DPO externe pour votre communauté de communes
Assurer la conformité RGPD pour toutes les communautés de communes, trop souvent délaissées.
Petite enfance, transports scolaires, urbanisme, collecte des déchets, développement économique… Votre communauté de communes concentre des traitements de données personnelles issus de dizaines de services. Le RGPD s’y applique pleinement, et la responsabilité juridique repose sur vous en tant que président ou directeur général.
Etatys assure la fonction de DPO externe pour les intercommunalités : tenue du registre des traitements, gestion des droits des administrés, accompagnement en cas d’incident, formation des agents. Un interlocuteur unique, un tarif adapté à la taille de votre structure.
Désigner un DPO externe : obligation ou choix stratégique pour un EPCI ?
Quand la désignation est obligatoire
La désignation d’un délégué à la protection des données est obligatoire pour les organismes publics — et une communauté de communes est un organisme public au sens du RGPD. Cette obligation s’applique sans seuil de taille, sans condition de volume de données traitées : toutes les intercommunalités sont concernées.
Le DPO doit être désigné auprès de la CNIL. Sans cette désignation, votre structure est en situation de manquement caractérisé, immédiatement vérifiable lors d’un contrôle.
Les avantages du DPO externe mutualisé pour les communes membres
Un DPO externe désigné au niveau de l’EPCI peut couvrir simultanément les communes membres qui le souhaitent. C’est l’un des rares dispositifs RGPD qui génère des économies d’échelle réelles : au lieu que chaque commune de 300 habitants cherche son propre DPO, l’intercommunalité porte la compétence et la met à disposition.
Cette organisation est reconnue et encouragée par la CNIL. Elle permet aux petites communes membres — parfois sans secrétaire à temps complet — de disposer d’un niveau de conformité qu’elles n’auraient pas pu atteindre seules.
Pourquoi votre intercommunalité est directement soumise au RGPD
Des compétences transférées, des données multipliées
Contrairement à une commune isolée, une communauté de communes concentre les traitements de plusieurs domaines simultanément. Les fichiers des bénéficiaires du périscolaire côtoient les données des demandeurs de logement, les registres du personnel des communes membres et les dossiers des usagers des transports scolaires. Ce volume, croisé avec la sensibilité de certaines catégories de données, place les EPCI dans le viseur de la CNIL lors de ses plans de contrôle annuels.
La mutualisation, avantage opérationnel indéniable, crée aussi une surface d’exposition plus large : une faille dans un outil partagé peut toucher simultanément l’ensemble des communes membres.
La responsabilité du président d’EPCI face à la CNIL
Le RGPD désigne le responsable de traitement comme premier engagé juridiquement. Dans votre intercommunalité, c’est le président qui endosse cette responsabilité — y compris pour les traitements opérés pour le compte des communes membres. Une plainte d’un administré, un contrôle inopiné de la CNIL, ou une violation de données mal gérée peuvent conduire à des injonctions publiques, voire à des amendes.
Depuis 2022, la CNIL a sensiblement accru ses contrôles auprès des collectivités territoriales, y compris les structures intercommunales de taille modeste. La non-conformité n’est plus un risque théorique.
Les spécificités RGPD d'une communauté de communes
Mutualisation des services et transfert de compétences
Quand une commune transfère une compétence à l’intercommunalité, la petite enfance, l’instruction des permis de construire, la gestion des déchets elle transfère aussi la responsabilité des traitements de données associés. Ce transfert de compétences doit s’accompagner d’une clarification des rôles : qui est responsable de traitement, qui est sous-traitant, quels traitements sont partagés ?
Sans ce cadrage, les doublons, les accès non maîtrisés et les conflits de responsabilité s’accumulent. Etatys cartographie ces flux dès le démarrage de la mission et établit un registre qui reflète la réalité opérationnelle de votre structure.
Agents partagés : qui est responsable de quoi ?
Certains agents travaillent à la fois pour l’EPCI et pour une ou plusieurs communes membres. Ils accèdent à des systèmes distincts, traitent des données pour le compte de plusieurs responsables de traitement. Cette situation, fréquente dans les petites intercommunalités rurales, crée des zones grises en matière de droits d’accès, de confidentialité et de traçabilité.
Le RGPD exige que chaque accès soit justifié par une finalité précise et encadré par des procédures claires. Définir ces règles fait partie intégrante de la mission DPO.
