RGPD mairie : la conformité du site communal

Le RGPD s'applique à toutes les communes, sans seuil de population. Une mairie traite des données personnelles dès le premier jour : état civil, listes électorales, inscriptions scolaires et périscolaires, cantine, cimetière, fichier des associations, demandes reçues par le site. Elle est donc responsable de traitement, au même titre qu'une grande collectivité — avec, le plus souvent, aucun service dédié pour s'en occuper.

Cette page distingue deux choses que l'on confond souvent : les obligations générales de la commune, qui dépassent largement le site internet, et ce qui se joue sur le site lui-même — la partie que le choix d'une solution règle ou aggrave.

Obligations de la commune

Quatre chantiers qui relèvent de la mairie

Aucun prestataire de site ne peut les tenir à votre place. Autant savoir où vous en êtes.

👤

Désigner un DPO

L'article 37 du RGPD impose un délégué à la protection des données à toute autorité publique, sans condition de taille. Il peut être un agent, un DPO mutualisé à l'échelle de l'intercommunalité ou du centre de gestion, ou un prestataire. Il doit être déclaré à la CNIL — et ce ne peut être ni le maire, ni un adjoint, ni un conseiller délégué.

📒

Tenir le registre des traitements

Prévu à l'article 30, il recense chaque traitement : finalité, données collectées, personnes concernées, destinataires, durée de conservation, mesures de sécurité. C'est le premier document demandé en cas de contrôle, et le plus souvent absent dans les petites communes.

📢

Informer les habitants

Chaque formulaire — inscription scolaire, demande de salle, signalement, newsletter — doit indiquer pourquoi les données sont collectées, combien de temps elles sont conservées et comment exercer ses droits. L'information doit être donnée au moment de la collecte, pas enfouie dans une page.

🔐

Sécuriser et encadrer

Mots de passe, droits d'accès limités au nécessaire, sauvegardes, et un contrat écrit avec chaque sous-traitant. Une violation de données doit être notifiée à la CNIL sous 72 heures — ce qui suppose de savoir qu'elle a eu lieu.

Ce qui se joue sur le site lui-même

C'est la partie où le choix de la solution fait toute la différence — et celle où la plupart des sites communaux sont en défaut sans que personne à la mairie ne le sache, parce que le problème est invisible à l'écran.

Les traceurs tiers : le piège le plus courant

Un site construit sur un thème du commerce charge presque toujours des ressources depuis des serveurs extérieurs : des polices d'écriture chargées depuis Google, une carte Google Maps pour situer la mairie, une vidéo YouTube intégrée, un pixel Facebook hérité d'un ancien prestataire, un outil de mesure d'audience. Chacun de ces appels transmet à une société tierce l'adresse IP de votre visiteur, la page qu'il consulte et souvent bien davantage — sans qu'il l'ait choisi, et sans que la commune l'ait voulu.

Pour une mairie, c'est doublement gênant : ces transferts doivent être justifiés et documentés, et il est difficile d'expliquer à un habitant que consulter les horaires de sa mairie a prévenu trois sociétés américaines.

La solution la plus simple n'est pas de les encadrer : c'est de ne pas en avoir. Polices installées avec le site, cartes servies depuis un fond de plan libre, aucun script externe. C'est le parti pris de HelloMairie : aucun appel n'est fait vers Google, Facebook ou Amazon.

Le bandeau cookies : présent ne veut pas dire conforme

Un bandeau doit permettre de refuser aussi facilement que d'accepter, présenter le choix par finalité, et surtout ne rien déposer avant le consentement. Or l'erreur la plus répandue est le bandeau décoratif : il s'affiche, mais les traceurs ont déjà été déposés au chargement de la page. Juridiquement, il ne sert alors à rien — il documente même le manquement.

Quand un site n'utilise aucun traceur non essentiel, la question devient beaucoup plus simple à traiter : il n'y a rien à faire consentir.

