Registre des traitements collectivités : liste type
Réponse rapide Le registre des traitements d'une collectivité recense, au titre de l'article 30 du RGPD, chaque activité menée par les services : état civil, listes électorales, scolaire et périscolaire, ressources humaines, marchés publics, vidéoprotection. La liste ci-dessous sert de base de travail pour créer les fiches, finalité, base légale et durée de conservation comprises. |
Mis à jour le 7 octobre 2026.
Une commune de 900 habitants et une communauté de communes de 40 000 tiennent le même document : un registre des activités de traitement, exigé par l'article 30 du RGPD et mis à la disposition de l'autorité de contrôle sur demande (article 30.4). La liste qui suit est organisée comme l'est une mairie, par service, et non comme un sommaire juridique. Les obligations générales qui pèsent sur une autorité publique sont traitées dans le panorama des obligations RGPD des collectivités territoriales ; ici, deux questions seulement : qu'inscrit-on, et qu'écrit-on dans chaque fiche.
La liste type des traitements d'une commune, service par service
L'article 30 du RGPD impose à toute collectivité de recenser ses traitements service par service, de l'état civil aux concessions funéraires.
L'ordre des familles ci-dessous suit celui du modèle de registre simplifié publié par la CNIL, complété des activités qu'un EPCI, un CCAS ou un service mutualisé porte en propre.
Services aux administrés : état civil, listes électorales et demandes des usagers
Les services à la population inscrivent au registre l'état civil, le répertoire électoral unique, les attestations d'accueil des étrangers et le suivi des demandes des usagers. Ces traitements reposent sur l'obligation légale (article 6.1.c) ou sur la mission d'intérêt public (article 6.1.e).
- État civil : naissances, mariages, décès, PACS, livrets de famille
- Répertoire électoral unique : inscriptions, procurations, listes d'émargement
- Attestations d'accueil des ressortissants étrangers
- Recensement citoyen et opérations de recensement de la population
- Demandes des usagers : guichet, courriers, réclamations, pétitions
- Alerte de la population : risques naturels, plan canicule, registre des personnes vulnérables
- Communication municipale : bulletin, site, réseaux sociaux, newsletter
Scolaire et périscolaire : inscriptions, cantine et accueil de loisirs
Le scolaire et le périscolaire concentrent les traitements portant sur des enfants. Les fiches sanitaires de liaison contiennent des données de santé relevant de l'article 9 du RGPD — allergies, projet d'accueil individualisé, traitements médicaux — et se signalent comme telles dans la fiche de registre.
- Inscriptions scolaires et fichier des écoles
- Restauration scolaire : réservations, quotients familiaux, facturation
- Accueil de loisirs et activités périscolaires
- Transport scolaire et pointage des présences
- Portail famille et paiement en ligne
- Petite enfance : crèche, halte-garderie, relais petite enfance
- Fiches sanitaires et projets d'accueil individualisé
Ressources humaines : paie, carrières et gestion du personnel communal
La gestion du personnel produit les fiches les plus denses du registre : paie, carrières, absences, formation, médecine préventive. La paie mobilise le numéro de sécurité sociale, dont l'usage est encadré par la loi n° 78-17 du 6 janvier 1978 modifiée.
- Paie et déclaration sociale nominative
- Dossiers de carrière : avancements, évaluations, discipline
- Recrutement : candidatures reçues, entretiens, candidatures spontanées
- Absences : congés, arrêts, accidents de service
- Badgeuse et contrôle des horaires
- Médecine préventive et suivi des agents
- Formation : plan de formation et compte personnel de formation
Systèmes d'information, site internet communal et SIG
Les systèmes d'information génèrent les traitements que personne ne déclare, faute de service qui les revendique : journalisation, annuaire interne, messagerie, sauvegardes, Wi-Fi public. Le guide d'hygiène informatique de l'ANSSI sert de référence pour décrire les mesures de sécurité.
- Site internet : formulaires de contact, traceurs, statistiques de fréquentation
- Téléservices et démarches en ligne
- Messagerie, téléphonie et annuaire interne
- Journalisation des accès et administration du système d'information
- Accès public à internet : Wi-Fi, postes de médiathèque
- Système d'information géographique et plans de réseaux
- Serveurs, sauvegardes et espaces de stockage partagés
Marchés publics, finances, régies et recouvrement
Les finances et la commande publique inscrivent au registre la comptabilité, le fichier des tiers, les régies, le recouvrement et les contentieux. Les candidatures dématérialisées contiennent des données de dirigeants et d'attestations : elles forment une fiche distincte de la comptabilité générale.
