Recenser les traitements d'une ville entière, service par service
Une commune de la taille de Marmande fait vivre côte à côte des métiers qui n'ont presque rien en commun. L'état civil enregistre des naissances et des décès, le périscolaire gère des inscriptions et des allergies alimentaires, l'urbanisme instruit des autorisations, la vidéoprotection filme l'espace public, les ressources humaines suivent des carrières, le CCAS instruit des aides. Chacun de ces métiers traite des données d'administrés par nature, avec ses propres outils et ses propres habitudes.
L'enjeu propre à une collectivité de cette échelle tient là : les traitements existent dans des services qui ne se parlent pas toujours au quotidien. Construire un registre des activités de traitement est donc autant un travail de recensement qu'un travail juridique. Il faut d'abord aller voir, service par service, quelles données circulent, dans quels logiciels, pour combien de temps, avant de pouvoir qualifier quoi que ce soit.
L'enjeu clé
Le registre d'une ville ne s'écrit pas depuis un bureau. Il se construit en allant interroger chaque service sur ce qu'il fait réellement de ses données, puis en rattachant chaque traitement à une finalité et à une base légale.
Les particularités du secteur communal se cumulent :
- La mission de service public comme base légale : l'essentiel des traitements communaux relève de l'article 6.1.e du RGPD, l'exécution d'une mission d'intérêt public, et non du consentement : il faut rattacher chaque traitement au texte qui fonde la compétence de la commune.
- L'obligation de désigner un DPO : l'article 37.1.a impose la désignation d'un délégué à la protection des données à toute autorité ou organisme public, sans seuil d'effectif ni de volume.
- La diversité des services : état civil, périscolaire, urbanisme, RH, CCAS et vidéoprotection mobilisent des catégories de données très différentes, dont certaines sensibles.
- L'archivage public : les collectivités sont soumises à des obligations de conservation et de versement aux archives qui coexistent avec le principe de limitation des durées.
Un registre construit au contact des services, pas au-dessus d'eux
Nous avons mené le recensement en allant à la rencontre de chaque service, avec une grille d'entretien identique pour tous. L'objectif n'était pas de faire remplir un formulaire aux agents mais de reconstituer avec eux le parcours réel de la donnée, depuis le guichet ou le formulaire jusqu'à l'archivage.
Le travail s'est structuré autour de quelques axes :
- Un recensement exhaustif : chaque service a été interrogé sur ses traitements, ses logiciels métiers, ses tableaux de suivi et ses échanges avec les partenaires extérieurs.
- La qualification juridique : chaque traitement a reçu sa finalité, sa base légale au sens de l'article 6, et le texte de compétence qui fonde la mission d'intérêt public lorsque c'est cette base qui s'applique.
- Les durées de conservation : une politique par catégorie de dossier, articulée avec les obligations d'archivage public et les tableaux de gestion applicables aux communes.
- La fonction de DPO : un délégué désigné et déclaré, avec un point d'entrée unique pour les agents, les élus et les administrés.
- Les sous-traitants : les éditeurs de logiciels métiers et les hébergeurs recensés, avec les clauses de sous-traitance attendues dans les marchés publics.
Du tour des services au registre tenu dans le temps
Cadrage avec la direction générale
Définition du périmètre, identification des référents par service et calendrier des entretiens, pour que le recensement n'alourdisse pas le fonctionnement courant.
Entretiens service par service
État civil, périscolaire, urbanisme, RH, CCAS, police municipale et vidéoprotection ont été passés en revue avec les agents qui manipulent les données au quotidien.
Qualification et arbitrages
Chaque traitement recensé a été rattaché à une finalité, une base légale et une durée de conservation, avec les arbitrages nécessaires entre limitation des durées et obligations d'archivage.
Transmission et suivi
Le registre a été remis avec une procédure de mise à jour : tout nouveau logiciel ou nouveau service donne lieu à une fiche avant son déploiement.
Une ville qui sait ce qu'elle traite et pourquoi
La commune dispose d'une vue d'ensemble de ses traitements, lisible par la direction générale comme par un agent d'accueil confronté à la question d'un administré. Chaque fiche du registre porte une finalité, une base légale et une durée, ce qui transforme un sujet réputé abstrait en outil de travail.
Ce que les services ont gagné :
- Une cartographie partagée : les traitements de tous les services figurent dans un même registre, ce qui fait apparaître les doublons et les zones à clarifier.
- Un interlocuteur identifié : le DPO est le point d'entrée pour les demandes d'exercice des droits et pour les questions des services sur un nouveau projet.
- Des durées arbitrées : la politique de conservation tient compte des obligations d'archivage public, au lieu de les opposer au RGPD.
Livrables remis :
- Registre des activités de traitement couvrant l'ensemble des services municipaux
- Fiche de qualification par traitement avec base légale et texte de compétence
- Politique de durées de conservation articulée avec les obligations d'archivage
- Acte de désignation du DPO et déclaration à la CNIL
- Modèles de clauses de sous-traitance pour les marchés et conventions
- Mentions d'information pour les formulaires des services et le site de la ville
- Procédure de mise à jour du registre pour les nouveaux traitements
Pourquoi le registre est le point de départ de tout le reste
Pour une collectivité, le registre n'est pas une formalité documentaire : c'est l'inventaire sans lequel aucune autre obligation ne peut être tenue. On ne sécurise pas des données dont on ignore l'existence, on ne répond pas à une demande d'accès sans savoir où le dossier se trouve, on ne purge pas ce qu'on n'a pas recensé.
Ce que la commune sécurise :
- La responsabilité du maire : la commune est responsable de traitement pour l'ensemble de ses services : un registre tenu à jour est la première pièce demandée en cas de contrôle.
- La réactivité face aux administrés : une demande d'accès ou de rectification trouve son chemin parce que le registre dit quel service détient quoi.
- La maîtrise des projets : un nouveau logiciel métier ou un nouveau service en ligne s'instruit sur la base d'une fiche de traitement, avant le déploiement plutôt qu'après.
À retenir
Dans une ville, le registre vaut surtout par le travail de terrain qui le produit. C'est en interrogeant chaque service que l'on découvre les traitements qu'aucun document ne mentionnait.
Envie du même accompagnement ?
Faites le point avec une juriste dédiée : 30 minutes pour identifier vos écarts et bâtir votre plan d'action.