Les formulaires du site

Chaque formulaire est un traitement de données : demande de rendez-vous, inscription à la cantine, réservation de salle, signalement de voirie, newsletter. Il doit porter sa mention d'information, ne collecter que le nécessaire, et prévoir une durée de conservation. Une inscription au recensement citoyen n'a pas à rester en base pendant dix ans.

L'hébergement et les transferts

Où sont physiquement les données de vos habitants ? Un hébergement hors de l'Union européenne, ou chez une société soumise à une législation extraterritoriale, vous oblige à documenter des garanties supplémentaires. Les sites et données HelloMairie sont hébergés en France. C'est une question à poser à tout prestataire, et la réponse doit être écrite dans le contrat.

Le document que beaucoup de communes n'ont jamais reçu

Le prestataire qui héberge votre site et traite les données pour votre compte est un sous-traitant au sens de l'article 28 du RGPD. Cela impose un contrat écrit encadrant ses obligations : sécurité, confidentialité, sous-traitance ultérieure, assistance en cas de violation, sort des données en fin de contrat. Un contrat de sous-traitance conforme à l'article 28 est remis avec le contrat HelloMairie. Si votre prestataire actuel ne vous en a jamais fourni, c'est un manquement à régulariser — et une question à lui poser dès aujourd'hui.

Ce que le socle prend en charge

Ce qui est réglé nativement, et ce qui reste à faire

Répartition des responsabilités entre la commune et la solution
Sujet	Qui s'en charge
Absence de traceurs tiers sur le site	Le socle — aucun appel vers Google, Facebook ou Amazon.
Bandeau cookies par finalité	Le socle — géré nativement, rien déposé avant consentement.
Hébergement des données en France	Le socle — compris dans l'abonnement.
Mentions légales, confidentialité, cookies	Le socle — pages générées, modifiables depuis le back-office.
Contrat de sous-traitance article 28	Remis avec le contrat.
Mentions d'information sur les formulaires	Partagé : le cadre est fourni, le texte relève de la commune.
Désignation et déclaration du DPO	La commune.
Registre des traitements	La commune, avec son DPO.
Durées de conservation des demandes reçues	La commune — décision d'organisation.

Autrement dit : le site ne rend pas une commune conforme au RGPD, et aucun prestataire honnête ne vous dira le contraire. Ce qu'un bon socle fait, c'est supprimer toute une catégorie de problèmes — ceux qui viennent de la technique et que la mairie ne peut ni voir ni corriger — pour vous laisser traiter les sujets qui relèvent vraiment de votre organisation.

L'autre obligation qui va avec : l'accessibilité RGAA →

Que risque concrètement une commune ?

La CNIL peut prononcer une mise en demeure — parfois rendue publique — et une amende administrative. Pour une mairie, la publicité de la décision pèse généralement plus lourd que le montant : elle est reprise localement, et elle tombe rarement au bon moment.

Mais le risque le plus concret n'est pas la sanction : c'est la violation de données. Un site communal construit sur un CMS non maintenu finit par être compromis — c'est une question de temps, pas de chance. Le jour où un fichier d'habitants, une liste d'inscrits à la cantine ou une base de contacts se retrouve exposé, la commune doit le notifier à la CNIL sous 72 heures et, selon la gravité, informer les personnes concernées une à une. C'est à ce moment-là que l'absence de registre, de DPO et de contrat de sous-traitance devient un vrai problème.

Questions fréquentes

RGPD et mairies : vos questions

Le RGPD s'applique-t-il aux petites communes ?

Oui, sans aucun seuil de population. Une commune de 300 habitants traite déjà des données personnelles : état civil, listes électorales, inscriptions scolaires, cantine, cimetière, fichier des associations, formulaires du site. Elle a les mêmes obligations qu'une grande ville, avec moins de moyens — d'où l'intérêt de la mutualisation.

Une mairie doit-elle désigner un DPO ?

