RGPD collectivités territoriales : obligations
Mis à jour le 2 octobre 2026
Réponse rapide Une collectivité territoriale est une autorité publique : elle désigne un délégué à la protection des données (article 37.1.a), tient le registre de ses activités de traitement (article 30), conduit une analyse d'impact lorsque l'article 35 l'exige, sécurise ses systèmes (article 32) et notifie toute violation à la CNIL dans un délai de 72 heures (article 33). |
Le règlement (UE) 2016/679 ne pose aucun seuil : commune, EPCI, CCAS et syndicat mixte relèvent du même socle, complété par la loi n° 78-17 du 6 janvier 1978 modifiée. Le socle documentaire commun à toute structure est posé dans les deux documents de base en protection des données et cybersécurité. Depuis 2020, SILEXO a accompagné plus de 150 organismes jusqu'à la conformité (cumul arrêté à septembre 2026).
Quelles obligations le RGPD impose-t-il à une collectivité territoriale ?
Toute collectivité désigne un délégué à la protection des données au titre de l'article 37.1.a, tient son registre (article 30), conduit une analyse d'impact quand l'article 35 l'exige, sécurise ses traitements (article 32), notifie les violations (article 33) et encadre ses sous-traitants par écrit (article 28). La conformité reste celle de l'exécutif (article 24).
L'article 37.1 a) vise le traitement « effectué par une autorité publique ou un organisme public, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle ». Les autres cas relèvent de notre analyse de l'obligation de désigner un délégué.
| Obligation | Article | Pièce qui la prouve |
|---|---|---|
| Désigner le délégué, publier ses coordonnées | 37.1.a, 37.7 | Acte de désignation, accusé du téléservice CNIL |
| Tenir le registre des activités | 30 | Registre daté, service par service |
| Analyser les traitements à risque élevé | 35, 36 | Rapport d'AIPD, avis du délégué |
| Sécuriser les systèmes | 32 | Habilitations, tests de restauration |
| Encadrer les sous-traitants | 28.3 | Contrat ou annexe signée |
| Notifier et documenter les violations | 33, 34 | Registre des violations, notifications |
| Informer les personnes | 12 à 14 | Mentions, registre des demandes |
Le registre des activités de traitement d'une commune, pièce centrale de l'article 30
L'article 30.1 exige pour chaque activité les finalités, les catégories de personnes et de données, les destinataires, les durées de conservation et les mesures de sécurité ; la dérogation de l'article 30.5 tombe dès que le traitement n'est pas occasionnel ou porte sur des données des articles 9 ou 10. Ces traitements reposent sur l'article 6.1 c) et l'article 6.1 e), comme les bases légales des traitements de ressources humaines. Les modèles de registre de la CNIL donnent le format, pas le contenu ; le détail des traitements standards d'une commune est détaillé dans notre liste des traitements standards des collectivités territoriales.
Analyse d'impact relative à la protection des données : les cas visés par l'article 35
AIPD : étude préalable exigée par l'article 35.1 lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés ; elle décrit le traitement, apprécie les risques et fixe les mesures pour y remédier (article 35.7). |
L'article 35.3 rend l'analyse obligatoire dans trois cas : l'évaluation systématique et approfondie d'aspects personnels fondée sur un traitement automatisé, y compris le profilage ; le traitement à grande échelle de données des articles 9 ou 10 ; la surveillance systématique à grande échelle d'une zone accessible au public.
Chaque projet se confronte à la liste des traitements pour lesquels une analyse d'impact est requise et à celle des traitements exemptés. Si le risque résiduel reste élevé, l'article 36 impose la consultation préalable de la CNIL ; l'avis du délégué est consigné (article 35.2). Une étude menée avec un laboratoire relève en outre des règles propres à la recherche scientifique.
Comment conduire la mise en conformité RGPD d'une mairie ou d'un EPCI, étape par étape ?
La mise en conformité commence toujours par l'audit : atelier de démarrage, inventaire des traitements service par service, construction du registre (article 30), identification des besoins d'analyse d'impact (article 35), audits dédiés, puis rapport global et plan d'action priorisé ; la mise en œuvre suit, jamais l'inverse.
- Échange de qualification : périmètre et satellites (CCAS, régies, syndicats).
- Atelier de démarrage : environ une heure trente avec les responsables de service.
- Ateliers d'inventaire : une à deux heures par chef de service.
- Registre : puis analyse des traitements soumis à l'article 35.
- Audits dédiés : site web, applications, sécurité, chacun avec son rapport.
- Rapport global : niveau de conformité et plan d'action priorisé.
- Mise en œuvre : procédures, notice d'information, politiques internes.
Ce qui fait varier la charge n'est pas l'effectif, c'est le nombre de services à rencontrer : 80 agents répartis en douze services mobilisent plus de temps que 200 salariés en trois directions. La séquence complète figure sur notre page d'accompagnement de mise en conformité RGPD ; la mutualisation ouverte par l'article 37.3 est traitée sur notre offre de délégué externe pour les collectivités.
Faire auditer les traitements de votre collectivité
Quelle documentation présenter en cas de contrôle de la CNIL, et que se joue-t-il dans les 72 heures d'une violation ?
Une collectivité contrôlée présente son registre des activités (article 30), les coordonnées du délégué communiquées à la CNIL (article 37.7), les analyses d'impact conduites (article 35), les contrats de sous-traitance (article 28.3), le registre des violations (article 33.5) et ses mentions d'information (articles 13 et 14).