- Comptabilité générale : mandatement, fichier des tiers et des fournisseurs
- Marchés publics : candidatures, attributions, profil d'acheteur
- Régies de recettes et paiement en ligne
- Facturation des services : eau, cantine, locations de salles
- Recouvrement : impayés, titres exécutoires, échéanciers
- Subventions aux associations et instruction des dossiers
- Contentieux, sinistres et déclarations d'assurance
Cadre de vie : urbanisme, voirie, cimetières et concessions funéraires
L'urbanisme, la voirie et les cimetières produisent les traitements aux durées les plus longues du registre communal. Une concession funéraire se compte en décennies : la durée s'écrit dans la fiche avec le texte ou le référentiel qui la fonde, jamais au jugé.
- Autorisations d'urbanisme : permis, déclarations préalables, certificats
- Déclarations d'intention d'aliéner et droit de préemption
- Arrêtés de circulation et occupation du domaine public
- Cimetières : concessions, registre des inhumations, opérations funéraires
- Logement : demandes de logement social, logements vacants, chambres d'hôtes
- Hygiène et salubrité : plaintes, péril, animaux dangereux
- Police municipale : main courante, objets trouvés, vidéoprotection
Les fiches de police municipale touchent aux données d'infractions de l'article 10 du RGPD : elles appellent une base légale précise et des habilitations nominatives.
Ce qu'on écrit dans une fiche de registre : les mentions de l'article 30.1 traduites en langage de mairie
L'article 30.1 du RGPD fixe sept mentions, et une fiche de registre n'est complète que lorsque les sept sont renseignées.
| Mention exigée | Ce que la mairie y inscrit | Référence |
|---|---|---|
| Nom et coordonnées du responsable du traitement et du délégué | La commune, représentée par le maire ; les coordonnées du délégué, mutualisé ou non | art. 30.1.a |
| Finalités du traitement | « Gérer les inscriptions à la restauration scolaire », et non « cantine » | art. 30.1.b |
| Catégories de personnes concernées et de données | Administrés, agents, élus, enfants ; identité, état civil, NIR, santé | art. 30.1.c |
| Catégories de destinataires | Services instructeurs, trésorerie, préfecture, éditeur du logiciel métier | art. 30.1.d |
| Transferts vers un pays tiers | Pays de destination et garanties appropriées, le cas échéant | art. 30.1.e |
| Délais prévus pour l'effacement | La durée et le texte qui la fonde ; à défaut, la case reste en attente | art. 30.1.f |
| Description générale des mesures de sécurité | Habilitations, chiffrement, sauvegardes, journalisation | art. 30.1.g, renvoi à l'art. 32.1 |
La base légale ne figure pas à l'article 30.1, mais le modèle de registre et sa notice d'utilisation publiés par la CNIL en font une rubrique à part entière. Pour une commune, elle est presque toujours l'obligation légale (6.1.c) ou la mission d'intérêt public (6.1.e) : l'intérêt légitime est écarté pour les traitements accomplis par une autorité publique dans l'exercice de ses missions. Les coordonnées du délégué, que toute autorité publique désigne au titre de l'article 37.1.a, ouvrent le registre ; les situations qui rendent cette désignation obligatoire sont détaillées ailleurs.
Sur nos mandats, l'inventaire se conduit en ateliers d'une à deux heures par chef de service, regroupés sur une même journée quand c'est possible : ce n'est pas le nombre d'agents qui fait le volume de travail, c'est le nombre de services à rencontrer. Notre règle sur les durées : aucune durée qui n'a pas été retrouvée dans un texte, un référentiel ou une délibération n'est inscrite — la case reste en attente plutôt qu'estimée. Un registre hérité se vérifie fiche par fiche, et ce qui manque se signale par écrit. À côté du registre se tiennent, dans la même mission, les registres des violations et des demandes d'exercice des droits, les procédures, la notice RGPD et la charte informatique.
Vidéoprotection, action sociale, biométrie : les traitements communaux qui appellent une analyse d'impact (article 35)
L'article 35 du RGPD impose une analyse d'impact avant tout traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes.
En commune, trois cas reviennent : la vidéoprotection de la voie publique, qui relève de la surveillance systématique à grande échelle d'une zone accessible au public visée à l'article 35.3.c ; les dossiers d'action sociale, qui traitent des données de santé ; les dispositifs biométriques de contrôle d'accès, fondés sur des données de l'article 9.
