RGPD et mairie : registre des traitements, sous-traitants, DPO mutualisé

Cadre légal RGPD appliqué aux mairies

Une commune de 200 habitants comme une métropole doivent tenir un registre des traitements et désigner un délégué à la protection des données.Elles doivent aussi sécuriser les traitements et gérer les droits des administrés.Cela vaut pour la protection des données du site de la mairie comme pour les autres services.

Le cadre juridique repose sur deux textes principaux.

• Le règlement européen 2016/679 (RGPD), applicable depuis le 25 mai 2018, fixe les principes dans tous les États membres ;
• La loi Informatique et Libertés du 6 janvier 1978, profondément modifiée en 2018 puis 2019, complète le règlement en droit national, notamment pour les traitements régaliens du secteur public.

Pour les collectivités locales, la CNIL tient une rubrique dédiée : cnil.fr/fr/collectivites-locales.On y trouve des fiches pratiques par traitement (état civil, élections, cantine scolaire, vidéoprotection), des modèles de registre et des avis sectoriels.

Dans une commune, le responsable de traitement est la commune elle-même, représentée par le maire.Le responsable de traitement est la personne morale qui décide des finalités et des moyens des traitements.Le maire signe les contrats de sous-traitance, notifie les violations et dialogue avec la CNIL.

Les sanctions administratives de laCNIL pèsent sur la commune en tant que personne morale, pas sur le patrimoine privé du maire.Pour une commune, l’amende peut atteindre 10 M€, et 20 M€ pour les manquements les plus graves.Le pourcentage du chiffre d’affaires ne vaut que pour les entreprises, et seul l’État échappe aux amendes.

En revanche, le maire reste exposé à des poursuites pénales personnelles en cas de manquement caractérisé. Les articles 226-16 à 226-24 du Code pénal visent les atteintes aux droits de la personne résultant des traitements de données :

• collecte frauduleuse ;
• traitement sans déclaration ;
• conservation au-delà de la durée légale ;
• divulgation à un tiers non habilité.

Ces sanctions pénales peuvent atteindre 5 ans d’emprisonnement et 300 000 € d’amende, selon l’infraction.Elles sont personnelles et relèvent du tribunal correctionnel.

Seconde spécificité : la plupart des traitements communaux reposent sur une base légale d’obligation légale (article 6.1.c du RGPD) ou de mission d’intérêt public (article 6.1.e).Le consentement (6.1.a), très fréquent dans le secteur privé, est plus rare en commune.On le trouve surtout pour les lettres d’information facultatives et certains formulaires de demande citoyenne.

Le registre des traitements : ce qu’il doit contenir

L’article 30 du RGPD impose à toute organisation, même la plus petite commune, de tenir un registre des activités de traitement.C’est le document central de conformité, et le premier que la CNIL demande lors d’un contrôle.Son absence est une non-conformité majeure.

Pour chaque traitement, le registre consigne au minimum :

• le nom du traitement et sa finalité (par exemple : « Gestion de l’état civil, délivrance d’actes ») ;
• la base légale (obligation légale, mission d’intérêt public, consentement, contrat, intérêt vital, intérêt légitime), essentiellement les deux premières dans le secteur public ;
• les catégories de personnes concernées (administrés, agents, élus, usagers d’un service spécifique) ;
• les catégories de données traitées (identité, coordonnées, données familiales, données de santé pour la cantine en cas d’allergies, etc.) ;
• les destinataires (services internes, organismes externes obligatoires comme la préfecture ou la trésorerie, sous-traitants techniques) ;
• la durée de conservation (archive courante, archive intermédiaire, puis sort final : élimination ou versement aux archives départementales) ;
• les mesures de sécurité (chiffrement, contrôle d’accès, sauvegarde) ;
• les transferts hors UE éventuels (rares en commune, sauf usage d’outils non européens).

La CNIL met à disposition un modèle de registre téléchargeable adapté aux collectivités.Elle propose aussi une version pré-remplie pour les communes de moins de 250 habitants.Nous pouvons fournir un modèle pré-rempli adapté à Mairie.app : il suffit de nous le demander.

Le registre est un document vivant.Mettez-le à jour à chaque nouveau traitement (service en ligne, formulaire, base de données).Revoyez-le en entier au moins une fois par an.

