Une commune traite des données personnelles dès le premier jour de chaque mandat : actes d'état civil, listes électorales, inscriptions à la cantine, demandes d'aide sociale, permis de construire. Dans une petite ou moyenne commune, ce travail repose souvent sur quelques agents et sur le secrétariat de mairie, sans service juridique dédié.
Ce guide présente la démarche RGPD en mairie dans l'ordre où elle se construit : identifier qui est responsable, recenser les traitements par service avec leur base légale, désigner le délégué, encadrer les communications de données, puis organiser la conservation et la sécurité. Il s'appuie sur le guide de sensibilisation publié par la CNIL pour les collectivités et sur le texte du règlement.
Chapitre 01 — Qui est responsable
Étape 1 : identifier qui est responsable dans la commune
La commune, en tant que personne morale, est le responsable de traitement. Le maire, exécutif de la commune, agit en son nom : il signe les engagements, désigne le délégué et arbitre les moyens. Le guide de la CNIL l'illustre ainsi : la commune est responsable de la tenue, de la gestion et de la révision de la liste électorale.
Plusieurs structures voisines sont des responsables distincts, avec leurs propres obligations :
- Le centre communal d'action sociale (CCAS) : la CNIL le cite parmi les autorités publiques locales qui agissent comme responsables de traitement et doivent désigner un délégué.
- L'intercommunalité (EPCI) : elle est responsable des traitements liés aux compétences qui lui ont été transférées, par exemple la collecte des déchets.
- Les prestataires (éditeur de logiciel, hébergeur, imprimeur du bulletin) : ils agissent en principe comme sous-traitants et doivent être liés par un contrat.
Pour les marchés publics, la CNIL publie une fiche sur la question « Commande publique : quel acteur est responsable au regard du RGPD ? ». Clarifier ces rôles est la première étape de toute démarche RGPD en mairie, car chaque registre et chaque délégué se rattachent à un responsable précis.
Chapitre 02 — Traitements et bases légales
Étape 2 : recenser les traitements de chaque service
Quelle base légale pour un traitement communal ?
La plupart des traitements d'une commune reposent sur une obligation légale ou sur une mission d'intérêt public, prévues à l'article 6 du RGPD. L'intérêt légitime est exclu pour les missions : le texte précise qu'il « ne s'applique pas au traitement effectué par les autorités publiques dans l'exécution de leurs missions ». Le consentement reste l'exception.
Choisir la bonne base légale n'est pas une formalité : elle détermine les droits que les habitants peuvent exercer, notamment le droit d'opposition, ouvert lorsque le traitement repose sur une mission d'intérêt public.
Le tableau des traitements courants
| Service | Exemples de données | Base légale usuelle | Point d'attention |
|---|---|---|---|
| État civil | Actes de naissance, mariage, décès | Obligation légale | Pas de réutilisation pour des félicitations ou condoléances d'élus |
| Élections | Liste électorale, adresses | Obligation légale (code électoral) | Communication encadrée, voir chapitre 4 |
| Urbanisme | Demandeurs de permis, plans, coordonnées | Mission d'intérêt public ou obligation légale | Accès limité aux agents instructeurs |
| Cantine et périscolaire | Enfants, parents, quotient familial, allergies | Mission d'intérêt public | Les informations de santé sont des données sensibles (article 9) |
| Action sociale (CCAS) | Ressources, situation familiale, santé | Mission d'intérêt public | Responsable distinct : le CCAS |
| Vidéoprotection | Images de la voie publique | Mission d'intérêt public, cadre du code de la sécurité intérieure | Autorisation préfectorale ; images conservées un mois au plus en principe, selon la CNIL |
| Site internet et lettre d'information | Adresses électroniques, formulaires de contact | Consentement pour la lettre, mission pour les démarches | Mentions d'information et cookies |
Chaque ligne de ce tableau devient une fiche du registre des traitements, que tout responsable doit tenir selon l'article 30 du RGPD. La CNIL en détaille le contenu dans sa fiche « Assurer votre conformité en 4 étapes » : finalités, catégories de personnes et de données, destinataires, durées, mesures de sécurité. Ce registre sert de socle à tout le RGPD en mairie, puisque les étapes suivantes s'y appuient.
Chapitre 03 — Le délégué
Étape 3 : désigner un délégué, seul ou mutualisé
Une commune doit-elle désigner un DPO ?
Oui. L'article 37, paragraphe 1, point a du RGPD impose un délégué lorsque le traitement est effectué par une autorité publique ou un organisme public, quelle que soit la taille de la commune. Le paragraphe 3 permet de désigner un seul délégué pour plusieurs autorités ou organismes publics.
