Une mairie gère quantité de données personnelles : état civil, listes électorales, RH, cantine, vidéoprotection… Elle est, à ce titre, responsable de traitement et pleinement soumise au RGPD. Voici l'essentiel pour être en conformité sans se noyer.
1. La commune, responsable de traitement
La commune décide des finalités et des moyens de ses traitements : elle en est responsable. Le maire, en tant qu'exécutif, porte cette responsabilité. La conformité RGPD n'est pas optionnelle pour une autorité publique.
2. Le délégué à la protection des données (DPD/DPO) : obligatoire
La désignation d'un délégué à la protection des données est obligatoire pour les autorités publiques, donc pour toutes les communes, quelle que soit leur taille. En pratique, les petites communes mutualisent ce rôle :
- via le centre de gestion (CDG) ;
- via l'EPCI ou un syndicat mixte numérique ;
- via un prestataire externe.
Le DPD est déclaré à la CNIL et ses coordonnées sont rendues publiques.
3. Le registre des activités de traitement
La commune tient un registre recensant ses traitements : état civil, listes électorales, paie, gestion des agents, cantine et facturation, inscriptions scolaires, vidéoprotection, site internet, fichiers d'administrés, etc. Pour chaque traitement : finalité, base légale, catégories de données et de personnes, destinataires, durée de conservation, mesures de sécurité.
4. Les bases légales propres au secteur public
Une commune ne fonde que rarement ses traitements sur le consentement. Elle s'appuie le plus souvent sur :
- l'obligation légale (état civil, listes électorales, recensement) ;
- la mission d'intérêt public (services communaux).
Conséquence importante : pour ces traitements, le droit à l'effacement et le droit d'opposition sont limités — on ne peut pas effacer un acte d'état civil sur simple demande.
5. Les droits des personnes
Les administrés disposent de droits que la commune doit savoir traiter : accès, rectification, effacement (dans les limites ci-dessus), limitation, opposition et portabilité. Une demande doit recevoir une réponse dans le mois. Le DPD est le point de contact.
6. Les traitements à surveiller
- Vidéoprotection de la voie publique : autorisation préfectorale préalable, information du public par panneaux, durée de conservation limitée, accès tracé ;
- RH et paie : données sensibles (santé, situation familiale) ;
- Cantine / périscolaire : données d'enfants, allergies (données de santé) ;
- Site internet et formulaires : cookies, mentions d'information.
7. L'analyse d'impact (AIPD)
Pour les traitements susceptibles d'engendrer un risque élevé pour les droits des personnes (vidéoprotection étendue, dispositifs biométriques, fichiers sensibles), une analyse d'impact relative à la protection des données (AIPD) est obligatoire, en lien avec le DPD.
8. La violation de données
En cas de fuite, perte ou accès non autorisé à des données (vol d'ordinateur, rançongiciel, envoi à un mauvais destinataire), la commune doit notifier la CNIL dans les 72 heures lorsque la violation présente un risque, et informer les personnes concernées si le risque est élevé.
9. Articulation avec les archives
Les durées de conservation RGPD doivent être cohérentes avec les durées d'utilité administrative (DUA) et les obligations d'archivage public. On ne supprime pas un document soumis à conservation au seul motif du RGPD — voir notre guide conservation des documents en mairie.
10. Réflexes pour la mairie
- Désigner (ou mutualiser) un DPD et le déclarer à la CNIL ;
- Tenir et mettre à jour le registre des traitements ;
- Informer les administrés (mentions sur formulaires, panneaux vidéoprotection) ;
- Sécuriser les postes et les accès (mots de passe, sauvegardes, droits limités) ;
- Savoir réagir en cas de violation (procédure de notification CNIL).
À lire aussi : au-delà du RGPD, le site de la commune doit être accessible aux personnes handicapées (RGAA) — une obligation légale distincte, elle aussi sanctionnable.
Sources officielles
Cet article s'appuie sur les textes en vigueur. Vérifiez toujours la version consolidée sur Légifrance :
PVMairie intègre toutes ces règles. Saisissez les données, téléchargez un PV conforme CGCT en 10 min.
Générer mon PV →