Le DPO : 3 options pour les communes

La désignation d’un délégué à la protection des données (DPO, anciennement CIL) est obligatoire pour toutes les autorités publiques, sans seuil de taille (article 37.1.a du RGPD).Une commune de 100 habitants doit donc avoir un DPO, comme une métropole.Trois options s’offrent à la collectivité.

Pour la majorité des communes de moins de 10 000 habitants, le DPO mutualisé est l’option la plus raisonnable.Il passe par le centre de gestion de la fonction publique territoriale ou par l’intercommunalité.Vérifiez si votre CDG ou votre EPCI propose ce service avant d’explorer d’autres pistes.

Quel que soit le mode retenu, notifiez la désignation à la CNIL via son téléservice dédié.Les coordonnées du DPO figurent aussi dans la politique de confidentialité du site internet.

Sous-traitance et DPA : qui signe quoi

Une commune confie parfois un traitement de données personnelles à un tiers : éditeur de site internet, hébergeur, prestataire d’envoi de courriels, éditeur de logiciel métier.Elle reste alors responsable de traitement, et le tiers devient son sous-traitant au sens duRGPD.L’article 28 du règlement encadre cette relation.

L’instrument central est le DPA (Data Processing Agreement), ou « accord de traitement des données ».Ce document est distinct du contrat commercial.

Il précise les obligations du sous-traitant :

• nature du traitement ;
• instructions du responsable ;
• confidentialité ;
• mesures de sécurité ;
• gestion des sous-traitants ultérieurs ;
• assistance en cas de violation ;
• sort des données en fin de contrat.

Mairie.app est une application RGPD pour collectivités locales : elle fournit un DPA standard téléchargeable, conforme aux exigences du RGPD.Le maire, ou une personne habilitée, l’accepte en ligne à la première étape de la mise en service, avant tout traitement de données.Voir notre DPA et notre politique de confidentialité pour les modalités précises.

Traitez explicitement la question des sous-traitants ultérieurs (sous-traitants du sous-traitant).Mairie.app utilise Laravel Cloud (hébergeur, région AWS de Francfort), Cloudflare (protection du réseau), Nightwatch (surveillance du bon fonctionnement) et Resend (envoi des courriels automatiques).Leur liste à jour est publiée sur une page publique à laquelle le DPA renvoie, et ils sont soumis aux mêmes obligations.Toute évolution de cette liste est notifiée à la commune 30 jours avant sa prise d’effet, et elle peut s’y opposer jusqu’à cette date.

Les 5 traitements RGPD critiques en commune

Une commune type opère entre une dizaine et une trentaine de traitements.Cinq d’entre eux concentrent l’essentiel des risques juridiques et politiques.Ils demandent une vigilance particulière dans le registre et au quotidien.

Que faire en cas de violation de données

Le RGPD définit largement la violation de données personnelles.C’est toute atteinte à la sécurité qui entraîne, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé à des données personnelles.Un vol par cyberattaque en est une. Un courriel envoyé par erreur à la mauvaise liste aussi.

Procédure en 5 étapes

1. Constater et qualifier. Identifiez la nature de la violation (confidentialité, intégrité, disponibilité), les données concernées, le nombre de personnes potentiellement touchées et le niveau de risque pour leurs droits et libertés.
2. Notifier la CNIL sous 72 heures. L’article 33 du RGPD l’impose dès qu’un risque pour les personnes existe. Au-delà de 72 heures, motivez le retard. La notification passe par le téléservice de laCNIL : cnil.fr : notifier une violation.
3. Informer les personnes concernées si le risque pour leurs droits et libertés est élevé (article 34 du RGPD). Le message est clair, concret et en français simple. Il indique les mesures prises et les actions recommandées (changer son mot de passe, surveiller ses comptes bancaires, etc.).
4. Documenter la violation dans un registre dédié, même si vous ne l’avez pas notifiée à laCNIL. La traçabilité interne est obligatoire. Elle permet de démontrer la maîtrise de l’incident lors d’un contrôle.
5. Corriger et prévenir. Analysez la cause profonde, déployez les correctifs techniques et organisationnels, et sensibilisez à nouveau les agents si la cause était humaine.

Pour préparer la réponse à un incident, voir notre article cybersécurité du site de mairie et notre page sur la conformité RGPD de la plateforme.Pour la cybermalveillance, le portail cybermalveillance.gouv.fr fournit des kits de communication et une mise en relation avec des prestataires spécialisés.