RGPD et communautés d'agglomération : les obligations du responsable de traitement
Plus d’administrés, plus d’agents, plus de fichiers… et sans RGPD, plus de vulnérabilités.
En tant que communauté d’agglomération, vous exercez des compétences larges : transport, habitat, développement économique, gestion des déchets, périscolaire, culture… Chacun de ces domaines produit, traite et conserve des données personnelles concernant vos usagers, vos agents et vos partenaires. La question n’est pas de savoir si votre structure est concernée par le RGPD — elle l’est sans aucun doute — mais de savoir si votre niveau de conformité est à la hauteur des risques réels que vous portez.
En tant que responsable de traitement, le président de la communauté d’agglomération engage sa responsabilité personnelle en cas de manquement. La CNIL peut sanctionner, les usagers peuvent exercer leurs droits à tout moment, et une violation de données non déclarée dans les 72 heures expose l’établissement à des suites potentiellement lourdes.
À grande échelle, les failles coûtent plus cher
Phishing, rançongiciels, erreurs humaines : les cyberattaques ne visent plus seulement les grandes entreprises. Protégez vos services et les données de vos habitants, sans attendre l’incident et évitez de lourdes conséquences !
Pourquoi les agglos sont particulièrement exposées
Des compétences multiples, donc des traitements multiples
Une commune de 3 000 habitants gère quelques dizaines de traitements de données. Une communauté d’agglomération en gère plusieurs centaines, répartis entre services propres et compétences déléguées par les communes membres. Chaque nouveau service structurant, une application mobile citoyenne, un système de vidéoprotection partagé, une plateforme de réservation de salles, crée de nouveaux traitements qu’il faut identifier, documenter et sécuriser.
L’enjeu est particulièrement fort sur les données de mineurs : transport scolaire, accueils périscolaires, centres de loisirs. Ces catégories appellent une vigilance renforcée, et une documentation précise des bases légales mobilisées.
Des systèmes d'information partagés entre communes membres
L’intercommunalité suppose souvent une mutualisation des outils informatiques : messagerie commune, logiciels métier partagés, accès croisés aux bases de données. Or, chaque partage de données entre communes membres et communauté doit être encadré : conventions de mise à disposition, clauses de sous-traitance avec les éditeurs logiciels, gestion des droits d’accès par agent.
En cas de cyberattaque ou de fuite de données, c’est la structure responsable de traitement qui répond devant la CNIL, pas l’éditeur du logiciel, pas la commune membre. La chaîne de responsabilité doit être clairement établie.
Ce que le RGPD impose concrètement à votre structure
Le registre des traitements de l'intercommunalité
Toute communauté d’agglomération a l’obligation de tenir un registre des activités de traitement, répertoriant l’ensemble des traitements de données personnelles mis en œuvre. Ce registre doit être tenu à jour, accessible à la CNIL sur demande, et refléter la réalité opérationnelle de chaque service. Il n’existe pas de modèle unique : le registre doit être adapté à vos compétences effectives et à votre organisation.
Les droits des usagers à respecter service par service
Droit d’accès, droit de rectification, droit à l’effacement, droit d’opposition… Les usagers de votre territoire peuvent exercer ces droits à tout moment, auprès de n’importe lequel de vos services. Chaque direction doit être en mesure d’identifier, de traiter et de tracer ces demandes dans le délai d’un mois prévu par le règlement. La mise en place d’un circuit interne de gestion des droits, piloté par le DPO, est une condition sine qua non d’une conformité réelle.
La désignation d'un DPO : obligatoire ou recommandée ?
Les communautés d’agglomération sont, dans leur grande majorité, soumises à l’obligation de désigner un délégué à la protection des données. Cette obligation découle du fait qu’elles traitent des données à grande échelle au titre de leurs missions de service public, et qu’elles gèrent des données sensibles (état de santé, données relatives à des mineurs, données sociales, etc.).
Le DPO peut être un agent interne ou un prestataire externe. Dans la pratique, l’option interne est complexe à mettre en œuvre : le poste exige une disponibilité importante, une expertise juridique pointue et une indépendance fonctionnelle difficile à garantir au sein d’une même structure. L’externalisation offre une solution plus souple, immédiatement opérationnelle et financièrement maîtrisée.
NIS2 et cybersécurité : ce qui va changer pour les agglos
La directive européenne NIS2, en cours de transposition en droit français, va élargir le périmètre des entités soumises à des exigences renforcées de cybersécurité. Certaines communautés d’agglomération, par leurs missions dans les domaines de l’eau, des transports, de la gestion des déchets ou du périscolaire, pourraient relever des catégories visées. Même hors périmètre direct, les exigences de NIS2 s’imposeront progressivement à leurs prestataires et sous-traitants.
Se préparer, c’est d’abord mettre de l’ordre dans les fondamentaux : inventaire des actifs numériques, sensibilisation des agents aux risques, procédures de gestion des incidents, plans de continuité. Ces actions relèvent directement du périmètre du DPO, et leur mise en place anticipe les contrôles à venir.
Pourquoi externaliser la fonction DPO pour une agglo ?
La mutualisation : une fausse bonne idée ?
Certaines communautés d’agglomération envisagent de mutualiser la fonction DPO avec leurs communes membres. En théorie, c’est possible. En pratique, cela soulève des questions délicates : indépendance fonctionnelle, conflits d’intérêts potentiels, surcharge pour un agent unique, difficultés à couvrir l’ensemble des traitements de structures aux compétences très différentes. La mutualisation ne doit pas se faire au détriment de la qualité du suivi et de la réactivité attendue par la CNIL.
Les avantages d'un DPO externe spécialisé collectivités
Faire appel à un DPO externe spécialisé dans les collectivités territoriales, c’est bénéficier d’une expertise immédiatement opérationnelle, d’une indépendance statutaire garantie, et d’une continuité de service sans lien avec les aléas RH de votre structure. Le DPO externe connaît les spécificités des intercommunalités : les bases légales mobilisables, les délibérations à prendre, les clauses à intégrer dans vos marchés publics, les typologies de traitements propres à vos compétences.
Chez Etatys, nous travaillons exclusivement avec des structures publiques. Notre accompagnement est pensé pour des présidents, des DGS et des agents opérationnels — pas pour des directions juridiques de grands groupes.
Besoin de structurer votre conformité intercommunale ?
Etatys est là pour vous !
Etatys, DPO externe pour communautés d'agglomération
Etatys est un cabinet de conseil spécialisé dans la conformité RGPD et la sensibilisation à la cybersécurité des collectivités territoriales. Nous accompagnons des communes, des intercommunalités et des centres de gestion dans la durée : tenue du registre des traitements, gestion des droits des usagers, formation des agents, notification des violations de données, préparation aux contrôles CNIL.
Notre approche est fondée sur la proximité et la lisibilité : vous avez un interlocuteur unique, qui connaît votre structure, vos compétences et vos contraintes. Pas de jargon inutile, pas de rapport de 200 pages sans suite — des actions concrètes, priorisées, adaptées à votre réalité de terrain.
Gagnez en sérénité face au RGPD, tout en restant concentré sur vos priorités locales
Etatys propose un accompagnement qui vous permet de réagir dans toutes les situations.
Parce que mieux vaut une bonne préaparation aujourd’hui, qu’une sanction demain !
Un prix abordable pour un accompagnement de qualité
Un système d’abonnement tout compris, pas de frais cachés, pas de prestations additionnelles et surtout, un contact humain
Suivi
80€ HT/mois
Pour les communes: Moins de 1500 habitants
- Audit de conformité et solutions
- Gestion des procédures
- Entretiens avec les agents
- Mise à jour du registre des traitements
- Sensibilisation
- Violations de données
- Demandes d'exercice de droits
- Désignation DPO à la CNIL
Essentiel
195€ HT/mois
Pour les communes: Moins de 1500 habitants
- Registre des traitements
- Entretiens avec les agents
- Audit de conformité et solutions
- Gestion des procédures
- Conformité du site WEB
- Analyse d'impact (AIPD)
- Veille juridique
- Le contenu de la formule "Suivi"
Personnalisé
Sur devis
Pour:
-Communes de plus de 1500 habitants
-Communautés de communes / agglomération
- Le contenu de la formule "Essentiel"
- et / ou
- Le contenu de la formule "Suivi"
Suivi
70€ HT/mois
Pour les communes: Moins de 1500 habitants
- Audit de conformité et solutions
- Gestion des procédures
- Entretiens avec les agents
- Mise à jour du registre des traitements
- Sensibilisation
- Violations de données
- Demandes d'exercice de droits
- Désignation DPO à la CNIL
Essentiel
175€ HT/mois
Pour les communes: Moins de 1500 habitants
- Registre des traitements
- Entretiens avec les agents
- Audit de conformité et solutions
- Gestion des procédures
- Conformité du site WEB
- Analyse d'impact (AIPD)
- Veille juridique
- Le contenu de la formule "Suivi"
Personnalisé
Sur devis
Pour:
-Communes de plus de 1500 habitants
-Communautés de communes / agglomération
- Le contenu de la formule "Essentiel"
- et / ou
- Le contenu de la formule "Suivi"
*Engagement de 12 mois – Paiement à l'année: tarifs réduits (voir les tarifs annuels)
Question fréquentes :
Une communauté d'agglomération est-elle obligée de désigner un DPO ?
Dans la quasi-totalité des cas, oui. Les communautés d’agglomération traitent des données à grande échelle au titre de missions de service public et gèrent régulièrement des données sensibles (données de santé, données relatives à des mineurs, etc.). Ces critères déclenchent l’obligation de désignation prévue par l’article 37 du RGPD.
