DPO en collectivité territoriale : un poste obligatoire et structurant

Toute mairie, communauté de communes, département ou région doit désigner un DPO (Délégué à la protection des données). Cette obligation découle directement de l’article 37 du Règlement général sur la protection des données (RGPD) et ne souffre aucune exception liée à la taille de la collectivité. Un DPO collectivité de 800 habitants reste juridiquement nécessaire au même titre qu’un DPO de métropole. La différence se joue sur les modalités de désignation, le profil retenu et les ressources mobilisées, pas sur le principe.

L’obligation de désignation issue de l’article 37 du RGPD

L’article 37, paragraphe 1, point a, du RGPD impose la désignation d’un DPO à toutes les autorités et organismes publics, à la seule exception des juridictions agissant dans l’exercice de leur fonction juridictionnelle. La Commission nationale de l’informatique et des libertés (CNIL) en a tiré une lecture sans ambiguïté : communes, intercommunalités, syndicats mixtes, départements, régions, services départementaux d’incendie et de secours, centres communaux d’action sociale (CCAS), offices publics de l’habitat, établissements publics locaux d’enseignement entrent tous dans le champ.

Pour une commune, peu importe qu’elle compte 200 ou 200 000 habitants. Dès lors qu’elle traite des données à caractère personnel pour gérer l’état civil, la liste électorale, les inscriptions scolaires, les régies de cantine ou les fichiers du personnel, elle exerce une activité de responsable de traitement et doit nommer un délégué. Le défaut de désignation expose à une sanction de la CNIL, qui peut aller jusqu’à 20 millions d’euros pour les organismes publics, même si l’autorité privilégie le rappel à l’ordre et la mise en demeure pour les structures de petite taille.

Le DPO commune ainsi désigné doit être déclaré à la CNIL via le téléservice dédié, avec ses coordonnées, son rattachement hiérarchique et son périmètre. Cette déclaration est gratuite et obligatoire.

Trois options de désignation pour une collectivité

La fonction publique territoriale offre une souplesse que peu d’autres secteurs connaissent. Trois schémas sont juridiquement valables et pratiqués sur le terrain.

DPO interne : un agent territorial dédié

Le DPO interne est un agent de la collectivité, titulaire ou contractuel, qui exerce la fonction sur tout ou partie de son temps. Ce schéma convient aux grandes collectivités : métropoles, départements peuplés, régions, grandes villes. Le DPO mairie interne y bénéficie d’une connaissance fine des services, d’un accès direct aux dossiers et d’une présence quotidienne sur le terrain.

Pour les communes intermédiaires, ce mode reste possible mais suppose qu’aucun conflit d’intérêts n’apparaisse. Cumuler la fonction de DPO avec celle de directeur des systèmes d’information ou de directeur général des services est déconseillé par la CNIL, qui voit dans ces fonctions un pouvoir de décision sur les traitements incompatible avec le contrôle indépendant qu’exige l’article 38 du RGPD. Le rattachement hiérarchique du DPO doit remonter au plus haut, en pratique au maire ou au directeur général.

DPO mutualisé via le centre de gestion

C’est la voie la plus répandue pour les communes de petite et moyenne taille. Les centres de gestion de la fonction publique territoriale (CDG), un par département, proposent depuis 2018 un service de DPO mutualisé. Plusieurs dizaines voire centaines de communes adhèrent à un même contrat et partagent le même délégué, sous la coordination du centre de gestion.

Le mécanisme convient particulièrement à une mairie de 5 000 habitants qui ne peut justifier ni le coût ni la charge d’un poste dédié. Le centre de gestion mutualise la veille, les modèles de registre, les analyses d’impact types et l’accompagnement des élus. Le coût est lissé entre adhérents et l’on évite la dispersion des pratiques sur un même territoire.

La CNIL admet ce schéma sous trois conditions claires. Le délégué mutualisé doit être aisément joignable depuis chaque collectivité adhérente. Il doit avoir une connaissance suffisante du contexte de chacune, ce qui suppose des points réguliers et un référent local. Aucun conflit d’intérêts ne doit naître entre les adhérents servis. Pour une métropole de 400 000 habitants, ce mode atteint vite ses limites : la mutualisation reste pertinente pour les structures comparables, pas pour les grands ensembles.

DPO externe : un prestataire spécialisé

Le DPO externe est un cabinet de conseil ou un consultant indépendant, retenu par marché public. Ce mode convient aux collectivités de taille moyenne qui souhaitent une expertise très pointue sans recruter, ou aux établissements publics locaux qui ne sont pas adhérents d’un centre de gestion.

