Aller au contenu principal
Quel logiciel RGPD

Collectivité : Madis, logiciel payant ou outil du prestataire ?

Pour qui : Votre collectivité a déjà un délégué à la protection des données mutualisé, ou va en avoir un. Un éditeur vous propose un logiciel, un collègue parle de Madis, et vous ne savez pas si la convention couvre déjà ce besoin.

Posez d’abord une question à votre délégué ou à votre structure de mutualisation : « notre convention donne-t-elle accès à un outil, et lequel ? » Si la réponse est oui, utilisez-le. Un second logiciel ferait tenir deux registres pour le même besoin.

Si la réponse est non et que votre registre tient en quelques fiches, gardez le modèle de la CNIL, adapté à vos traitements. Madis devient une option quand un service peut l’exploiter. Un logiciel payant se discute ensuite, pour un besoin que vous pouvez nommer.

Notre avis

Utilisez d’abord l’outil de votre mutualisation et n’en achetez pas un second. Sans outil fourni, restez sur le modèle de la CNIL si vous avez peu de fiches. Passez à Madis si quelqu’un l’exploite, et à un logiciel payant pour un besoin que vous avez constaté.

Pourquoi

  • Dans les documents lus, le SICTIAM annonce Madis dans son offre de DPO externalisé, et Gironde Numérique dans son abonnement hors mutualisation, et e-Collectivités un logiciel dans son forfait. Vérifiez votre convention avant d’ouvrir un budget.
  • Selon la CNIL, le registre d’une petite commune pourra contenir moins d’une dizaine de fiches : un fichier suffit à ce volume, sous réserve d’une personne pour le tenir.
  • Madis est gratuit sous licence libre, et sa documentation demande un serveur à administrer. Le coût réel dépend donc de qui l’exploite.
  • Le choix se fait avec votre délégué : c’est lui qui lira le registre et suivra les demandes.

Ce qui change le choix

La convention ne fournit rien, aucun appui technique n’existe et les relances se perdent trimestre après trimestre : comparez alors un logiciel payant. Une grande collectivité avec service dédié peut partir directement sur un marché.

L’ordre à suivre

  1. L’outil de votre mutualisation, s’il existe.
  2. Le modèle de registre de la CNIL, pour une petite commune sans outil fourni.
  3. Madis, si votre structure ou votre service informatique l’exploite déjà ou peut l’exploiter.
  4. Logiciel payant, pour un besoin observé que Madis ne couvre pas ou sans personne pour l’exploiter.
  5. Marché public avec un service dédié, pour une grande collectivité.

Cinq situations de départ

Ces repères sont les nôtres : aucun texte lu ne fixe de seuil d’équipement pour une collectivité.

Le choix selon ce que vous avez déjà
Votre situationNotre choixCe qui ferait changer d’avis
La convention fournit un outil.Utilisez-le. Demandez un test de sortie du registre.Sortie impossible, ou outil que le délégué n’utilise pas lui-même.
Aucun outil, petite commune, peu de fiches.Modèle de la CNIL, fichier unique, une personne nommée.Une relance perdue une seconde fois, alors que le fichier a déjà été repris.
Aucun outil, plusieurs services, demandes régulières, appui informatique.Madis, en demandant d’abord à votre délégué s’il connaît une instance déjà exploitée.Personne pour les mises à jour et les sauvegardes.
Aucun outil, plusieurs services, pas d’appui informatique.Logiciel payant, sur le besoin précis constaté.Votre mutualisation propose finalement un outil.
Grande collectivité avec service dédié.Marché public, avec export et réversibilité écrits au cahier des charges.Une offre publique locale répond déjà au besoin.

Madis : gratuit à la licence, à exploiter ensuite

Madis est un logiciel libre conçu par Soluris, sous licence AGPL, maintenu en 2026 d’après son journal de versions. Sa documentation annonce un registre des traitements, des sous-traitants, des demandes et des violations, ainsi qu’une séparation par structure.

Sa documentation d’installation demande un serveur Linux, avec PHP, Nginx, une base de données et Node.js. Elle demande aussi une sauvegarde de la base avant chaque mise à jour. Nous n’avons pas trouvé de sauvegarde automatique ni de tarif d’adhésion à Soluris dans ce que nous avons lu.

La bonne question pour une commune porte donc sur la personne qui l’exploite. Si votre syndicat le fait pour vous, le sujet du serveur disparaît de votre côté. Si vous l’installez vous-même, prévoyez une personne pour l’exploiter dans la durée.

Quand le prestataire fournit l’outil : trois vérifications

Une structure qui vous apporte à la fois le délégué et l’outil pose des questions que l’achat d’un logiciel seul ne pose pas.

Première vérification : l’indépendance. La CNIL précise qu’une personne mutualisée installée dans une structure pouvant être sous-traitante de la collectivité, par exemple pour l’hébergement ou le développement d’outils, ne doit y être ni dirigeante ni donneuse d’ordre. Demandez comment c’est organisé.

Deuxième vérification : la sortie. La convention e-Collectivités lue prévoit la remise de tous les éléments en fin de mission, sans préciser le format du registre. Pour Gironde Numérique, la portabilité d’un registre Madis à la sortie n’apparaît pas dans le catalogue lu. Demandez un export complet à blanc, dès la première année.

Troisième vérification : la communication au public. Le registre d’un organisme public se communique après occultation. Assurez-vous que l’outil laisse sortir une copie que vous pourrez occulter.

Ce qu’un logiciel payant doit démontrer

Demandez à l’éditeur de rejouer un cas qui a échoué chez vous : une relance perdue, une demande de droits oubliée, un sous-traitant introuvable. Vérifiez aussi la version occultée et la sortie des données. S’il s’agit d’un achat, la commande publique s’applique selon vos règles internes : cette page ne les remplace pas, et nous n’avons pas lu le code de la commande publique pour un logiciel.

Limites de cette page

Aucun outil n’a été essayé. Le centre de gestion du Calvados ne mentionne pas d’outil dans les documents lus, sans que cela prouve l’absence d’outil. Pour e-Collectivités, le nom du logiciel n’apparaît pas dans la convention lue. Le temps d’administration de Madis reste inconnu : demandez-le à une structure qui l’exploite.

Prochaine action

Demandez par écrit à votre délégué ou à votre structure de mutualisation si la convention inclut un outil, lequel, et comment sortir un registre complet. Attendez cette réponse avant toute démonstration commerciale.

Preuves et sources

Lu le 5 novembre 2026 : l’offre du SICTIAM (déposée en septembre 2023), le catalogue de Gironde Numérique transmis le 30 juin 2026, les conventions e-Collectivités, l’offre du centre de gestion du Calvados, la documentation et le journal de versions de Madis (version 2.6.0 du 17 septembre 2026), la page CNIL sur le délégué en collectivité, datée du 7 février 2020, et sa page sur le registre.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode