RGPD fonction publique : obligations pour les collectivités

Six ans après l'entrée en application du Règlement Général sur la Protection des Données (RGPD) le 25 mai 2018, les collectivités territoriales françaises restent parmi les structures les plus exposées aux manquements en matière de protection des données personnelles. En 2023, la Commission Nationale de l'Informatique et des Libertés (CNIL) a prononcé plusieurs mises en demeure et sanctions à l'encontre d'acteurs publics, rappelant que le statut public ne confère aucune immunité réglementaire. Or, les collectivités traitent quotidiennement des données sensibles : état civil, données fiscales, dossiers médicaux des agents, vidéosurveillance, gestion des ressources humaines — autant de traitements soumis à des obligations précises.

Quelles sont exactement les obligations qui pèsent sur une mairie, un département ou une intercommunalité ? Le Délégué à la Protection des Données (DPO) est-il vraiment obligatoire pour toutes les collectivités ? Comment articuler RGPD et projets de transformation numérique sans bloquer l'innovation ? Cet article répond à ces questions en s'appuyant sur les textes en vigueur, les lignes directrices de la CNIL et les bonnes pratiques documentées dans le secteur public.

Sommaire

1. Champ d'application : quelles collectivités sont concernées ?
2. Le DPO dans le secteur public : une obligation sans exception
3. Le registre des activités de traitement : colonne vertébrale de la conformité
4. Les droits des personnes concernées : agents et administrés
5. Sécurité des données et notification des violations
6. Transformation numérique et RGPD : concilier innovation et conformité
7. Sanctions et contrôles : ce que risquent concrètement les collectivités
8. Questions fréquentes sur le RGPD dans la fonction publique
9. Mettre la conformité RGPD au service d'une gestion publique de confiance

Champ d'application : quelles collectivités sont concernées ?

Définition synthétique — Le RGPD (Règlement UE 2016/679) s'applique à tout organisme, public ou privé, qui traite des données à caractère personnel de personnes physiques situées dans l'Union européenne, quelle que soit sa taille. Toutes les collectivités territoriales françaises — communes, intercommunalités, départements, régions, syndicats mixtes — sont donc pleinement soumises au règlement, sans seuil minimum d'habitants ou d'agents.

La loi Informatique et Libertés du 6 janvier 1978, modifiée par l'ordonnance du 12 décembre 2018 pour transposer le RGPD en droit français, précise les adaptations nationales. Pour le secteur public, elle prévoit notamment la possibilité de déroger au droit à l'effacement lorsque le traitement répond à une mission d'intérêt public — ce qui est fréquent dans les collectivités. Ces dérogations ne dispensent pas de la conformité générale : elles en déplacent simplement les curseurs.

En pratique, une commune de 500 habitants traite des données personnelles : listes électorales, état civil, fichiers de paie des agents contractuels, vidéosurveillance de la voirie. Elle est responsable de traitement au sens du RGPD et doit en assumer les obligations. La taille réduite peut alléger certaines formalités (documentation simplifiée), mais elle ne crée pas d'exemption.

Le DPO dans le secteur public : une obligation sans exception

L'article 37 du RGPD impose la désignation d'un Délégué à la Protection des Données (DPO) à tout organisme public ou parapublic, sans condition de taille ni de volume de données traitées. Contrairement au secteur privé, où la désignation d'un DPO n'est obligatoire que lorsque les traitements présentent certaines caractéristiques (suivi à grande échelle, données sensibles), les collectivités territoriales n'ont aucune marge d'appréciation sur ce point : le DPO est obligatoire.

Le DPO peut être :

• Un agent interne désigné par l'autorité exécutive (maire, président de conseil départemental…)
• Un DPO mutualisé entre plusieurs collectivités — solution privilégiée par de nombreux Centres de Gestion de la Fonction Publique Territoriale (CDG)
• Un prestataire externe spécialisé, sous réserve de contrat de service précisant ses missions

Dans tous les cas, le DPO doit être désigné auprès de la CNIL via le portail de notification en ligne. Ses missions sont définies à l'article 39 du RGPD : informer et conseiller le responsable de traitement, contrôler le respect du règlement, coopérer avec la CNIL et faire office de point de contact pour cette dernière. Il ne peut pas être sanctionné pour avoir exercé ses missions — une garantie d'indépendance fonctionnelle essentielle.

La mutualisation du DPO entre plusieurs petites communes est encouragée par la CNIL et par les associations d'élus. Le CDG de la Gironde, par exemple, propose ce service à ses collectivités affiliées depuis 2019. Cette voie permet aux communes rurales de satisfaire à l'obligation légale sans recruter un profil spécialisé à temps plein — profil difficile à trouver, comme en témoignent les tensions de recrutement documentées dans l'portrait des agents de la fonction publique territoriale.

Le registre des activités de traitement : colonne vertébrale de la conformité

L'article 30 du RGPD oblige tout responsable de traitement à tenir un registre des activités de traitement. Ce document interne recense l'ensemble des opérations de collecte et d'utilisation de données personnelles réalisées par la collectivité. C'est la pièce maîtresse de la conformité : sans registre à jour, aucune démarche cohérente n'est possible.

Pour chaque traitement, le registre doit mentionner :

• Le nom et les coordonnées du responsable de traitement et du DPO
• La finalité du traitement (ex. : gestion de la paie, vidéosurveillance, liste électorale)
• Les catégories de personnes concernées (agents, administrés, élus…) et de données traitées
• Les destinataires des données (services internes, prestataires, autres administrations)
• Les durées de conservation
• Une description générale des mesures de sécurité
• Les transferts éventuels de données hors Union européenne

Une collectivité moyenne gère couramment entre 30 et 80 traitements distincts. La paie des agents, la gestion des ressources humaines, la vidéosurveillance des bâtiments, les inscriptions scolaires, le portage de repas à domicile pour les personnes âgées, les marchés publics — chaque dispositif constitue un traitement distinct devant figurer au registre. Les projets de dématérialisation des marchés publics génèrent par exemple de nouveaux traitements qui doivent être intégrés au registre dès leur mise en œuvre.

La CNIL met à disposition un modèle de registre au format tableur, adapté aux collectivités de petite et moyenne taille. Ce point de départ ne dispense pas d'une analyse propre à chaque structure : les traitements d'une commune touristique avec vidéosurveillance étendue diffèrent sensiblement de ceux d'une commune rurale sans équipement numérique particulier.

Les droits des personnes concernées : agents et administrés

Le RGPD reconnaît aux personnes physiques dont les données sont traitées un ensemble de droits que les collectivités doivent être en mesure d'exercer effectivement. Ces droits s'appliquent à deux catégories distinctes : les administrés (usagers des services publics locaux) et les agents eux-mêmes.

Les droits reconnus par le RGPD comprennent :

• Droit d'accès (art. 15) : toute personne peut demander à connaître les données la concernant et les modalités de leur traitement
• Droit de rectification (art. 16) : correction des données inexactes ou incomplètes
• Droit à l'effacement (art. 17) : limité dans le secteur public par les obligations d'archivage et les missions d'intérêt public
• Droit à la limitation du traitement (art. 18) : gel temporaire de l'utilisation des données
• Droit d'opposition (art. 21) : s'oppose à certains traitements basés sur l'intérêt légitime
• Droit à la portabilité (art. 20) : limité aux traitements fondés sur le consentement ou un contrat — peu fréquent dans le secteur public

Pour les agents publics, ces droits s'exercent sur les données contenues dans leur dossier de carrière, leurs données de paie, les données de santé transmises à la médecine préventive, les données collectées dans le cadre de l'utilisation des outils numériques de service. La question de l'identité numérique de l'agent est directement concernée : les données d'authentification, les traces d'activité sur les systèmes d'information et les accès aux services numériques font partie des traitements à documenter et à sécuriser.

La collectivité doit organiser une procédure de réponse aux demandes d'exercice des droits. Le délai légal est d'un mois, prorogeable d'un mois supplémentaire en cas de complexité, avec notification obligatoire du demandeur. L'absence de réponse constitue une violation du RGPD, susceptible de donner lieu à une plainte auprès de la CNIL.

Sécurité des données et notification des violations

L'article 32 du RGPD oblige le responsable de traitement à mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Cette formulation intentionnellement ouverte impose une démarche proportionnée : la sécurité d'un fichier d'état civil ne réclame pas les mêmes mesures que celle d'un dossier médical.

