Une petite commune doit-elle avoir un DPO ?

Oui. La CNIL écrit que le RGPD impose à toutes les structures publiques de désigner un délégué. Elle peut le mutualiser avec d'autres collectivités par convention.

Le secrétaire de mairie peut-il être DPO ?

La CNIL demande au maire de vérifier qu'il ne participe pas au circuit de décision sur les fichiers. Elle déconseille par principe de désigner un conseiller municipal.

Comment déclarer son DPO ?

Par le téléservice de la CNIL, qui sert aussi à remplacer le délégué ou à mettre fin à sa mission.

DPO obligatoire en collectivité : ce que dit la CNIL

Oui : la CNIL (Commission nationale de l'informatique et des libertés) écrit que « le RGPD impose à toutes les structures publiques de désigner un délégué » à la protection des données (DPO, pour data protection officer). Le RGPD est le règlement général sur la protection des données. Une commune, quelle que soit sa taille, une intercommunalité ou un syndicat intercommunal sont concernés. La CNIL admet la mutualisation : plusieurs collectivités peuvent partager un même délégué.

Ce que dit la CNIL, point par point

Question	Réponse de la CNIL
Qui doit désigner un DPO ?	Toutes les structures publiques
Peut-on le mutualiser ?	Oui, par convention : mise à disposition d'agents, prestation ou service commun
Auprès de qui ?	Commune, département, région, communauté de communes ou d'agglomération, métropole, syndicat intercommunal ou mixte, groupement d'intérêt public, agence technique départementale, centre de gestion, association d'élus
Quel profil ?	Connaissances en droit et pratique de la protection des données ; ni agrément, ni diplôme, ni statut imposés ; interne ou externe ; certification facultative
Prestataire externe ?	Lié par un contrat soumis aux règles de la commande publique
Indépendance	Rend compte au plus haut niveau, ne reçoit pas d'instructions sur ses missions, n'est pas sanctionné pour leur exercice
Conflit d'intérêts	Ne décide pas des finalités ni des moyens des traitements ; la fonction de directeur général des services est jugée particulièrement problématique
Secrétaire de mairie	Le maire vérifie qu'il ne participe pas au circuit de décision sur les fichiers
Conseiller municipal	Déconseillé par principe
Désignation	Par le téléservice de la CNIL, qui sert aussi à le remplacer ou à mettre fin à sa mission

La page de la CNIL sur le DPO en collectivité date du 22/07/2019 ; la page sur la désignation précise que les formulaires de mise à jour demandent le numéro de désignation et le numéro SIREN.

Les trois missions

Informer et conseiller la collectivité, ses élus et ses services, notamment sur les analyses d'impact.
Contrôler le respect du RGPD : il tient en général le registre des traitements et concentre ses efforts sur les risques les plus élevés. Il n'est pas personnellement responsable d'un manquement.
Être l'interlocuteur des personnes concernées et de la CNIL, et veiller aux délais de réponse aux demandes d'exercice des droits.

Le DPO et un projet d'assistant IA

Mettre en place un assistant qui lit les documents de la mairie, ou un chatbot sur le site, c'est un traitement de données : les conversations contiennent ce que les habitants écrivent. Associez le délégué dès le début :

il dit s'il faut inscrire le traitement au registre et sous quelle finalité ;
il vérifie que le contrat avec le prestataire comporte les clauses de l'article 28 du RGPD, que la CNIL exige dans les marchés passés avec un sous-traitant ;
il aide à trier les documents donnés à l'assistant (pas de fichier nominatif dans un assistant public) ;
il prépare la mention d'information aux habitants.

Ce qu'un assistant d'équipe peut faire pour le DPO

Un assistant interne alimenté avec le registre des traitements, les procédures de la collectivité et les fiches de la CNIL peut aider les agents à poser les bonnes questions : « Ce fichier des inscriptions à la cantine figure-t-il au registre ? », « Quelle procédure pour une demande d'accès d'un habitant ? ». Il renvoie au délégué pour tout ce qui demande une appréciation : base légale, durée de conservation discutée, violation de données.

Ressources

La page « collectivités territoriales » de la CNIL propose un guide pratique du RGPD pour les collectivités, des fiches pratiques, une affiche des « 6 bons réflexes » à diffuser aux agents, et des pages sur la sous-traitance et la commande publique. Pour le chatbot de la commune, voir le chatbot de mairie. Ce qui précède reprend les textes de la CNIL ; pour votre situation, voyez avec votre délégué ou la CNIL.