- Vidéoprotection de la voie publique : double régime, autorisation préfectorale au titre du code de la sécurité intérieure et fiche de registre au titre du RGPD — voir les recommandations de la CNIL sur la vidéosurveillance
- Action sociale du CCAS : suivi des personnes en difficulté, aide alimentaire, portage de repas
- Biométrie : contrôle d'accès aux locaux ou aux équipements
- Géolocalisation des véhicules de service et des agents
- Prévention de la délinquance et données d'infractions de l'article 10
Les limites : une liste type ne vaut pas inventaire
Un traitement absent de cette liste mais réellement mis en œuvre s'inscrit quand même ; un traitement listé mais non pratiqué ne s'inscrit pas. La qualification d'un traitement comme soumis à analyse d'impact dépend aussi de la liste des types d'opérations arrêtée par la CNIL au titre de l'article 35.4, à vérifier à la source. La conformité reste celle de la collectivité, au titre de l'article 24 du RGPD.
Sur nos mandats, le registre est tenu dans IZIRO, l'outil dans lequel la mission se pilote, licences refacturées séparément. Depuis 2020, plus de 150 organismes ont été accompagnés jusqu'à la conformité (chiffre cumulé, arrêté à septembre 2026) : une commune qui préfère partir d'un inventaire conduit service par service plutôt que d'un modèle vierge peut faire établir le registre de la collectivité avec un accompagnement.
Le logiciel RGPD du DPO
Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.
Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.
Un CCAS ou un syndicat mixte doit-il tenir son propre registre, ou figure-t-il dans celui de la commune ?
Le CCAS et le syndicat mixte sont des personnes morales distinctes de la commune : chacun détermine les finalités et les moyens de ses propres traitements et tient donc son registre au titre de l'article 30 du RGPD. Les fiches d'aide sociale facultative, de portage de repas ou de compétences transférées n'ont pas à être recopiées dans le registre communal. Un délégué mutualisé peut couvrir les deux entités, mais les registres restent séparés et chacun désigne son responsable de traitement.
Quand un éditeur héberge le logiciel métier de la mairie, qui inscrit le traitement dans quel registre ?
La commune reste responsable de traitement et inscrit la finalité dans son registre d'activités, en y nommant l'éditeur comme sous-traitant. L'éditeur, lui, tient son propre registre des catégories d'activités de traitement effectuées pour le compte de ses clients, prévu à l'article 30.2 du RGPD. Côté commune, ce qui se vérifie est le contrat de l'article 28 : lieu d'hébergement, sous-traitants ultérieurs, mesures de sécurité, sort des données en fin de contrat. Demandez ces éléments par écrit avant de figer la fiche.
Une mairie doit-elle communiquer son registre des traitements à un administré qui en fait la demande ?
Le RGPD n'impose la mise à disposition du registre qu'à l'autorité de contrôle, à sa demande (article 30.4). Côté administré, la demande relève du droit d'accès aux documents administratifs (articles L. 300-2 et L. 311-1 du code des relations entre le public et l'administration). En pratique, une version publiée expurgée des mesures de sécurité détaillées, des noms d'agents et des éléments d'architecture technique évite d'exposer des informations exploitables, tout en montrant la démarche de la collectivité.
Les traitements mis en œuvre par les élus entrent-ils dans le registre de la collectivité ?
Il faut distinguer deux casquettes. Les traitements liés au fonctionnement institutionnel — convocations et comptes rendus d'assemblée, indemnités et frais des élus, déclarations d'intérêts, annuaire des conseillers — relèvent de la collectivité et figurent à son registre. La communication politique d'un élu ou d'un candidat, menée hors des moyens du service public, en relève pas : l'élu en est alors responsable de traitement pour son propre compte et tient ses propres obligations. Tracer cette frontière évite d'utiliser les fichiers communaux à des fins de campagne.
Quand faut-il mettre à jour le registre après l'ouverture d'un nouveau service, et que faire avant son lancement ?
La fiche se crée avant la mise en service, pas après : l'article 30 impose un registre tenu à jour, et l'article 35 du RGPD place l'analyse d'impact en amont du traitement lorsqu'il est susceptible d'engendrer un risque élevé — portail famille, vidéoprotection, badgeage, géolocalisation de véhicules. Le réflexe utile est de rattacher la création de fiche au circuit de décision : toute délibération ou tout marché portant sur un nouvel outil déclenche la rédaction de la fiche, finalité, base légale, destinataires et durée de conservation comprises.