En pratique, les collectivités doivent a minima :

• Chiffrer les données sensibles (données de santé, données financières des agents)
• Mettre en place une politique de gestion des mots de passe et des accès (principe du moindre privilège)
• Maintenir les systèmes à jour (correctifs de sécurité)
• Réaliser des sauvegardes régulières et tester les procédures de restauration
• Former les agents aux bonnes pratiques informatiques
• Encadrer contractuellement les sous-traitants (éditeurs de logiciels, hébergeurs, prestataires de maintenance)

La question des sous-traitants mérite une attention particulière. Chaque prestataire qui accède aux données pour le compte de la collectivité doit signer un contrat de sous-traitance conforme à l'article 28 du RGPD, précisant notamment les instructions documentées, les mesures de sécurité et les obligations en cas de violation. Ce point est souvent négligé lors de la passation des marchés publics numériques.

En cas de violation de données (fuite, piratage, perte accidentelle), la collectivité dispose de 72 heures pour notifier la CNIL si la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes (article 33 du RGPD). Si le risque est élevé, les personnes concernées doivent également être informées directement (article 34). La traçabilité des violations — même celles ne faisant pas l'objet d'une notification — doit être assurée dans un registre interne dédié.

Transformation numérique et RGPD : concilier innovation et conformité

La transformation numérique des collectivités s'accélère : outils collaboratifs, intelligence artificielle, open data, services en ligne aux usagers. Chacun de ces projets génère des traitements de données personnelles qui doivent être anticipés, et non pas gérés après coup. Le principe de privacy by design (protection des données dès la conception, article 25 du RGPD) impose d'intégrer la conformité RGPD dès la phase de conception de tout nouveau système ou service numérique.

La publication de données en open data illustre bien cette tension. Les obligations de transparence et d'ouverture des données publiques issues de la loi Pour une République Numérique de 2016 s'articulent avec le RGPD : les données personnelles ne peuvent pas être publiées en open data sans anonymisation préalable. L'enjeu de l'open data dans les collectivités exige donc un travail rigoureux de tri et d'anonymisation avant toute publication.

Le recours à l'intelligence artificielle dans les services publics locaux soulève des questions spécifiques. Les systèmes d'IA qui traitent des données personnelles pour automatiser des décisions ou des analyses doivent faire l'objet d'une Analyse d'Impact relative à la Protection des Données (AIPD), obligatoire dès lors que le traitement est susceptible d'engendrer un risque élevé. L'IA au cœur des territoires est une réalité croissante qui rend l'AIPD incontournable pour de nombreux projets.

L'AIPD est également obligatoire pour :

• Les systèmes de vidéosurveillance couvrant des espaces accessibles au public
• Les traitements à grande échelle de données sensibles (données de santé, données biométriques)
• Les croisements de fichiers à grande échelle
• Le profilage systématique des personnes

La transformation numérique du service public ne peut donc progresser durablement qu'en intégrant le RGPD comme un cadre structurant, et non comme un frein. Les collectivités les plus avancées traitent le DPO comme un partenaire des projets numériques dès leur phase d'initialisation, plutôt que comme un contrôleur intervenant en fin de parcours.

Le dispositif France Connect pour les agents publics illustre une approche conforme par conception : l'authentification centralisée réduit la multiplication des identifiants et des mots de passe, limitant ainsi les surfaces d'attaque et facilitant la gestion des droits d'accès — deux enjeux directement liés au RGPD.

Sanctions et contrôles : ce que risquent concrètement les collectivités

Le RGPD prévoit des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les entités privées. Pour les organismes publics, le cadre est différent en France : la loi Informatique et Libertés plafonne les sanctions pécuniaires à l'encontre des personnes morales de droit public à 10 millions d'euros. En pratique, la CNIL module ses décisions en tenant compte de la nature et de la gravité du manquement, des mesures prises pour y remédier, et du contexte de la structure.