Oui. L'article 37 du RGPD impose la désignation d'un délégué à la protection des données à toute autorité ou organisme public, sans condition de taille. Le DPO peut être un agent de la commune, un agent mutualisé au niveau de l'intercommunalité ou du centre de gestion, ou un prestataire externe. Il doit être déclaré à la CNIL. Le maire, ses adjoints et les conseillers municipaux délégués ne peuvent pas exercer cette mission pour leur propre commune.

Qu'est-ce que le registre des traitements d'une commune ?

Prévu par l'article 30 du RGPD, c'est le document qui recense tous les traitements de données personnelles de la commune : pour chacun, sa finalité, les catégories de données, les personnes concernées, les destinataires, la durée de conservation et les mesures de sécurité. Il doit être tenu à jour et pouvoir être présenté à la CNIL. C'est le premier document demandé en cas de contrôle.

Le site de la mairie peut-il utiliser Google Analytics ou Google Fonts ?

Ces services font partir des données de vos visiteurs — dont leur adresse IP — vers des serveurs de sociétés américaines, souvent sans que la commune en ait conscience. Le plus simple pour une mairie est de ne pas en dépendre du tout : polices, cartes et mesure d'audience hébergées avec le site. C'est le choix retenu par HelloMairie, où aucun appel n'est fait vers Google, Facebook ou Amazon.

Quel bandeau cookies pour le site d'une mairie ?

Un bandeau conforme doit permettre de refuser aussi facilement que d'accepter, présenter le choix par finalité, et surtout ne déposer aucun traceur non essentiel avant que l'utilisateur ait consenti. Beaucoup de sites communaux affichent un bandeau alors que les traceurs sont déjà déposés : le bandeau ne sert alors à rien juridiquement.

Faut-il un contrat avec le prestataire du site ?

Oui. Le prestataire qui héberge et traite les données pour le compte de la commune est un sous-traitant au sens de l'article 28 du RGPD, ce qui impose un contrat écrit encadrant ses obligations. Un contrat de sous-traitance conforme à l'article 28 est remis avec le contrat HelloMairie. Si votre prestataire actuel ne vous en a jamais fourni, c'est un manquement à régulariser.

Que risque une commune en cas de manquement au RGPD ?

La CNIL peut prononcer une mise en demeure — parfois rendue publique — et une amende administrative. Pour une commune, la publicité de la décision pèse souvent plus lourd que la sanction financière. Le risque le plus concret reste cependant la violation de données : un fichier d'habitants exposé à la suite d'un site non maintenu doit être notifié à la CNIL et, selon les cas, aux personnes concernées.

Où sont hébergées les données du site de la commune ?

Les sites et les données HelloMairie sont hébergés en France. C'est un point à vérifier systématiquement : un hébergement hors de l'Union européenne, ou chez une société soumise à une législation extraterritoriale, soulève la question des transferts de données et vous oblige à documenter des garanties supplémentaires.

Textes et ressources de référence

CNIL — espace collectivités territoriales : fiches pratiques et modèles adaptés aux communes.
CNIL — désignation du délégué à la protection des données : formulaire de déclaration.
Règlement (UE) 2016/679 (RGPD), article 30 — registre des activités de traitement ; article 37 — désignation du délégué ; article 28 — contrat de sous-traitance.

Cette page a une visée d'information générale et ne constitue pas un conseil juridique. Pour votre situation, rapprochez-vous de votre délégué à la protection des données.

Application mobile de la commune : aucun compte à créer, aucune publicité, aucun traceur

Comprise dans l'abonnement · 0 € de plus

Une application sans compte et sans publicité

L'application mobile de votre commune suit la même règle que le site : aucun compte à créer pour vos habitants, aucune publicité, aucun traceur publicitaire. Un habitant reçoit les alertes de sa mairie sans avoir à livrer son identité à qui que ce soit.

Gratuite pour vos habitants
Sans compte, sans publicité
Alertes même application fermée

App Store Google Play Voir l'application →

RGPD : la conformité du site de votre mairie