RGPD et collectivités territoriales : quelles sont les obligations des mairies en 2026 ?
« Nous sommes une commune de 500 habitants, le RGPD ne nous concerne pas vraiment. »
Cette idée est encore très répandue. Pourtant, elle est totalement fausse.
Qu’il s’agisse d’une métropole ou d’une petite commune rurale, chaque mairie traite quotidiennement des données personnelles de ses administrés, de ses agents et de ses élus. À ce titre, toutes les collectivités territoriales sont soumises au Règlement Général sur la Protection des Données (RGPD).
Au-delà de l’obligation légale, le RGPD constitue aujourd’hui un véritable outil de gouvernance. Il permet de mieux organiser les traitements de données, de limiter les risques de fuite d’informations et de renforcer la confiance des citoyens.
Une mairie traite beaucoup plus de données personnelles qu’on ne l’imagine
Les traitements réalisés par une commune sont nombreux. Parmi les plus courants figurent notamment :
- l’état civil ;
- les listes électorales ;
- les demandes d’urbanisme ;
- les inscriptions scolaires et périscolaires ;
- les services enfance et jeunesse ;
- le CCAS et l’action sociale ;
- les ressources humaines ;
- la vidéoprotection ;
- les demandes adressées via le site internet ;
- les réservations de salles ou les événements municipaux.
Toutes ces activités impliquent la collecte, la conservation et parfois le partage de données personnelles. Elles doivent donc respecter les principes du RGPD.
La désignation d’un DPO est une obligation légale
C’est un point souvent méconnu. Contrairement à de nombreuses entreprises privées, toutes les collectivités territoriales ont l’obligation de désigner un Délégué à la Protection des Données (DPO), quelle que soit leur taille.
Cette obligation résulte directement du RGPD.
Le DPO accompagne la collectivité dans sa conformité. Son rôle n’est pas de sanctionner mais de conseiller, d’informer et de vérifier que les traitements de données respectent la réglementation. Une petite mairie peut parfaitement choisir un DPO externe, solution souvent plus souple et plus économique qu’une ressource interne.
Les principales obligations des communes
Le RGPD ne se résume pas à la rédaction d’une politique de confidentialité. Une mairie doit notamment :
- tenir un registre des traitements ;
- informer les administrés sur l’utilisation de leurs données ;
- sécuriser les informations qu’elle détient ;
- gérer les droits des personnes (accès, rectification, suppression lorsque cela est possible) ;
- encadrer les relations avec ses prestataires ;
- sensibiliser les agents ;
- documenter les éventuelles violations de données ;
- réaliser des analyses d’impact lorsque certains traitements présentent des risques élevés.
La conformité est avant tout une démarche d’organisation.
Pourquoi les petites communes sont-elles également concernées ?
Les cyberattaques visant les collectivités se multiplient. Les petites mairies ne sont pas épargnées. Au contraire, elles disposent souvent de moyens humains et techniques plus limités, ce qui peut les rendre plus vulnérables.
Un poste informatique compromis, une erreur d’envoi de courrier électronique, un ordinateur perdu ou une mauvaise gestion des habilitations peuvent suffire à exposer des données personnelles.
Le RGPD contribue justement à réduire ces risques en mettant en place des procédures simples mais efficaces.
Comment démarrer une mise en conformité ?
La première étape consiste généralement à réaliser un état des lieux. Cette phase permet d’identifier :
- les traitements existants ;
- les documents déjà disponibles ;
- les éventuelles lacunes ;
- les actions prioritaires.
La conformité peut ensuite être déployée progressivement, en tenant compte des contraintes budgétaires et des ressources de la collectivité. L’objectif n’est pas de produire des documents pour répondre à une obligation administrative, mais bien de mettre en place une organisation durable.
Un accompagnement de proximité pour les collectivités normandes
Les communes de Normandie, qu’elles soient situées en Seine-Maritime, dans l’Eure, le Calvados, l’Orne ou la Manche, font face aux mêmes obligations que les grandes collectivités. Pour autant, leurs besoins sont souvent différents.
Un accompagnement local permet de tenir compte de la réalité du terrain, des moyens disponibles et de proposer des solutions pragmatiques adaptées aux petites et moyennes collectivités.
Qu’il s’agisse d’un diagnostic initial, de la prise de fonction en tant que DPO externe ou d’un accompagnement annuel, l’objectif reste le même : aider les élus et les agents à remplir leurs obligations en toute sérénité.
Conclusion
Le RGPD n’est plus une option pour les collectivités territoriales. Chaque mairie est concernée, quelle que soit sa population, et chacune doit notamment désigner un DPO.
Plutôt que d’attendre un contrôle, une réclamation d’un administré ou un incident de sécurité, mieux vaut engager dès aujourd’hui une démarche de conformité adaptée à la taille de sa commune. Le RGPD est avant tout un levier de confiance, de sécurité et de bonne gestion des données publiques.