Les procédures de la CNIL à l'égard des collectivités suivent généralement plusieurs étapes :

• Contrôle : en ligne, sur pièces ou sur place — la CNIL peut se rendre dans les locaux de la collectivité
• Mise en demeure : injonction de se mettre en conformité dans un délai défini (publiée ou non selon la gravité)
• Sanction : amende administrative, injonction sous astreinte, limitation ou interdiction temporaire de traitement

Des collectivités ont déjà fait l'objet de mises en demeure publiques : la CNIL a sanctionné plusieurs communes et établissements publics locaux ces dernières années pour des manquements à la sécurité des données, à l'obligation de désignation d'un DPO ou à la gestion des droits d'accès. Ces décisions sont publiques et consultables sur le site de la CNIL, ce qui génère un effet de réputation non négligeable pour les élus locaux.

Au-delà des sanctions formelles, les collectivités s'exposent à des plaintes individuelles : un agent ou un administré dont les droits ne sont pas respectés peut saisir la CNIL, qui instruit la plainte et peut enjoindre la collectivité de répondre. Cette voie est de plus en plus utilisée, notamment par des agents contestant l'utilisation de leurs données dans le cadre de procédures disciplinaires ou de gestion RH.

Questions fréquentes sur le RGPD dans la fonction publique

Une petite commune de moins de 1 000 habitants est-elle vraiment soumise au RGPD ?

Oui, sans réserve. Le RGPD ne prévoit aucun seuil démographique pour les organismes publics. Une commune de 300 habitants qui tient des listes électorales, gère la paie d'agents et dispose d'un système de vidéosurveillance est soumise à l'intégralité des obligations du règlement. La taille peut justifier une documentation allégée pour certains traitements à faible risque, mais elle ne crée pas d'exemption.

Le DPO peut-il être le secrétaire de mairie ou le directeur général des services ?

Techniquement oui, sous réserve qu'il n'y ait pas de conflit d'intérêts. Le RGPD interdit au DPO d'exercer des fonctions qui l'amèneraient à déterminer lui-même les finalités et les moyens d'un traitement. Un directeur général des services qui prend des décisions sur les traitements de la collectivité ne peut donc pas être DPO de cette même collectivité. Un agent administratif sans pouvoir décisionnel sur les traitements peut en revanche être désigné, à condition de bénéficier de la formation adéquate.

Faut-il recueillir le consentement des agents pour tous les traitements RH ?

Non. Dans le secteur public, la base légale des traitements RH est généralement l'exécution d'une mission d'intérêt public ou le respect d'une obligation légale — pas le consentement. Demander le consentement des agents pour la gestion de leur paie ou de leur dossier de carrière serait juridiquement incorrect, car le consentement doit être librement donné, ce qui est difficilement compatible avec une relation employeur-agent. Le registre des traitements doit indiquer la base légale exacte de chaque traitement.

Que risque une collectivité en cas de cyberattaque ayant entraîné une fuite de données ?

Si la collectivité a mis en œuvre des mesures de sécurité appropriées et respecté l'obligation de notification dans les 72 heures, la CNIL tiendra compte de ces éléments. En revanche, si l'enquête révèle des manquements préexistants (absence de mises à jour, mots de passe faibles, absence de chiffrement), la sanction peut s'alourdir significativement. La cyberattaque ne dispense pas de la conformité : elle en révèle l'absence.

Mettre la conformité RGPD au service d'une gestion publique de confiance

Le RGPD n'est pas un texte technocratique supplémentaire. Pour les collectivités territoriales, il constitue un cadre de gouvernance des données qui, bien appliqué, renforce la confiance des administrés et des agents dans les institutions locales. Désigner un DPO compétent, tenir un registre à jour, sécuriser les systèmes, répondre aux droits des personnes : ces obligations sont aussi des engagements de qualité de service public.

La conformité RGPD s'inscrit dans un mouvement plus large de modernisation numérique des collectivités. Elle conditionne la réussite des projets d'ouverture des données, d'intelligence artificielle et de dématérialisation — autant de chantiers qui reposent sur la maîtrise et la protection des données personnelles. Les collectivités qui traitent le RGPD comme un levier de transformation, et non comme une contrainte isolée, sont mieux armées pour relever ces défis. Elles sont aussi plus attractives pour les profils numériques et juridiques qu'elles cherchent à recruter — un enjeu central pour l'attractivité de la fonction publique territoriale. Pour découvrir les postes disponibles dans ce secteur, consultez les offres d'emploi collectivité sur JobPublic.fr.

Retrouvez toutes nos offres d'emploi service public sur JobPublic.