Guide collectivités locales
Le DPO est obligatoire pour toute mairie.
Contrairement à une entreprise privée, une commune n'a pas à démontrer qu'elle traite des données « à grande échelle » pour devoir désigner un DPO. La taille de la collectivité n'entre pas en ligne de compte : dès qu'elle traite des données personnelles, l'obligation s'applique.
Une obligation qui ne dépend pas de la taille de la commune.
L'article 37 du RGPD distingue deux logiques. Pour une entreprise privée, la désignation d'un DPO n'est obligatoire que sous certaines conditions : suivi régulier et systématique à grande échelle des personnes, ou traitement à grande échelle de données sensibles. En dessous de ces seuils, elle reste facultative.
Pour un organisme public, le même article prévoit une règle différente et plus stricte : la désignation d'un DPO est obligatoire dans tous les cas, sans condition de volume ni de seuil. Une mairie de quelques centaines d'habitants est concernée exactement comme une grande ville, dès lors qu'elle traite des données personnelles — ce qui est presque toujours le cas dès sa gestion administrative courante.
C'est une différence de nature avec le secteur privé, et une source fréquente de confusion pour les petites communes qui pensent, à tort, qu'en dessous d'une certaine taille l'obligation ne s'applique pas encore.
Des traitements de données variés, souvent sous-estimés.
État civil
Naissances, mariages, décès : des données conservées durablement, avec des accès à encadrer strictement.
Listes électorales
Gestion et mise à jour des listes, avec des règles de communication et de conservation propres.
Cantine et écoles
Inscriptions scolaires, cantine, périscolaire : données concernant des enfants, à traiter avec une vigilance renforcée.
Aide sociale
Dossiers d'aide sociale, CCAS : des données parfois sensibles au sens de l'article 9 du RGPD.
S'y ajoute souvent la vidéoprotection de la voie publique, fréquente dans les petites communes pour sécuriser des espaces municipaux. Le contexte diffère de la vidéosurveillance d'un lieu de travail, mais le traitement des images reste soumis aux principes du RGPD : finalité précise, durée de conservation limitée à ce qui est nécessaire (article 5), et mesures de sécurité adaptées (article 32).
Avec autant de traitements distincts, le registre des traitements (article 30 du RGPD) d'une collectivité est souvent nettement plus volumineux et plus varié que celui d'une TPE ou d'une petite association — un point que le DPO doit tenir à jour en continu.
La mutualisation, solution la plus répandue — mais pas la seule.
Face à cette obligation, la plupart des petites communes ne recrutent pas de DPO en interne : elles mutualisent la fonction, souvent via leur centre de gestion (CDG) de la fonction publique territoriale, qui propose un DPO commun à plusieurs collectivités adhérentes. C'est une solution éprouvée, et le principe même de la mutualisation est prévu par l'article 37 du RGPD, qui autorise plusieurs organismes à désigner un DPO commun dès lors qu'il reste facilement joignable par chacun d'eux. Nous détaillons ce mécanisme sur notre page dédiée au DPO mutualisé.
VIGIL n'a pas vocation à remplacer un CDG qui fonctionne bien pour votre commune. C'est une alternative pour les collectivités qui préfèrent un DPO immédiatement disponible sans passer par l'échelon du centre de gestion, et un complément possible pour celles qui souhaitent une capacité de réponse plus rapide sur certains sujets, en s'appuyant sur une IA disponible H24 et des juristes de magistère (Sorbonne, Assas) mobilisables pour les cas sensibles.
Trois façons de couvrir l'obligation.
DPO interne
~70 000€ /an
Un salaire chargé difficile à justifier pour une seule petite commune, hors mutualisation.
Cabinet juridique
dès 1 500€ /mois
Un accompagnement classique, facturé au temps passé, souvent hors budget d'une petite collectivité.
VIGIL
dès 99€ HT /mois
IA juridique disponible H24 + juristes de magistère sur demande pour les dossiers sensibles.
Détail complet des trois formules (Bouclier, Confiance, Sérénité) sur la page tarifs.
Votre commune n'a pas encore de DPO désigné ?
15 minutes suffisent pour faire le point sur vos traitements et voir comment couvrir l'obligation, avec ou sans mutualisation.
Faire le point avec nousContenu à visée informative, à jour au moment de sa rédaction. Il ne constitue pas un conseil juridique personnalisé au sens de la loi n°71-1130 du 31 décembre 1971 — chaque situation mérite une analyse dédiée.