Aller au contenu principal
Certyneo

FICHE PRATIQUE · COLLECTIVITÉS · RGPD EN MAIRIE

RGPD en mairie : DPO, registre, violations, vidéoprotection, actes en ligne

Une mairie traite des données personnelles du matin au soir : état civil, cantine, cimetière, urbanisme, aides sociales, paie des agents, caméras. Le RGPD s'applique à toutes les communes, sans seuil de population ni d'effectif. Voici le point, à jour de septembre 2026.

À qui s'adresse cette fiche ?

Secrétaires de mairie, élus locaux, agents des services état civil, urbanisme ou scolaire, délégués mutualisés à la protection des données. Elle sert aussi aux conseillers numériques et aux agents France services qui accompagnent les petites communes.

Télécharger le PDF (4 pages)Gratuit · Licence Ouverte Etalab 2.0 · Version du 25 septembre 2026

1. Le délégué à la protection des données, obligatoire partout

  • Obligation : l'article 37.1.a du RGPD impose un délégué à la protection des données dès qu'un traitement est mis en œuvre par une autorité publique : toute commune est concernée, quelle que soit sa taille.
  • Mutualisation : l'article 37.3 autorise un délégué unique pour plusieurs autorités publiques. Les communes le partagent via l'intercommunalité, une convention de mutualisation, le centre de gestion ou un prestataire.
  • Désignation : elle se fait auprès de la CNIL par un téléservice dédié, mis à jour à chaque changement. Ne pas désigner de délégué est en soi un manquement sanctionnable.
  • Indépendance : il rend compte au niveau le plus élevé, agit sans recevoir d'instructions et ne décide pas des traitements qu'il contrôle. Il conseille, surveille la conformité et sert de contact aux habitants.

2. Le registre des traitements et l'analyse d'impact

  • Registre : l'article 30 impose un registre écrit des activités de traitement. L'exemption des organismes de moins de 250 employés ne vise que les traitements occasionnels et sans risque : elle est sans portée pour une mairie.
  • Contenu : chaque fiche décrit la finalité, la base légale, les catégories de données et de personnes, les destinataires, la durée de conservation, la sécurité et les transferts hors UE.
  • Traitements courants : état civil, listes électorales, inscriptions scolaires, cantine, cimetière, urbanisme, aides sociales, ressources humaines et vidéoprotection sont ceux que cite la CNIL.
  • Analyse d'impact : l'article 35 l'impose en cas de risque élevé, par exemple pour une surveillance systématique à grande échelle d'une zone accessible au public. La CNIL publie la liste des traitements concernés.

3. Violations de données et rançongiciels

  • 72 heures : l'article 33 impose de notifier la violation à la CNIL dans les meilleurs délais et, si possible, sous 72 heures. Une notification en deux temps est admise si l'enquête se poursuit.
  • Personnes concernées : si la violation présente un risque élevé pour les droits et libertés, l'article 34 oblige en plus à prévenir directement les personnes touchées.
  • Registre interne : l'article 33.5 impose de documenter toutes les violations, même non notifiées : nature, volume approximatif, conséquences probables, mesures prises. Ce document est présenté en cas de contrôle.
  • Rançongiciel : une attaque qui chiffre ou exfiltre des fichiers est une violation. La CNIL invite à déposer plainte et à conserver les preuves techniques. La cybersécurité des collectivités est une priorité de contrôle 2025.

4. Vidéoprotection de la voie publique et vidéosurveillance des locaux

  • Deux régimes : filmer la voie publique relève du code de la sécurité intérieure et suppose une autorisation du préfet, valable cinq ans et renouvelable. Filmer des locaux fermés au public relève du seul RGPD.
  • Conservation : la durée est fixée par l'autorisation et ne peut excéder un mois (article L. 252-3). Ce maximum ne s'applique pas d'office : quelques jours suffisent.
  • Champ des caméras : elles ne doivent pas permettre de visualiser l'intérieur des immeubles d'habitation ni, de façon spécifique, leurs entrées (article L. 251-3). La CNIL recommande un masquage irréversible.
  • Information : des panneaux permanents et visibles signalent le dispositif, l'information détaillée figurant par exemple sur le site de la commune. Les personnes filmées peuvent demander l'accès aux images.

5. État civil et listes électorales

  • Base légale : la tenue des registres est une mission de l'officier d'état civil. Le traitement repose sur une obligation légale, jamais sur le consentement de l'usager.
  • COMEDEC : la communication électronique des données d'état civil, créée par le décret n° 2011-167 du 10 février 2011, évite à l'usager de produire son acte. Elle est obligatoire depuis le 1er novembre 2018 pour les communes ayant abrité une maternité.
  • Copies intégrales : elles ne sont délivrées qu'à l'intéressé majeur, ses ascendants, descendants, conjoint ou partenaire de PACS, ou sur autorisation du procureur. Naissances et mariages sont librement communicables après 75 ans, les décès après 25 ans.
  • Listes électorales : l'article L. 37 du code électoral en ouvre copie à tout électeur, candidat ou parti, sous engagement de ne pas en faire un usage commercial, puni de 15 000 euros d'amende.

6. Publication en ligne des actes et open data

  • Depuis le 1er juillet 2022 : l'ordonnance n° 2021-1310 et le décret n° 2021-1311 du 7 octobre 2021 ont fait de la publication électronique le mode de publicité de droit commun. Les communes de moins de 3 500 habitants gardent le choix.
  • Occultation : les mentions couvertes par un secret protégé sont masquées avant publication, notamment celles qui portent une appréciation sur une personne ou décrivent son comportement. Une délibération nominative se publie expurgée.
  • Exceptions : l'article D. 312-1-3 du code des relations entre le public et l'administration dispense certains documents d'occultation, dont ceux relatifs à la vie politique.
  • Open data : au-delà de 3 500 habitants et 50 agents en équivalent temps plein, documents et bases de données sont publiés en format ouvert, après anonymisation préalable.

Liste de contrôle

  • J'ai désigné un délégué à la protection des données auprès de la CNIL, seul ou mutualisé.
  • Je tiens à jour le registre des activités de traitement de la commune.
  • J'ai vérifié si une analyse d'impact s'impose, notamment pour la vidéoprotection.
  • Je sais qui notifie la CNIL sous 72 heures en cas de violation de données.
  • Je consigne toutes les violations dans un registre interne, même celles que je ne notifie pas.
  • J'occulte les données personnelles non nécessaires avant de publier un acte en ligne.

Sources et pour aller plus loin

Fiche rédigée par l'équipe Certyneo, éditeur français de signature électronique. Document informatif : Légifrance et service-public.gouv.fr font foi. Réutilisation libre sous Licence Ouverte Etalab 2.0, à condition de citer la source. Une erreur ? contact@certyneo.com

À lire aussi sur le même sujet

Voir les 119 fiches pratiques gratuites