accès aux documents administratifs : deux régimes distincts

Une mairie doit composer avec deux régimes de demandes qui se recoupent sans se confondre : les droits d'accès et de rectification prévus par le RGPD, et le droit d'accès aux documents administratifs encadré par le code des relations entre le public et l'administration (l'ancien régime « CADA »). Un administré qui demande à consulter un document peut relever de l'un, de l'autre, ou des deux en même temps selon la nature de sa demande — un agent qui ne connaît que l'un des deux régimes risque d'orienter la réponse de façon incomplète ou de refuser à tort une demande légitime.

En pratique, le RGPD s'applique quand la demande porte sur des données personnelles concernant la personne elle-même (« quelles données détenez-vous sur moi ? »), tandis que le droit d'accès aux documents administratifs couvre une demande plus large de communication d'un document existant (un arrêté, un compte rendu, un marché public), y compris lorsqu'il contient des données sur d'autres personnes que le demandeur.

Le registre et la formation, souvent le point faible

Contrairement à une PME qui peut s'appuyer sur un DPO dédié à temps plein, une collectivité fonctionne le plus souvent avec un DPO mutualisé qui intervient ponctuellement, et des agents en première ligne (accueil, état civil, urbanisme) rarement formés aux réflexes RGPD de base. Le registre des traitements d'une petite commune peut se limiter aux traitements réellement en place — état civil, aide sociale, paie du personnel, site web — sans viser l'exhaustivité d'une grande administration, à condition d'être tenu à jour et connu des agents qui y contribuent au quotidien.

Les erreurs les plus fréquentes

• Aucun délégué à la protection des données désigné, ou une désignation jamais communiquée à la CNIL.
• Des images de vidéoprotection conservées au-delà de la durée annoncée, faute de purge automatique configurée.
• Une signalétique d'information sur la vidéoprotection absente ou obsolète (ancienne mention CNIL non mise à jour).
• Des formulaires de démarches administratives qui collectent plus de données que nécessaire au traitement de la demande.
• Une politique de confidentialité absente ou générique sur le site institutionnel, alors que des formulaires y collectent déjà des données.

Cas pratique : le site d'une petite commune

Le site d'une commune de 3 000 habitants propose un formulaire de demande d'acte de naissance, affiche un flux de sa page Facebook en page d'accueil, et la place principale est équipée de caméras de vidéoprotection installées cinq ans plus tôt. Une analyse révèle trois écarts distincts : aucun délégué à la protection des données n'a jamais été déclaré à la CNIL, le panneau d'information sur les caméras près de la mairie ne mentionne plus les bonnes coordonnées de contact depuis un changement de secrétariat, et le formulaire d'état civil ne précise ni la durée de conservation des données ni la marche à suivre pour exercer ses droits.

Aucun de ces trois points ne relève d'une négligence volontaire : ils se sont accumulés au fil des années, sans qu'un audit régulier ne vienne les objectiver — un scénario courant pour des collectivités aux ressources informatiques limitées.