Le registre des traitements à l'échelle intercommunale
Le registre des traitements est le document de base de toute démarche RGPD, et le premier document que la CNIL demande lors d’un contrôle. Pour une communauté de communes, ce registre doit couvrir l’ensemble des services de l’EPCI et, le cas échéant, ceux des communes membres couvertes par le même DPO.
Sa tenue est une obligation légale permanente : chaque nouveau service, chaque nouveau prestataire numérique, chaque évolution des pratiques doit y être documenté. Etatys prend en charge cette tenue continue.
Votre intercommunalité veut structurer sa conformité RGPD ?
Comment Etatys accompagne les communautés de communes
Audit de départ et cartographie des traitements
Avant toute chose, nous réalisons un état des lieux complet : quelles données collectez-vous, dans quels systèmes, avec quels prestataires, sur quelle base légale ? Cet audit identifie les points de fragilité prioritaires, ceux qui exposeraient votre structure en cas de contrôle aujourd’hui.
Tenue du registre et suivi continu
Nous construisons votre registre des traitements et le maintenons à jour en continu. Chaque évolution: nouveau logiciel, nouveau prestataire, nouveau service est documentée sans que vous ayez à y consacrer du temps.
Gestion des violations de données sous 72h
En cas d’incident, cyberattaque, perte d’un support, envoi au mauvais destinataire, le RGPD impose une notification à la CNIL dans un délai de 72 heures. Etatys gère cette procédure de bout en bout : qualification de l’incident, décision de notification, rédaction du signalement, communication aux personnes concernées si nécessaire.
Besoin de structurer votre conformité intercommunale ?
Etatys est là pour vous !
Sensibilisation des agents communautaires
Les agents sont le premier point d’entrée des risques numériques. Etatys propose des sessions de sensibilisation adaptées aux équipes intercommunales : comprendre ce qu’est une donnée personnelle, identifier un message suspect, savoir qui contacter en cas d’incident. Ces sessions peuvent être organisées en présentiel sur votre territoire ou à distance.
Gagnez en sérénité face au RGPD, tout en restant concentré sur vos priorités locales
Etatys propose un accompagnement qui vous permet de réagir dans toutes les situations.
Parce que mieux vaut une bonne préaparation aujourd’hui, qu’une sanction demain !
Un prix abordable pour un accompagnement de qualité
Un système d’abonnement tout compris, pas de frais cachés, pas de prestations additionnelles et surtout, un contact humain
Suivi
80€ HT/mois
Pour les communes: Moins de 1500 habitants
- Audit de conformité et solutions
- Gestion des procédures
- Entretiens avec les agents
- Mise à jour du registre des traitements
- Sensibilisation
- Violations de données
- Demandes d'exercice de droits
- Désignation DPO à la CNIL
Essentiel
195€ HT/mois
Pour les communes: Moins de 1500 habitants
- Registre des traitements
- Entretiens avec les agents
- Audit de conformité et solutions
- Gestion des procédures
- Conformité du site WEB
- Analyse d'impact (AIPD)
- Veille juridique
- Le contenu de la formule "Suivi"
Personnalisé
Sur devis
Pour:
-Communes de plus de 1500 habitants
-Communautés de communes / agglomération
- Le contenu de la formule "Essentiel"
- et / ou
- Le contenu de la formule "Suivi"
Suivi
70€ HT/mois
Pour les communes: Moins de 1500 habitants
- Audit de conformité et solutions
- Gestion des procédures
- Entretiens avec les agents
- Mise à jour du registre des traitements
- Sensibilisation
- Violations de données
- Demandes d'exercice de droits
- Désignation DPO à la CNIL
Essentiel
175€ HT/mois
Pour les communes: Moins de 1500 habitants
- Registre des traitements
- Entretiens avec les agents
- Audit de conformité et solutions
- Gestion des procédures
- Conformité du site WEB
- Analyse d'impact (AIPD)
- Veille juridique
- Le contenu de la formule "Suivi"
Personnalisé
Sur devis
Pour:
-Communes de plus de 1500 habitants
-Communautés de communes / agglomération
- Le contenu de la formule "Essentiel"
- et / ou
- Le contenu de la formule "Suivi"
*Engagement de 12 mois – Paiement à l'année: tarifs réduits (voir les tarifs annuels)
Question fréquentes :
Une communauté de communes est-elle obligée de désigner un DPO ?