Les livrables qui forment ce dossier :
- Registre des activités : daté, tenu service par service.
- Registres annexes : violations et demandes de droits.
- Rapport d'analyse : obligation de désigner un délégué.
- Rapports d'audit : RGPD général, site web, applications, sécurité.
- Plan d'action priorisé : et son avancement.
- Procédures : droits, violation, contrôle CNIL, sous-traitance, transferts.
- Notice RGPD et charte informatique : opposables aux agents.
- Rapport annuel du délégué : bâti sur les axes d'évaluation de la CNIL.
Le délai de 72 heures de l'article 33 court dès la prise de connaissance de la violation par la collectivité, pas depuis l'incident technique. Le délégué évalue la gravité et prépare les projets de notification à la CNIL et, si le risque est élevé (article 34), aux personnes concernées ; la décision et l'envoi appartiennent au responsable de traitement. Les violations non notifiées se documentent aussi (article 33.5), et les sanctions prononcées par la CNIL au titre de l'article 83 sont publiques.
Quelles exigences de sécurité et de sous-traitance imposer par écrit à l'éditeur d'un logiciel métier (articles 32 et 28) ?
L'article 32 impose des mesures adaptées au risque — pseudonymisation, chiffrement, confidentialité, intégrité, disponibilité, résilience, rétablissement de l'accès après incident, test régulier de leur efficacité — tandis que l'article 28.3 impose un acte écrit avec chaque éditeur qui héberge ou exploite les données de la collectivité.
Les guides d'hygiène informatique de l'ANSSI servent de référentiel technique : comptes nominatifs, habilitations par service, journalisation, sauvegardes réellement restaurées. Côté contrat, voici ce qu'une commune exige par écrit.
| Clause à exiger | Référence | Ce qu'elle doit dire |
|---|---|---|
| Objet et instructions | 28.3 a) | Finalités, durée, instruction documentée seulement |
| Confidentialité du personnel | 28.3 b) | Engagement des personnes autorisées |
| Sous-traitance ultérieure | 28.2 et 28.4 | Autorisation écrite, liste, localisation |
| Assistance aux droits | 28.3 e) | Délais et moyens d'aide sur les demandes |
| Alerte en cas de violation | 28.3 f) et 33.2 | Information sans délai, éléments d'analyse |
| Sort des données | 28.3 g) | Restitution ou suppression en fin de contrat |
| Audit et preuves | 28.3 h) | Informations fournies, audits acceptés |
Au 7 septembre 2026, sur nos mandats de délégué à engagement annuel, tous secteurs confondus, le volume médian s'établit à 7,5 jours par an (quartiles 4,75 et 12,5) ; à titre de repère, l'audit d'une application représente de 2 à 5 jours. Les fiches par traitement communal figurent dans l'espace « Collectivités territoriales » de la CNIL, les fonctions incompatibles avec celles de délégué dans les lignes directrices WP243 (2017, endossées en 2018).
Le logiciel RGPD du DPO
Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.
Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.
Les élus et le conseil municipal doivent-ils valider la désignation du délégué par délibération ?
La désignation relève de l'autorité investie du pouvoir de nomination : un arrêté du maire ou du président suffit juridiquement, le RGPD n'exige pas de délibération. Une délibération reste utile quand elle autorise la signature du contrat de service prévu à l'article 37.6 ou engage des crédits. Dans tous les cas, l'article 37.7 impose de publier les coordonnées du délégué et de les communiquer à la CNIL via le téléservice dédié : c'est cette formalité, et non l'acte interne, qui rend la désignation opposable.
Qu'est-ce qui fait varier le volume de jours d'une mission RGPD dans une collectivité ?
Quatre facteurs principaux : le nombre de services gérant des données en propre (état civil, scolaire, social, police municipale, RH, urbanisme), le nombre d'applications métiers et donc de contrats à examiner au titre de l'article 28, la présence de traitements sensibles ou de vidéoprotection qui déclenchent des analyses d'impact, et le point de départ documentaire. Un devis chiffre un volume de jours, pas un forfait par habitant. Les déplacements sur site portent sur les grands jalons et leur temps de trajet est imputé au crédit-jours.
Faut-il commencer par le registre ou par l'audit quand une mairie part de zéro ?
Par l'audit, dont le registre est un livrable et non le préalable. La séquence est fixe : atelier de démarrage, inventaire des traitements service par service, constitution du registre, identification des besoins d'analyse d'impact, audits dédiés, puis rapport et plan d'action priorisé. Commencer par remplir un registre sans inventaire produit un document incomplet qui masque les traitements non déclarés par les services. La mise en œuvre — procédures, notice d'information, politiques — vient ensuite, adossée au plan d'action.
Un agent désigné délégué peut-il rester responsable du service informatique ou de l'état civil ?
Non sans risque. L'article 38.6 interdit les missions générant un conflit d'intérêts : un agent qui décide des finalités ou des moyens d'un traitement ne peut pas contrôler ce même traitement. Responsable informatique, DRH, secrétaire général ou chef du service état civil sont des cumuls à écarter. L'article 37.5 exige en outre des qualités professionnelles et une connaissance spécialisée du droit, et l'article 38.2 des ressources réelles : une désignation de façade expose la collectivité au régime de sanction de l'article 83.
