La désignation d’un DPD : obligatoire pour toutes les communes
Contrairement aux entreprises privées, les collectivités territoriales ont l’obligation de désigner un Délégué à la Protection des Données (DPD), sans exception de taille. Le DPD peut être un agent interne ou un prestataire externe mutualisé entre plusieurs communes. Il est l’interlocuteur de la CNIL et le garant de la conformité RGPD de la collectivité.
Le registre des traitements : la pièce maîtresse
Le registre des traitements recense toutes les opérations sur les données personnelles réalisées par la commune : gestion de l’état civil, des inscriptions scolaires, de la vidéosurveillance, des formulaires de contact en ligne, de la liste électorale… Chaque traitement doit être documenté avec sa finalité, les données concernées, leur durée de conservation, et les mesures de sécurité associées. C’est le premier document réclamé par la CNIL lors d’un contrôle.
Le site web : les points de vigilance spécifiques
- Gestionnaire de cookies : tout cookie non strictement nécessaire (analytics, réseaux sociaux, vidéos YouTube embarquées) nécessite le consentement préalable de l’utilisateur. Un bandeau « Accepter/Refuser » en pied de page ne suffit pas : le refus doit être aussi simple que l’acceptation.
- Politique de confidentialité : elle doit être accessible depuis toutes les pages, rédigée en langage clair, et mentionner explicitement les droits des administrés (accès, rectification, suppression, portabilité).
- Formulaires en ligne : chaque formulaire ne doit collecter que les données strictement nécessaires. Une demande de renseignements sur les horaires d’ouverture n’a pas besoin de votre date de naissance.
- Sous-traitants numériques : votre hébergeur, votre prestataire de newsletter, votre outil d’analytics sont des sous-traitants au sens du RGPD. Des contrats de traitement des données doivent être signés avec chacun d’eux.
En cas de violation de données : 72 heures pour réagir
Si votre site est piraté et que des données personnelles sont compromises, vous avez 72 heures pour notifier la CNIL. Ce délai court à compter du moment où vous avez connaissance de l’incident — pas à compter de sa résolution. Si les personnes concernées risquent un préjudice important (usurpation d’identité, harcèlement), elles doivent également être notifiées directement. Avoir un plan de réponse aux incidents documenté à l’avance permet de respecter ce délai, même dans l’urgence.
Les sanctions encourues
La CNIL peut prononcer des amendes, des mises en demeure publiques et des injonctions de mise en conformité. Pour les collectivités, les sanctions restent rares mais augmentent. En 2024, outre la mairie sanctionnée à 300 000 €, plusieurs communes ont fait l’objet de mises en demeure publiques pour des manquements sur leurs sites web (cookies non conformes, formulaires sans information RGPD, absence de DPD déclaré).
