RGPD et collectivités : Ce que votre commune doit vraiment faire ( et ce qu’elle risque si elle ne fait rien)
Une erreur fréquente : croire que le RGPD ne concerne que les entreprises privées En France, les collectivités territoriales sont parmi les organismes qui traitent le plus de données personnelles. État civil, inscriptions scolaires, listes électorales, données des agents, fichiers de la cantine, demandes de permis de construire, vidéosurveillance : une commune gère quotidiennement des dizaines de traitements de données sensibles. Et pourtant, un grand nombre de communes — notamment les plus petites — restent en situation de non-conformité RGPD. En janvier 2025, la CNIL a annoncé que la cybersécurité des collectivités territoriales serait l’une de ses trois thématiques prioritaires de contrôle pour l’année. Le signal est clair : l’ère de la tolérance est terminée. → Source : CNIL, Les contrôles de la CNIL en 2025 Ce que le RGPD impose aux communes — sans exception de taille Contrairement aux entreprises privées, toutes les collectivités territoriales, quelle que soit leur taille, ont l’obligation de désigner un Délégué à la Protection des Données (DPO), conformément à l’article 37 du RGPD. Ce DPO peut être un agent interne ou un prestataire externe mutualisé. En 2024, la CNIL a sanctionné la commune de Kourou d’une amende de 5 000 € suivie d’une astreinte de 150 €/jour pour absence de DPO. Au-delà du DPO, les obligations RGPD des communes comprennent : le registre des activités de traitement (article 30 RGPD), la base légale de chaque traitement, l’information des administrés, les procédures de gestion des droits (accès, rectification, suppression) et la notification des violations de données à la CNIL dans les 72 heures. → Source : CNIL, Guide de sensibilisation au RGPD pour les collectivités territoriales → Source : legalprotech.fr, Collectivités territoriales : la CNIL intensifie ses contrôles RGPD en 2025 Les risques réels en cas de non-conformité Les sanctions financières de la CNIL peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial. Pour les collectivités, les montants sont proportionnés mais les astreintes journalières s’accumulent rapidement. Au-delà des sanctions, la responsabilité civile et pénale des élus peut être engagée en cas de violation de données imputable à un défaut de sécurité caractérisé. En 2023, les collectivités représentaient 17 % des incidents de cybersécurité signalés à l’ANSSI. Les rançongiciels ciblent prioritairement les structures mal protégées, et les petites communes — sans RSSI ni politique de sécurité formalisée — sont des cibles de choix. → Source : ANSSI, Panorama de la cybermenace 2023 → Source : mairieendirect.fr, RGPD et collectivités territoriales : guide de conformité Par où commencer : le plan d’action en 4 étapes de la CNIL La CNIL recommande une démarche structurée en 4 étapes : désigner un DPO, cartographier les traitements de données et constituer le registre, prioriser les actions correctives (mise à jour des mentions d’information, sécurisation des systèmes, clauses fournisseurs), et inscrire la conformité dans la durée avec des révisions régulières. Pour les communes sans compétence interne, un prestataire RGPD externe peut assurer la mission de DPO et accompagner la mise en conformité. C’est une option reconnue par la CNIL, et souvent la plus économique pour les petites structures. → Source : CNIL.fr, Plan d’action RGPD en 4 étapes pour les collectivités