Quelle est la différence entre un DPO interne et un DPO externe pour une agglo ?
Un DPO interne est un agent de la structure. Il doit bénéficier d’une indépendance fonctionnelle garantie et ne peut pas avoir de fonctions incompatibles avec sa mission. Un DPO externe est un prestataire indépendant : son indépendance est structurelle, sa disponibilité est contractuellement définie, et son expertise est souvent plus large car il intervient sur plusieurs structures. Pour les communautés d’agglomération de taille moyenne à grande, l’externalisation est souvent la solution la plus efficace.
Combien de traitements de données une communauté d'agglomération doit-elle recenser dans son registre ?
Le nombre varie fortement selon les compétences exercées. Une communauté d’agglomération avec des compétences périscolaires, sportives, économiques et environnementales peut recenser entre 80 et 200 traitements distincts. Chaque nouveau service ou outil numérique doit faire l’objet d’une fiche dans le registre.
NIS2 concerne-t-elle les communautés d'agglomération ?
La transposition de NIS2 en droit français est en cours. Certaines agglos seront directement concernées selon leurs missions (eau, déchets, transport). D’autres le seront indirectement, via leurs sous-traitants et prestataires numériques. Il est recommandé d’anticiper dès maintenant en renforçant les fondamentaux : sensibilisation des agents, gestion des incidents, inventaire des actifs critiques.
Qu’est-ce qu’une donnée personnelle ?
Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable. Cela peut être un nom, un prénom, une adresse, une adresse email, un numéro de téléphone, une photo, un numéro de sécurité sociale, une plaque d’immatriculation, une adresse IP, etc. Dès lors qu’une donnée permet directement ou indirectement d’identifier une personne, elle est considérée comme personnelle au sens du RGPD. Il est important de noter que cela concerne aussi les documents papier, les fichiers Excel, les bases de données ou encore les photographies prises lors d’événements communaux.
Qui est responsable de la conformité RGPD dans la collectivité ?
Le responsable du traitement est, en général, l’autorité exécutive : le maire, le président de l’EPCI, le président du conseil départemental ou régional. C’est lui qui détermine les finalités et les moyens des traitements de données, et qui en porte donc la responsabilité juridique. Le DPO a un rôle d’appui, de conseil et d’alerte, mais il ne prend pas les décisions. Il est essentiel que les élus comprennent qu’ils ne peuvent pas déléguer toute la conformité au DPO : leur implication est requise, notamment pour prioriser les actions et arbitrer les choix stratégiques.
Doit-on informer les administrés quand on collecte leurs données ?
Oui, le RGPD impose un devoir d’information systématique. Toute collecte de données doit être accompagnée d’une information claire, complète et accessible : identité du responsable du traitement, finalité, base légale, durée de conservation, droits de la personne, et contact du DPO. Cette information doit être donnée au moment de la collecte, que ce soit via un formulaire papier, un site internet ou une application mobile. Il ne s’agit pas d’une simple formalité : cette transparence est essentielle pour instaurer une relation de confiance avec les usagers.
Qu’est-ce qu’un traitement de données ?
Le traitement de données ne se limite pas à leur simple collecte. C’est toute opération réalisée sur des données personnelles, que ce soit de manière automatisée ou manuelle : enregistrement, consultation, modification, extraction, conservation, transmission, suppression, etc. Par exemple, tenir un registre des naissances, envoyer une lettre d’information municipale ou gérer les inscriptions à la cantine scolaire sont tous des traitements au sens du RGPD. C’est donc une notion très large qui englobe l’ensemble des activités de la collectivité touchant aux données.
Faut-il recueillir le consentement des administrés ?
Le consentement n’est pas systématiquement requis dans le cadre des missions des collectivités. En effet, de nombreux traitements reposent sur des bases légales comme une mission d’intérêt public ou une obligation légale. Le consentement est nécessaire uniquement lorsque le traitement ne peut se fonder sur aucune de ces bases, comme pour l’envoi de newsletters non institutionnelles ou certaines communications promotionnelles. Attention : un consentement n’est valable que s’il est libre, éclairé, spécifique et univoque. Une case précochée ou un silence ne constituent pas un consentement valide.
Quels sont les droits des administrés sur leurs données ?
Les administrés disposent de plusieurs droits fondamentaux garantis par le RGPD : droit d’accès à leurs données, droit de rectification, droit d’opposition, droit à l’effacement (dans certains cas), droit à la limitation du traitement, et droit à la portabilité. Lorsqu’un citoyen exerce l’un de ces droits, la collectivité doit répondre dans un délai d’un mois (prolongeable de deux mois dans des cas complexes). Il est donc crucial que la collectivité mette en place une procédure interne pour traiter ces demandes, en lien avec le DPO, afin d’éviter tout manquement.
Les dernières actualités RGPD
Page mise à jour : Juin/2026