DPO obligatoire en collectivité : règles et désignation

Une commune de quelques centaines d'habitants et une métropole sont soumises à la même règle : elles doivent désigner un délégué à la protection des données. Le règlement ne prévoit ni seuil de population ni critère d'activité pour le secteur public. Pour les missions générales du délégué, consultez notre article sur le DPO et ses missions.

Le DPO est-il obligatoire pour toutes les collectivités ?

Oui. L'article 37, paragraphe 1, point a) du RGPD impose la désignation d'un délégué lorsque le traitement est effectué par une autorité publique ou un organisme public, à la seule exception des juridictions dans leur fonction juridictionnelle. Le DPO obligatoire en collectivité ne dépend donc ni de la taille ni du volume de données traitées.

La CNIL le résume sans nuance sur sa page dédiée aux collectivités : le RGPD impose à toutes les structures publiques de désigner un délégué (voir le texte de l'article 37). Sont notamment visés :

• les communes, quelle que soit leur population ;
• les EPCI : communautés de communes, d'agglomération, urbaines et métropoles ;
• les départements et les régions ;
• les syndicats intercommunaux et les syndicats mixtes ;
• les établissements publics locaux, comme les CCAS, les caisses des écoles ou les SDIS.

Chaque structure reste responsable de traitement pour ses fichiers (état civil, action sociale, cantine, ressources humaines), et le délégué suit l'ensemble de ces traitements, y compris le registre des traitements.

Peut-on mutualiser le DPO entre plusieurs collectivités ?

Oui. L'article 37, paragraphe 3 du RGPD permet de désigner un seul délégué pour plusieurs autorités ou organismes publics, compte tenu de leur structure et de leur taille. Pour une petite commune sans poste dédié, c'est la façon la plus réaliste de satisfaire le DPO obligatoire en collectivité.

La CNIL précise qu'une convention en fixe les conditions (mise à disposition d'agents, prestation de service, service unifié ou service commun). Le délégué mutualisé peut être rattaché à :

Selon la CNIL, l'échelle de la mutualisation doit rester adaptée aux moyens alloués. Et si la structure mutualisatrice est aussi sous-traitant des collectivités qu'elle accompagne, par exemple pour l'hébergement de logiciels, le délégué ne doit ni la diriger ni être son donneur d'ordre.

Qui peut être désigné DPO dans une collectivité ?

Toute personne compétente qui ne décide pas des finalités et des moyens des traitements. L'article 37, paragraphe 5 exige des connaissances spécialisées du droit et des pratiques de protection des données, sans diplôme ni agrément imposé.

Le DPO obligatoire en collectivité pose surtout une question de conflit d'intérêts, car les organigrammes locaux confondent souvent décision et exécution. La position de la CNIL sur les profils les plus fréquents est la suivante :

Comment désigner et déclarer le DPO auprès de la CNIL ?

La désignation se notifie obligatoirement à la CNIL par son téléservice, et les coordonnées du délégué doivent être publiées. Cette double formalité découle de l'article 37, paragraphe 7 du RGPD.

1. 1Choisir — Retenir un agent, une structure mutualisée ou un prestataire.
2. 2Formaliser — Signer la convention de mutualisation ou le contrat de service, et acter la désignation en interne.
3. 3Notifier — Déclarer le délégué à la CNIL via son téléservice, pour chaque structure concernée.
4. 4Publier — Rendre accessibles les coordonnées du délégué aux administrés et aux agents.
5. 5Mettre à jour — Signaler tout changement au service des délégués de la CNIL par courriel.

Notre guide RGPD en mairie replace cette désignation dans l'ensemble de la démarche de conformité d'une commune.

Quels moyens et quelle indépendance garantir au délégué ?

L'article 38 du RGPD impose de fournir au délégué les ressources nécessaires, de ne lui donner aucune instruction sur l'exercice de ses missions et de ne pas le sanctionner pour leur exercice. Il fait rapport au niveau le plus élevé, soit l'exécutif de la collectivité.

La CNIL attend du maire ou du président un soutien actif et pérenne : disponibilité, formation, budget, référents internes. Le délégué peut cumuler d'autres tâches sans conflit d'intérêts (article 38, paragraphe 6) et doit être associé en temps utile, par exemple avant une AIPD.

Respecter le DPO obligatoire en collectivité sur le papier ne suffit donc pas. Dans son bilan des contrôles publié le 17 janvier 2024, la CNIL relève une forte disparité de moyens entre grandes entreprises et petites collectivités, et note que le délégué public travaille souvent seul. Des mesures correctrices ont été prises pour des conflits d'intérêts et pour un défaut d'association du délégué.

Que risque une collectivité sans DPO ?

Une mise en demeure publique, puis une éventuelle procédure de sanction. La CNIL y a déjà eu recours contre des communes.

Par une décision du 25 avril 2022, la présidente de la CNIL a mis en demeure une commune de désigner un délégué sous quatre mois, après un courrier du 2 juin 2021 resté sans suite. Le texte publié sur Légifrance fonde la décision sur l'article 37, paragraphe 1, point a). D'autres communes ont fait l'objet de décisions comparables à la même date. Une mise en demeure non suivie d'effet peut ouvrir la voie aux mesures décrites dans notre article sur les sanctions RGPD.

À retenir

• Le DPO obligatoire en collectivité s'applique sans seuil : communes, EPCI, départements, régions, syndicats et établissements publics locaux.
• La mutualisation est autorisée par l'article 37, paragraphe 3, et passe par une convention.
• Un élu ou un DGS est un mauvais choix selon la CNIL ; le secrétaire de mairie suppose une vérification préalable.
• La désignation se notifie via le téléservice de la CNIL et les coordonnées du délégué sont publiées.
• Absence de délégué ou délégué sans moyens : la CNIL a déjà prononcé des mises en demeure et des mesures correctrices.