Aller au contenu principal
Quel logiciel RGPD

Petite commune : comment répondre à l’obligation de DPO ?

Pour qui : Vous êtes secrétaire de mairie. La commune n’a pas de délégué à la protection des données (DPO), ou le sujet revient après un courrier ou un changement d’équipe. Le maire vous demande quoi faire, avec un budget et un temps limités.

Votre commune doit désigner un délégué à la protection des données, la personne chargée de conseiller la mairie et de contrôler le respect du RGPD. Commencez par téléphoner à votre centre de gestion ou à votre syndicat numérique, et demandez le projet de convention. Ne commencez pas par un logiciel.

Le jour où la convention est signée, deux choses restent à faire chez vous : nommer une personne de contact en mairie et décider qui remplit le registre. Le maire reste responsable : le délégué conseille et contrôle sans prendre cette responsabilité.

Notre avis

Votre commune doit désigner un DPO. Appelez d’abord votre centre de gestion ou votre syndicat numérique et demandez leur convention. N’achetez aucun logiciel avant cet appel.

Pourquoi

  • Le RGPD impose un DPO à tout organisme public : la petite taille ne vous en dispense pas, et un simple référent interne ne suffit pas.
  • La CNIL présente la mutualisation comme une solution adaptée aux plus petites collectivités, avec un délégué qui connaît le secteur public local.
  • Le registre d’une petite commune peut contenir moins d’une dizaine de fiches selon la CNIL : ce volume ne justifie pas à lui seul un achat.
  • Certaines offres mutualisées lues incluent déjà un logiciel. L’acheter avant de le savoir revient à risquer de le payer deux fois.

Ce qui change le choix

Aucune structure publique ne couvre votre commune, ou son offre laisse sans réponse un besoin précis, comme une présence régulière en mairie : regardez alors une mutualisation entre communes, puis un DPO externe.

L’ordre à suivre

  1. Centre de gestion ou syndicat numérique qui couvre votre commune.
  2. Intercommunalité ou autre structure publique locale qui mutualise déjà un délégué.
  3. DPO externe privé, si aucune offre locale n’existe ou si un besoin précis reste sans réponse.
  4. Agent interne, s’il a du temps et ne décide pas des fichiers.

Qui appeler, et dans quel ordre

Cet ordre est notre avis. Il suit le coût publié, la connaissance du secteur public local et le temps de mise en route. Tous les territoires n’ont pas la même offre : nous n’avons pas trouvé de liste nationale dans ce que nous avons lu.

Les quatre pistes pour une petite commune
OrdrePisteQuand la retenirPoint à vérifier
1Centre de gestion ou syndicat mixte numériquePar défaut, s’il couvre votre commune.Le projet de convention, le tarif de votre strate et la personne qui remplit le registre.
2Intercommunalité, agence technique départementale ou autre structure publiqueSi l’appel précédent n’aboutit pas ou si votre intercommunalité mutualise déjà.La convention écrite, obligatoire en cas de mutualisation.
3DPO externe privéAucune offre locale, ou besoin précis non couvert.Le contrat relève de la commande publique. Demandez à la personne qui passe vos marchés quelle procédure s’applique.
4Agent de la communeAgent disponible, formé ou à former, qui ne décide pas des fichiers.Le temps réellement dégagé et l’absence de conflit d’intérêts.

Pourquoi éviter de vous désigner vous-même

La CNIL signale que les secrétaires de mairie sont souvent pressentis dans les petites collectivités, et cite deux difficultés : le manque de temps et le conflit d’intérêts. Avant une telle désignation, le maire doit vérifier que la personne ne prend aucune part aux décisions sur les fichiers : objectifs, données, destinataires, durées de conservation, mesures de sécurité. Dans une mairie à une ou deux personnes, cette condition se tient mal à notre avis.

La CNIL déconseille aussi de désigner un conseiller municipal, parce qu’il participe aux décisions de l’assemblée. Elle admet que cette démarche puisse se comprendre à titre transitoire. Elle ne la recommande pas pour autant.

Deux tarifs publiés pour fixer un ordre de grandeur

Au centre de gestion du Calvados, selon sa grille reprise en février 2026, une commune de moins de 1 000 habitants paie 400 € la première année, puis 200 € par an. Taxes non précisées, déplacements inclus. Dans le Nord, une délibération d’avril 2026 mentionne 50 € de l’heure, sans le nombre d’heures. Ces montants ne valent que pour leur territoire.

Votre travail une fois la convention signée

La délibération de Pont-à-Marcq engage la commune à nommer un référent local, interlocuteur du délégué. Le registre se répartit différemment selon les structures : dans l’offre hors mutualisation de Gironde Numérique, l’abonnement socle prévoit une saisie par la collectivité ; dans le Calvados, le centre de gestion produit l’ossature et assiste la commune.

La désignation passe par le service en ligne de la CNIL, sans lui envoyer ni délibération ni arrêté. Une délibération locale peut rester nécessaire : le centre de gestion du Calvados prévoit une convention signée après délibération de l’assemblée.

  1. Demandez combien de collectivités suit chaque délégué et sous quel délai il répond. Ces informations ne figurent pas dans les grilles lues.
  2. Demandez qui remplit le registre et qui le met à jour. Le temps à prévoir en mairie en dépend.
  3. Demandez si un logiciel est inclus et comment récupérer vos données à la sortie. Sans réponse écrite, considérez que rien n’est prévu.
  4. Lisez la durée et le préavis avant la délibération. Les conventions lues vont d’un an avec préavis de trois mois à trois ans renouvelables.

Limites de cette page

Nous n’avons lu ni le code général des collectivités territoriales ni le droit de la fonction publique territoriale, seulement la présentation qu’en donne la CNIL, dont la page date de 2020. Les grilles viennent de quelques structures, sans valeur nationale. Votre interlocuteur local tranche pour votre commune.

Prochaine action

Appelez votre centre de gestion cette semaine et demandez le projet de convention de DPO mutualisé avec le tarif de votre strate. S’il ne propose rien, interrogez votre intercommunalité et le syndicat numérique du département.

Preuves et sources

Lu le 5 novembre 2026 : l’article 37 du RGPD dans le texte publié par la CNIL ; la page CNIL sur le délégué en collectivité, datée du 7 février 2020 ; le guide CNIL des délégués ; la page CNIL sur la désignation, datée du 3 avril 2026 ; les offres ou conventions de quatre structures publiques : centres de gestion du Calvados et du Nord, syndicats mixtes Gironde Numérique et e-Collectivités.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode