Logiciel RGPD pour collectivités et secteur public

Quel logiciel RGPD choisir pour une collectivité ? Une commune, une intercommunalité ou un établissement public a des besoins spécifiques qu’un outil généraliste ne couvre pas : la désignation d’un DPO est obligatoire (art. 37 du RGPD), le registre doit tenir des traitements communaux très variés (état civil, écoles, CCAS, vidéoprotection), et la mutualisation du DPO via un centre de gestion change la donne. Voici ce qu’un logiciel doit couvrir pour le secteur public et le comparatif des approches.

Points clés

• La désignation d’un DPO est obligatoire pour les autorités et organismes publics (art. 37.1.a du RGPD).
• La CNIL maintient une pression continue sur les collectivités : campagnes de mises en demeure et contrôles des communes.
• Le registre d’une collectivité couvre des traitements très hétérogènes : état civil, scolaire, social, vidéoprotection, téléservices.
• La mutualisation du DPO (centres de gestion, intercommunalités) impose un outil multi-entités.
• Le RGPD s’applique identiquement au public et au privé : la taille de la commune ne réduit pas les obligations.

Pourquoi les collectivités ont des besoins spécifiques

Contrairement à une entreprise, une collectivité ne choisit pas ses traitements : ils lui sont imposés par ses compétences légales. Une commune tient l’état civil, gère les inscriptions scolaires et périscolaires, le CCAS, parfois la vidéoprotection, l’urbanisme, les élections. Chacun de ces domaines génère des traitements de données personnelles, souvent sensibles (données sociales, données de santé au CCAS, données de mineurs à l’école).

Cette hétérogénéité rend le registre des traitements d’une collectivité plus complexe que celui d’une PME de taille comparable. Un logiciel adapté au secteur public propose des modèles de traitements pré-remplis pour ces domaines récurrents — un gain de temps considérable pour un service souvent sans juriste dédié. Nos guides RGPD pour les collectivités et collectivités territoriales détaillent ces obligations.

Le DPO obligatoire et sa mutualisation

L’art. 37.1.a impose à toute autorité ou organisme public de désigner un délégué à la protection des données. Peu de petites communes peuvent se doter d’un DPO à temps plein : la solution dominante est la mutualisation. Un même DPO — porté par un centre de gestion, une intercommunalité ou un syndicat mixte — exerce ses missions pour des dizaines de collectivités.

Cette mutualisation impose un logiciel multi-entités : le DPO mutualisé doit gérer, depuis un seul outil, le registre et les demandes de chaque collectivité adhérente, sans mélanger les données. C’est le critère technique numéro un pour le secteur public. Un outil mono-entité, même excellent, ne convient pas à un DPO qui suit trente communes.

La désignation d’un DPO ne se limite pas à cocher une case administrative : il faut le déclarer à la CNIL, lui donner les moyens d’exercer ses missions et documenter son action. Un DPO mutualisé qui suit des dizaines de collectivités sans outil adapté se retrouve vite débordé, incapable de tenir à jour trente registres ou de tracer les demandes de chaque commune. L’outil n’est donc pas un confort mais la condition pratique de l’effectivité de la mutualisation.

Les traitements sensibles d’une collectivité

Deux domaines exposent particulièrement les collectivités et méritent une attention spécifique de l’outil. La vidéoprotection d’abord : très encadrée, elle suppose une base légale claire, une information du public, des durées de conservation strictes et souvent une analyse d’impact (AIPD). La CNIL contrôle régulièrement les dispositifs communaux : caméras filmant la voie publique sans autorisation préfectorale, durées de conservation excessives, absence de signalétique, accès aux images non tracé. Un logiciel utile ne se contente pas de lister le traitement dans le registre : il déclenche l’AIPD, rappelle le délai de conservation par défaut (souvent un mois) et documente qui accède aux images. Les téléservices ensuite : dès qu’une commune met en ligne un portail (inscriptions scolaires, demandes d’état civil, paiement en ligne), elle traite des données en nombre et doit garantir leur sécurité, souvent en s’appuyant sur le référentiel général de sécurité (RGS). Un logiciel adapté au secteur public intègre des modèles pour ces traitements sensibles et rappelle les obligations associées, plutôt que de laisser une collectivité les découvrir lors d’un contrôle.

Les critères de choix, point par point

Au-delà des grandes approches, quelques critères concrets départagent les outils pour une collectivité :

• Modèles de traitements publics pré-remplis : état civil, listes électorales, cantine et périscolaire, CCAS, urbanisme. Ils évitent de reconstruire chaque fiche et garantissent que rien n’est oublié.
• Gestion multi-entités étanche : un DPO mutualisé doit basculer d’une commune à l’autre sans jamais mélanger les données, avec un cloisonnement des droits par collectivité.
• Hébergement souverain : données hébergées dans l’UE, idéalement qualifié SecNumCloud pour les traitements les plus sensibles.
• Suivi des demandes d’exercice de droits par entité, avec traçabilité des délais de réponse.
• Articulation avec la notification de violation : registre des incidents et modèle de notification CNIL prêts à l’emploi.
• Reporting pour l’élu référent : un tableau de bord de conformité lisible par un maire ou un DGS, qui n’est pas juriste.

Ces critères, plus que le prix, déterminent l’adoption réelle de l’outil par un service souvent en sous-effectif.

Comparatif des approches pour le secteur public

Le choix se fait sur deux axes : la présence de modèles de traitements publics (qui évitent de repartir de zéro sur l’état civil ou le scolaire) et la gestion multi-entités (indispensable en mutualisation). Un troisième critère, souvent décisif pour le secteur public, est l’hébergement des données dans l’UE, voire la qualification SecNumCloud pour les traitements les plus sensibles : une collectivité manipule des données de citoyens et ne peut se permettre de les confier à un hébergeur soumis à des législations extra-européennes. Beaucoup de collectivités passent par la solution retenue par leur centre de gestion, ce qui garantit la cohérence à l’échelle départementale. Legiscope, comme d’autres plateformes européennes hébergées dans l’UE, adresse cette logique multi-entités ; le comparatif du meilleur logiciel RGPD élargit l’analyse aux critères généraux.

Au-delà du RGPD : la NIS2 pour les collectivités

Les collectivités doivent désormais compter avec un second cadre : la directive NIS2, dont la transposition française fait entrer de nombreuses collectivités dans le périmètre des entités importantes ou essentielles. Un outil de conformité qui articule RGPD et obligations NIS2 des collectivités évite de dédoubler la cartographie des systèmes et la gestion des incidents. Pour une collectivité, mutualiser ces deux dispositifs est un levier d’efficacité réel, d’autant que les mêmes services et les mêmes actifs sont concernés.

FAQ

Une petite commune doit-elle désigner un DPO ?

Oui. L’art. 37.1.a impose la désignation d’un DPO à toute autorité publique, quelle que soit sa taille. Une petite commune remplit cette obligation par la mutualisation : un DPO porté par le centre de gestion ou l’intercommunalité, partagé entre plusieurs collectivités, avec un coût réparti.

Quel logiciel RGPD pour une intercommunalité ?

Un outil multi-entités, capable de gérer distinctement le registre et les demandes de chaque commune membre depuis une interface unique, sans mélanger les données. La présence de modèles de traitements publics (état civil, scolaire, social) est un critère fort, car elle évite de reconstruire chaque registre de zéro.

La CNIL contrôle-t-elle les collectivités ?

Oui, activement. La CNIL mène des campagnes de mises en demeure et de contrôles visant les collectivités, notamment sur la désignation du DPO, la vidéoprotection et la sécurité des téléservices. Le secteur public est explicitement une priorité de son action de contrôle.

Les données des citoyens doivent-elles être hébergées en France ?

Le RGPD n’impose pas une localisation en France, mais interdit tout transfert hors UE sans garanties appropriées. Pour une collectivité qui manipule des données de citoyens, y compris sensibles, un hébergement dans l’UE est le minimum, et la qualification SecNumCloud est recommandée pour les traitements les plus critiques. Confier ces données à un hébergeur soumis à une législation extra-européenne (comme le Cloud Act américain) expose la collectivité à un risque juridique et politique difficile à assumer devant ses administrés.

Un tableur suffit-il pour une commune ?

Seulement pour une très petite commune aux traitements minimaux, et encore. La diversité des traitements communaux (état civil, écoles, CCAS, vidéoprotection) et l’obligation de démontrer la conformité rendent le tableur vite insuffisant. Un outil qui propose des modèles publics et trace les mises à jour fait gagner un temps décisif.

Conclusion

Le logiciel RGPD d’une collectivité ne se choisit pas comme celui d’une entreprise : il doit gérer un registre de traitements imposés et hétérogènes, s’inscrire dans un dispositif de DPO mutualisé, et donc être nativement multi-entités. La pression de contrôle de la CNIL sur le secteur public rend cette conformité non négociable, y compris pour les petites communes. Les deux critères qui font la différence sont les modèles de traitements publics pré-remplis et la gestion multi-entités pour le DPO mutualisé. Et parce que la NIS2 s’ajoute désormais au RGPD, mieux vaut un outil capable d’articuler les deux dispositifs sur les mêmes actifs.