La mutualisation est donc la voie habituelle des petites communes : un même DPO peut servir la commune, son CCAS et d'autres collectivités. Selon la fiche de la CNIL sur la désignation dans une collectivité, les organismes qui mutualisent concluent une convention, et la désignation est notifiée à la CNIL par son téléservice.
Chapitre 04 — Communiquer des données
Étape 4 : encadrer les communications de données
Une mairie reçoit régulièrement des demandes de données, et chacune obéit à un régime précis. C'est le volet le plus spécifique du RGPD en mairie, et celui que les guides généralistes traitent peu.
Qui peut obtenir la liste électorale ?
Tout électeur, tout candidat et tout parti ou groupement politique peut en prendre communication et copie, en application de l'article L. 37 du code électoral, à condition de s'engager à ne pas en faire un usage commercial. La fiche de la CNIL sur la liste électorale précise que seule la CADA est compétente pour les questions d'accès à ces listes. Les services vérifient la qualité du demandeur avant toute délivrance.
Publier les actes en ligne
Depuis le 1er juillet 2022, la publication électronique est le mode de droit commun pour les actes des collectivités. Selon la fiche de la CNIL sur la publication en ligne des documents des collectivités, les données personnelles des documents diffusés au titre du code des relations entre le public et l'administration sont en principe anonymisées (article L. 312-1-2), sauf exceptions limitées.
Les élus et les fichiers municipaux
Un élu n'accède pas librement aux fichiers des services. Le guide de la CNIL donne deux exemples : le fichier des inscriptions scolaires ne peut pas servir à la communication politique du maire, et les données d'état civil ne peuvent pas être utilisées pour adresser des félicitations ou des condoléances sans le consentement des personnes. Chaque transmission doit correspondre à la finalité du fichier.
Chapitre 05 — Conservation et sécurité
Étape 5 : conserver, sécuriser, réagir
Combien de temps conserver les données ?
Chaque durée de conservation suit trois phases : base active, archivage intermédiaire, puis archivage définitif pour les données d'intérêt historique. Pour les communes, le guide de la CNIL renvoie à l'instruction DGP/SIAF/2014/006 sur le tri des archives communales et aux services d'archives départementales, le code du patrimoine régissant les archives publiques. Le guide Durées de conservation RGPD détaille la méthode.
Sécuriser et réagir
Contrôles de base en mairie
En cas de violation de données présentant un risque, la commune la notifie à la CNIL dans les meilleurs délais et si possible dans les 72 heures, selon l'article 33 du RGPD, et informe les personnes si le risque est élevé. Le guide Sécurité des données RGPD complète ces points, et celui sur les demandes de droits aide à répondre aux habitants dans le délai d'un mois.
À retenir
- La commune est responsable de traitement ; le CCAS et l'intercommunalité le sont pour leurs propres traitements.
- Les bases légales usuelles sont l'obligation légale et la mission d'intérêt public, l'intérêt légitime étant exclu pour les missions.
- Le délégué est obligatoire et peut être mutualisé entre organismes publics.
- Liste électorale, actes publiés en ligne et demandes d'élus suivent chacun un régime propre.
- La démarche RGPD en mairie s'entretient : registre, durées et sécurité se revoient à chaque nouveau service ou logiciel.
Définitions utiles
Tout le lexique RGPD- CNILLa CNIL, Commission nationale de l'informatique et des libertés, est l'autorité administrative indépendante chargée en France de veiller à la protection des données personnelles. Elle conseille, contrôle et sanctionne.
- DPOLe DPO, ou délégué à la protection des données, est la personne désignée par un organisme pour l'informer, le conseiller et contrôler qu'il respecte le RGPD. Il est aussi l'interlocuteur de la CNIL et des personnes concernées.
- Base légaleLa base légale est le fondement juridique qui autorise un traitement de données personnelles. Le RGPD en prévoit six : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public et intérêt légitime.
- Obligation légaleL'obligation légale est la base légale qui autorise un traitement lorsqu'il est nécessaire pour respecter une obligation imposée par le droit de l'Union européenne ou le droit français à l'organisme qui traite les données.
- Registre des traitementsLe registre des traitements est le document, tenu par écrit, qui recense l'ensemble des traitements de données personnelles d'un organisme : finalités, catégories de données et de personnes, destinataires, durées de conservation et mesures de sécurité.
- ConsentementLe consentement est une manifestation de volonté libre, spécifique, éclairée et univoque par laquelle une personne accepte, par une déclaration ou un acte positif clair, que ses données personnelles soient traitées.
À vous de jouer
La conformité n'attend pas le prochain contrôle.
Vous avez la méthode. Pour la mettre en œuvre sans y passer des semaines, faites le point avec une juriste dédiée : 30 minutes pour identifier vos écarts et repartir avec un plan d'action clair.