Oui, sans exception. Les organismes publics ont l’obligation de désigner un délégué à la protection des données, quelle que soit leur taille. Cette désignation doit être notifiée à la CNIL.
Le DPO de l'EPCI peut-il couvrir les communes membres ?
Oui. Un même DPO externe peut être désigné pour l’intercommunalité et pour les communes membres qui adhèrent à cette organisation mutualisée. C’est une formule reconnue par la CNIL et fortement recommandée pour les territoires ruraux.
Que risque un président d'EPCI en cas de non-conformité ?
La CNIL peut prononcer des injonctions de mise en conformité assorties de délais contraignants, et dans les cas les plus graves, des amendes administratives. Ces décisions sont publiques. Au-delà du risque financier, c’est la confiance des communes membres et des administrés qui est engagée.
Combien de temps prend une mise en conformité pour un EPCI ?
L’audit initial prend deux à quatre semaines. La structuration du registre et des premières procédures nécessite deux à trois mois supplémentaires. La conformité est ensuite un processus continu assuré par Etatys dans le cadre d’un abonnement mensuel.
Etatys intervient-il sur toute la France ?
Etatys accompagne des intercommunalités dans toute la France. Notre ancrage principal est en Haute-Saône, dans le Doubs et en Franche-Comté, mais nous intervenons à distance pour la grande majorité des missions et en présentiel sur demande.
Qui est responsable de la conformité RGPD dans la collectivité ?
Le responsable du traitement est, en général, l’autorité exécutive : le maire, le président de l’EPCI, le président du conseil départemental ou régional. C’est lui qui détermine les finalités et les moyens des traitements de données, et qui en porte donc la responsabilité juridique. Le DPO a un rôle d’appui, de conseil et d’alerte, mais il ne prend pas les décisions. Il est essentiel que les élus comprennent qu’ils ne peuvent pas déléguer toute la conformité au DPO : leur implication est requise, notamment pour prioriser les actions et arbitrer les choix stratégiques.
Doit-on informer les administrés quand on collecte leurs données ?
Oui, le RGPD impose un devoir d’information systématique. Toute collecte de données doit être accompagnée d’une information claire, complète et accessible : identité du responsable du traitement, finalité, base légale, durée de conservation, droits de la personne, et contact du DPO. Cette information doit être donnée au moment de la collecte, que ce soit via un formulaire papier, un site internet ou une application mobile. Il ne s’agit pas d’une simple formalité : cette transparence est essentielle pour instaurer une relation de confiance avec les usagers.
Qu’est-ce qu’un traitement de données ?
Le traitement de données ne se limite pas à leur simple collecte. C’est toute opération réalisée sur des données personnelles, que ce soit de manière automatisée ou manuelle : enregistrement, consultation, modification, extraction, conservation, transmission, suppression, etc. Par exemple, tenir un registre des naissances, envoyer une lettre d’information municipale ou gérer les inscriptions à la cantine scolaire sont tous des traitements au sens du RGPD. C’est donc une notion très large qui englobe l’ensemble des activités de la collectivité touchant aux données.
Faut-il recueillir le consentement des administrés ?
Le consentement n’est pas systématiquement requis dans le cadre des missions des collectivités. En effet, de nombreux traitements reposent sur des bases légales comme une mission d’intérêt public ou une obligation légale. Le consentement est nécessaire uniquement lorsque le traitement ne peut se fonder sur aucune de ces bases, comme pour l’envoi de newsletters non institutionnelles ou certaines communications promotionnelles. Attention : un consentement n’est valable que s’il est libre, éclairé, spécifique et univoque. Une case précochée ou un silence ne constituent pas un consentement valide.
Quels sont les droits des administrés sur leurs données ?
Les administrés disposent de plusieurs droits fondamentaux garantis par le RGPD : droit d’accès à leurs données, droit de rectification, droit d’opposition, droit à l’effacement (dans certains cas), droit à la limitation du traitement, et droit à la portabilité. Lorsqu’un citoyen exerce l’un de ces droits, la collectivité doit répondre dans un délai d’un mois (prolongeable de deux mois dans des cas complexes). Il est donc crucial que la collectivité mette en place une procédure interne pour traiter ces demandes, en lien avec le DPO, afin d’éviter tout manquement.
Les dernières actualités RGPD
Page mise à jour : Juin/2026