RGPD en mairie et collectivité : vos obligations

Toute collectivité est concernée, quelle que soit sa taille

Oui, sans seuil : l'article 37.1.a vise toute autorité publique, même une commune de 300 habitants.

L'article 37.1.a du RGPD impose la désignation d'un délégué à toute autorité publique. Il n'y a pas de seuil d'effectif, pas d'exception pour les petites communes : une commune de 400 habitants est aussi concernée qu'un département.

C'est le point qui surprend le plus, et celui qui explique qu'une part importante des communes françaises reste en défaut.

Interne, EPCI, centre de gestion ou prestataire : comment choisir

Quatre voies possibles. Pour une petite commune, le centre de gestion suffit souvent.

L'article 37.3 autorise un délégué unique pour plusieurs organismes publics, l'article 38.4 exigeant qu'il reste réellement accessible.

Pour une petite commune, le centre de gestion est souvent le meilleur choix : coût maîtrisé, et c'est une mission que lui ouvre l'article 25 de la loi n° 84-53.

Il montre ses limites quand les délais s'allongent ou que vos traitements sortent du cadre habituel.

• En interne : exige du temps et une indépendance réelle
• Au niveau de l'EPCI : cohérent si les services sont déjà partagés
• Par le centre de gestion : économique et souvent suffisant
• Par un prestataire : quand le périmètre l'impose

Délibérations, open data et documents publiés

Publier n'est pas tout montrer : noms, adresses et situations s'occultent avant la mise en ligne.

Publier une délibération ou ouvrir un jeu de données ne dispense pas de protéger les personnes qui y figurent. Les noms des agents, les adresses des administrés et les situations individuelles doivent être occultés avant mise en ligne.

L'articulation entre obligation de publicité et protection des données se règle au cas par cas, et c'est un sujet sur lequel les collectivités sont rarement outillées.

Durées de conservation et archives publiques

Les deux régimes se concilient : la donnée change de statut, elle ne disparaît pas.

Le RGPD impose de limiter la conservation ; le code du patrimoine impose de conserver. Les deux se concilient par le cycle de vie classique des archives publiques : courant, intermédiaire, définitif.

Concrètement, une donnée ne s'efface pas parce qu'elle a servi : elle change de statut, et c'est le tableau de gestion qui le dit.