Le DPO est obligatoire, sans seuil
C'est le point le plus souvent ignoré. Le RGPD impose la désignation d'un délégué à la protection des données à tout organisme public. Il n'y a pas de seuil de population, pas d'exemption pour les petites communes, pas de tolérance liée aux moyens.
La bonne nouvelle : ce DPO peut être mutualisé entre plusieurs communes, porté par l'intercommunalité, ou externalisé. Ce qu'il ne peut pas être, c'est absent.
Le registre des traitements, concrètement
Une mairie traite beaucoup plus de données personnelles qu'elle ne le croit. État civil, listes électorales, cantine scolaire, inscriptions périscolaires, cimetière, vidéoprotection, badges d'accès, fichier des administrés, demandes d'urbanisme.
Chacun de ces traitements doit figurer au registre avec sa finalité, sa base légale, les personnes qui y ont accès et sa durée de conservation. C'est un tableau, pas un roman. Mais il doit exister et être à jour.
Les trois manquements qu'on rencontre le plus
La vidéoprotection non déclarée. Les caméras de la place du village sont installées, parfois depuis des années, sans autorisation préfectorale à jour ni information des administrés.
Les accès jamais retirés. Un agent part, son compte reste actif. Nous avons déjà trouvé des accès ouverts à des personnes parties depuis plus de deux ans.
Les données conservées indéfiniment. Les inscriptions à la cantine de 2014 sont encore dans le logiciel. Conserver sans limite est un manquement au même titre que collecter sans base légale.
Et le site de la commune
Deux obligations distinctes s'y ajoutent, souvent confondues. Le RGPD impose une politique de confidentialité, une information sur les formulaires et un bandeau de cookies conforme. Le RGAA, lui, impose l'accessibilité du site aux personnes handicapées, avec une déclaration d'accessibilité publiée.
Le second est presque systématiquement absent des sites de petites communes. Il ne s'agit pas d'une recommandation : c'est une obligation légale pour tout site public.
Par où commencer
Dans l'ordre, et sans y passer six mois : désigner le DPO et le déclarer à la CNIL, dresser le registre des traitements existants, vérifier qui a accès à quoi, publier les mentions manquantes sur le site.
Une commune de moins de mille habitants boucle généralement ce chantier en deux à trois semaines de travail effectif, étalé sur un trimestre.
Qui fait le travail dans une petite commune
C'est la question qui bloque le plus souvent. Dans une mairie de moins de mille habitants, il n'y a personne dont c'est le métier. La secrétaire de mairie tient déjà l'état civil, l'urbanisme, la comptabilité et l'accueil.
Trois solutions existent. La mutualisation : plusieurs communes désignent le même DPO, souvent porté par l'intercommunalité, et le coût se partage. L'externalisation : un prestataire assure la fonction pour un forfait mensuel. La désignation interne : un agent est nommé, formé, et dispose d'un temps identifié. Cette dernière ne fonctionne que si le temps est réellement dégagé, sinon la désignation reste sur le papier.
Ce que risque concrètement une commune
La CNIL a longtemps privilégié l'accompagnement pour le secteur public. Cette période se termine. Les mises en demeure publiques se multiplient, et elles portent souvent sur les mêmes sujets : vidéoprotection non déclarée, absence de registre, données conservées sans limite.
Le risque financier reste mesuré pour une petite commune. Le risque politique l'est beaucoup moins : une mise en demeure publique tombe rarement au bon moment, et elle se lit dans la presse locale.
Le cas de la vidéoprotection
Il mérite un paragraphe à lui seul tant il revient. Installer des caméras sur la voie publique suppose une autorisation préfectorale, un affichage informant les passants, une durée de conservation définie, et une liste nominative des personnes habilitées à consulter les images.
Dans les faits, nous trouvons régulièrement des installations où les images sont accessibles depuis le poste de l'accueil, sans mot de passe, et conservées depuis la mise en service. Ce n'est pas une subtilité réglementaire : c'est le manquement le plus visible en cas de contrôle.