L’avantage tient à la spécialisation et à la mutualisation des veilles. La limite est connue : la présence est moins régulière et le périmètre contractuel doit être cadré finement, pour éviter qu’une notification de violation ou une demande d’exercice de droit reste sans réponse pendant les périodes creuses.

Spécificités du secteur public local

Un DPO en collectivité ne traite pas les mêmes sujets qu’un DPO en banque ou en e-commerce. Quatre familles de traitements concentrent l’essentiel du travail.

L’état civil d’abord, avec le registre des actes de naissance, mariage et décès, la délivrance des copies et extraits, la gestion des recensements. Ces traitements reposent sur une base légale d’obligation légale et leur durée de conservation suit des règles d’archivage publiques très strictes.

Le secteur scolaire et périscolaire ensuite. Inscriptions, cantines, garderies, transports, accueils de loisirs, classes de découverte, activités sportives municipales : tout cela manipule des données d’enfants, parfois sensibles (allergies, certificats médicaux, situations familiales). La sensibilité des données impose une vigilance accrue et souvent une analyse d’impact dédiée.

Le volet social couvre le CCAS, les aides facultatives, les logements communaux, les actions en faveur des seniors et des personnes en situation de handicap. Les données relatives aux ressources, à la santé ou à la situation familiale relèvent souvent des catégories particulières de l’article 9 du RGPD.

Les ressources humaines des agents territoriaux, enfin, constituent un chantier permanent : paie, NBI, primes, évaluations, formations, instances paritaires, médecine professionnelle. Le statut de la fonction publique territoriale ajoute ses propres contraintes au cadre RGPD.

À cette colonne vertébrale s’ajoutent les sujets transverses : vidéoprotection sur la voie publique, sites internet et réseaux sociaux institutionnels, dispositifs de contrôle d’accès, systèmes biométriques en cantine, applications citoyennes, open data. Chaque famille appelle ses propres registres et ses propres analyses d’impact.

Profil idéal et formation continue

Un DPO collectivité performant combine trois compétences. Une culture juridique solide, à dominante droit public et statut de la fonction publique territoriale. Une sensibilité aux systèmes d’information, sans être ingénieur : comprendre les progiciels métiers (Berger-Levrault, JVS-Mairistem, Ciril), les logiques de cloud public, la sécurité des postes des agents. Une fibre pédagogique enfin, car la fonction repose largement sur la sensibilisation des élus, des cadres et des agents de terrain.

Le profil idéal allie un diplôme juridique (master de droit public, droit du numérique ou administration publique) et une certification dédiée (référentiel CNIL, CIPP/E). Pour la formation continue, deux acteurs structurent le marché public local. Le CNFPT (Centre national de la fonction publique territoriale) propose des modules courts et des itinéraires de professionnalisation pour les agents en poste. Son département Inset (Institut national spécialisé d’études territoriales), à Angers, Dunkerque, Montpellier et Nancy, organise des cursus plus poussés à destination des cadres et de la filière administrative.

Pour aller plus loin sur les compétences, les missions et les voies d’accès au métier au-delà du seul secteur public, consultez notre guide complet pour devenir Délégué à la protection des données.

Recruter ou contractualiser : comment choisir

La taille de la collectivité reste le premier critère. Une mairie de 5 000 habitants gagne presque toujours à passer par le centre de gestion départemental : coût maîtrisé, mutualisation des outils, point de contact identifié. La métropole, le département ou la région ont au contraire intérêt à internaliser la fonction, voire à constituer une équipe protection des données autour d’un DPO chef de file, avec des relais juridiques et techniques.

Entre les deux, la commune de 30 000 habitants ou la communauté d’agglomération doit arbitrer. Le choix entre un DPO interne, un DPO mutualisé et un DPO externe se joue sur le volume de traitements sensibles, la maturité numérique des services et la trajectoire politique de l’exécutif. Pour aller plus loin sur ce dilemme structurant, voir notre comparatif détaillé entre les avantages et limites du DPO interne face au DPO externalisé.

Quel que soit le mode retenu, la collectivité reste responsable du traitement au sens du RGPD. Le DPO conseille, contrôle, alerte. Il ne se substitue pas à l’autorité hiérarchique ni à l’élu décisionnaire. Cette répartition des rôles, parfois mal comprise au démarrage, est la clé d’une fonction efficace et apaisée dans le temps long de la collectivité.