Étude 2026 : 43 % des communes françaises n’ont toujours pas de délégué à la protection des données

Huit ans après l’entrée en application du Règlement Général sur la Protection des Données (RGPD), 15 074 communes françaises sur 34 875 n’ont toujours pas déclaré de Délégué à la Protection des Données (DPO) auprès de la CNIL, soit 43,2 % d’entre elles. C’est le principal enseignement d’une étude rigoureuse que nous publions aujourd’hui, conduite commune par commune sur l’ensemble du territoire, métropole et outre-mer compris, à partir des seules données publiques. Son résultat le plus inattendu ne tient pas à ce chiffre alarmant, mais à son explication : le retard des communes ne s’explique ni par leur taille, ni par leurs moyens financiers. Il s’explique par leur département d’appartenance, et plus précisément par la performance (ou l’absence) d’une structure de mutualisation et d’accompagnement de proximité. Cet article décrypte les causes de ce retard national et propose des solutions concrètes pour les collectivités. Le rapport complet et sa version interactive sont accessibles librement au bas de cet article.

Ce que l’étude a mesuré 

L’article 37 du RGPD impose depuis le 25 mai 2018 à tout organisme public de désigner un délégué à la protection des données. L’obligation ne comporte aucun seuil et ne souffre aucune exception : elle vaut pour la métropole de plusieurs centaines de milliers d’habitants comme pour la commune rurale de cinquante âmes. Le même article prévoit d’ailleurs expressément, en son paragraphe 3, que plusieurs autorités publiques peuvent désigner un délégué unique compte tenu de leur taille et de leur structure organisationnelle.

Cette universalité se comprend dès lors que l’on considère la nature de l’activité communale. Une mairie, quelle que soit sa taille, gère l’état civil, tient les listes électorales, procède aux inscriptions scolaires et périscolaires, instruit l’aide sociale par l’intermédiaire de son Centre Communal d’Action Sociale (CCAS), exploite parfois des dispositifs de vidéoprotection et administre les données de ses agents. Elle figure ainsi, structurellement, parmi les responsables de traitement les plus exposés.

Une précision de vocabulaire s’impose avant d’aller plus loin. Le fichier ouvert de la CNIL n’enregistre pas les désignations elles-mêmes, mais les notifications de désignation. Une commune ayant désigné un délégué sans en informer la CNIL y figure donc comme dépourvue. Dans toute l’étude, « commune ayant désigné » signifie ainsi « commune ayant notifié sa désignation ».

Il faut également mesurer exactement ce que la désignation atteste, et ce qu’elle n’atteste pas. Elle représente le premier acte de la mise en conformité, son préalable, et non son aboutissement. Une commune peut parfaitement avoir déclaré un délégué à la CNIL sans avoir constitué son registre des traitements, sans avoir sécurisé ses systèmes d’information ni satisfait à son obligation d’information des personnes. Le taux de désignation constitue donc une borne haute de la conformité réelle : il en donne l’estimation la plus favorable possible. Si plus de quatre communes sur dix n’ont pas même accompli ce premier geste, l’ampleur du chantier restant est en réalité considérablement supérieure.

Plus de quatre communes sur dix n’ont pas franchi la première marche 

Au 6 juillet 2026, sur les 34 875 communes françaises recensées par le Code officiel géographique de l’INSEE, 19 801 avaient déclaré un délégué à la protection des données, soit 56,8 %. Il en résulte que 15 074 communes n’en avaient toujours pas désigné.

Rapporté à la population, le constat prend une autre dimension : 12,4 millions d’habitants, près d’un Français sur cinq, résident dans une commune dépourvue de délégué. Cette proportion concerne 43,2 % des communes mais seulement 18,1 % de la population, ce qui signifie que les communes sans délégué sont en moyenne moins peuplées que les autres.

L’échelon intercommunal se porte mieux sans être satisfaisant. Parmi les communautés de communes et les communautés d’agglomération, 1 002 sur 1 219 ont désigné un délégué, soit 82,2 %. Cependant, la désignation par l’intercommunalité n’entraîne pas mécaniquement celle de ses communes membres. L’étude établit que près de douze mille communes demeurent sans délégué alors que leur intercommunalité en a un.

L’absence de délégué n’est pas un manquement seulement formel. Parmi les communes disposant d’un site internet, 35,6 % n’ont pas de délégué ; la proportion reste de 31,5 % parmi celles qui offrent un téléservice à leurs administrés. Plus inquiétant, parmi les communes de 1 500 habitants et plus, tenues de constituer un CCAS, 24,3 % n’ont pas de DPO. De même, 37,0 % des communes gérant au moins une école publique, et manipulant donc des données concernant des mineurs, n’ont pas davantage de délégué.

Une géographie en archipel : de 6,6 % à 100 % selon le département 

La moyenne nationale ne correspond à la réalité d’aucun territoire. D’un département à l’autre, l’écart est considérable : la Charente-Maritime a doté d’un délégué la totalité de ses 462 communes quand la Haute-Loire n’en compte que 6,6 %, soit un rapport de un à quinze.

À l’échelle des régions (découpage d’avant 2016), le Poitou-Charentes arrive en tête des régions métropolitaines avec 82,9 % de ses communes pourvues. Viennent ensuite Provence-Alpes-Côte d’Azur (76,3 %) et la Bretagne (75,1 %). À l’opposé, la Bourgogne plafonne à 37,1 %, la Basse-Normandie à 41,1 % et la Corse à 13,9 %.

Les régions les mieux dotées ne sont pas les plus riches ni les plus urbaines. Le Poitou-Charentes, la Bretagne et l’Aquitaine, dont le tissu communal demeure largement rural, devancent des régions nettement plus urbanisées. Voilà un premier indice que le retard ne s’explique pas par les seuls moyens des collectivités.

Ni la taille, ni la richesse : les deux explications habituelles ne tiennent pas 

On impute ordinairement le retard des communes à leur taille et à leur pauvreté. Ces deux explications ont été soumises à l’épreuve des données, commune par commune. Le résultat est net : la taille et la richesse, prises ensemble, rendent compte de 4,8 % de la variabilité observée. Le département, à lui seul, en rend compte de 12,5 %. Le département pèse trois fois plus que la démographie et les finances locales réunies.

Il ne faut pas en conclure que la taille et la richesse ne jouent pas, mais elles n’expliquent pas l’immense majorité des retards. Au-delà de vingt mille habitants, le taux de désignation atteint 95,9 % partout. Les grandes villes s’équipent quel que soit leur territoire ; ce sont les petites qui dépendent de leur écosystème local.

Le facteur déterminant : le département, et derrière lui l’opérateur de proximité 

Reste à comprendre ce que le département apporte de propre. La réponse tient en un mot : l’accompagnement collectif.

Quatre désignations sur cinq passent par un opérateur tiers, et cent soixante-douze structures portent l’essentiel du mouvement national. Dans la majorité des départements, ce sont les centres de gestion de la fonction publique territoriale, les agences départementales ou les syndicats mixtes qui dominent.

Deux routes seulement mènent donc à la conformité. La route individuelle, où chaque commune s’équipe seule, est souvent réservée aux grandes villes disposant de ressources internes. La route de l’externalisation, portée par un opérateur public ou un cabinet privé de proximité comme Etatys, est la seule issue réaliste pour les petites collectivités.

L’ancrage local, seul facteur qui résiste à tous les contrôles 

Qu’est-ce qui décide de la performance d’un accompagnateur RGPD dans un territoire ? Sur vingt critères mis à l’épreuve, un seul pèse vraiment : l’implantation de la structure dans le département qu’elle dessert.

Les structures qui “exportent” leurs services loin de leurs bases voient leur taux d’adhésion s’effondrer. Les départements dont l’opérateur dominant est implanté chez eux affichent un taux de conformité nettement supérieur. Deux raisons se conjuguent pour expliquer cela :

1. La proximité institutionnelle et humaine : un expert qui connaît le terrain mobilise beaucoup mieux les communes.

2. Le relais local : une offre importée ne se diffuse réellement que si un acteur du département cible la porte activement.

Ce résultat confirme la vision fondatrice d’Etatys : la conformité RGPD ne se décrète pas depuis un bureau parisien. Elle nécessite une présence sur le terrain, une compréhension des réalités de la secrétaire de mairie, et un accompagnement de proximité. L’étude démontre par les chiffres que l’ancrage local est la seule véritable clé du succès.

À ce rythme, la conformité générale n’est pas atteinte avant 2034 

La reconstitution mois par mois des désignations depuis mai 2018 fait apparaître une trajectoire irrégulière, avançant par vagues. En prolongeant la progression des trois dernières années, le taux national gagne environ 0,43 point par mois. À ce rythme, le seuil de 100 % ne serait pas atteint avant l’automne 2034, soit seize ans après l’entrée en vigueur de l’obligation.

Encore s’agit-il d’une hypothèse optimiste, car les communes restantes sont par construction les plus petites et les plus isolées. Si rien de nouveau ne se produit, le mouvement spontané s’arrêtera autour des deux tiers des communes. Ce rythme n’a pourtant rien de fatal ; il dépend de la capacité des acteurs de terrain à proposer des solutions enfin adaptées et accessibles.

Ce que l’étude recommande 

Le rapport formule plusieurs recommandations, dont voici les principales pour sortir de l’impasse :

• Préférer un opérateur implanté sur place à une offre lointaine ou déshumanisée. C’est le facteur dont l’effet résiste à tous les contrôles. L’accompagnement doit être humain et de proximité.

• Traiter ensemble la commune et son intercommunalité. Près de douze mille communes sont sans délégué alors que leur intercommunalité en a un. Une synergie est indispensable.

• Ne pas attendre un “effet de seuil” ou une injonction de la CNIL. La première commune convertie compte autant que la centième. L’inaction n’est plus une option tenable face aux risques de cyberattaques et aux exigences des administrés.