Vous êtes maire ou secrétaire de mairie, et un nouvel outil vous a été proposé pour la commune : une plateforme pour gérer les inscriptions périscolaires, un logiciel pour la réservation de salles, ou un service pour dématérialiser les demandes des administrés. Le prestataire vous montre une démonstration convaincante, le tarif semble raisonnable, et vous êtes tenté de signer. Avant de le faire, une question mérite d’être posée clairement : que devient réellement la vie de vos administrés une fois entrée dans cet outil ?
Cette question n’est pas accessoire. Une commune traite chaque année des informations sensibles sur ses habitants : état civil, situation familiale, revenus pour certaines aides, données de santé pour la restauration scolaire ou le portage de repas, parfois des informations sur des mineurs. En tant que responsable de traitement au sens du règlement européen sur la protection des données, la commune reste juridiquement responsable de ce qui arrive à ces données, même lorsqu’elles transitent par un logiciel fourni par un tiers.
Ce que la réglementation exige déjà de votre commune
Le règlement général sur la protection des données, entré en application le 25 mai 2018, s’applique à toutes les collectivités, quelle que soit leur taille. La Commission nationale de l’informatique et des libertés (CNIL) a publié un guide dédié aux collectivités territoriales qui rappelle trois obligations concrètes.
D’abord, tenir un registre des traitements : la liste de tous les fichiers et outils qui contiennent des données personnelles, avec leur finalité, leur durée de conservation et les personnes qui y ont accès. Ensuite, désigner un délégué à la protection des données, souvent mutualisé entre plusieurs communes via le centre de gestion départemental ou l’intercommunalité. Enfin, garantir aux administrés leurs droits : accès à leurs données, rectification, et suppression lorsque la loi le permet.
Ces obligations existent indépendamment du choix d’un outil numérique. Mais elles prennent tout leur sens au moment de ce choix : un outil mal conçu ou mal encadré contractuellement peut rendre ces obligations impossibles à tenir.
La question qu’on oublie de poser : où vont vraiment les données
Quand un prestataire propose un logiciel loué au mois, les données de votre commune sont hébergées quelque part, sur des serveurs qui appartiennent rarement au prestataire lui-même. Elles peuvent transiter par plusieurs sociétés en cascade, parfois situées hors de l’Union européenne.
Le règlement européen n’interdit pas cet hébergement à l’étranger, mais il l’encadre strictement. Un transfert de données personnelles hors de l’Union européenne n’est licite que si le pays de destination offre un niveau de protection reconnu équivalent, ou si des garanties contractuelles spécifiques ont été mises en place. En pratique, beaucoup de petites collectivités signent des contrats avec des éditeurs de logiciels sans jamais vérifier ce point, faute de temps ou de compétence technique en interne.
La conséquence n’est pas seulement juridique. C’est aussi une question de maîtrise : si demain vous voulez changer d’outil, ou si l’éditeur cesse son activité, pouvez-vous récupérer les données de vos administrés dans un format exploitable ? Cette question de réversibilité est trop souvent découverte trop tard, au moment où elle devient un problème.
Ce qu’une commune est en droit d’exiger avant de signer
Avant tout engagement avec un fournisseur d’outil numérique, quelques vérifications simples permettent d’éviter la majorité des difficultés.
- Un contrat de sous-traitance conforme à l’article 28 du règlement européen, qui précise les obligations du prestataire vis-à-vis des données qu’il traite pour votre compte.
- La localisation précise de l’hébergement des données, et les garanties appliquées si cet hébergement se situe hors de l’Union européenne.
- Une clause claire de restitution et de suppression des données en cas de fin de contrat, avec un format d’export exploitable et non un simple export illisible destiné à décourager le changement.
- La liste des sous-traitants du prestataire lui-même, car un outil fait rarement appel à un seul intermédiaire technique.
Ces points ne relèvent pas d’une expertise informatique poussée. Ce sont des clauses contractuelles que tout prestataire sérieux doit être en mesure de fournir sans difficulté. Un fournisseur qui élude ces questions, ou qui renvoie vers des conditions générales de plusieurs dizaines de pages sans réponse directe, envoie en lui-même une information utile.
La question de la maîtrise, au-delà de la seule conformité
Se conformer au règlement européen est une obligation légale. Mais il existe une question plus large, celle de la maîtrise de vos propres outils sur la durée. Une commune qui dépend d’un logiciel fermé, dont elle ne possède ni le code ni une documentation compréhensible, se retrouve en position de faiblesse à chaque renouvellement de contrat. Le prestataire connaît cette dépendance et peut, sans mauvaise intention particulière, en tenir compte dans ses tarifs.
À l’inverse, une commune qui a exigé dès le départ une documentation claire, un accès aux données dans un format standard, et la possibilité de changer de prestataire sans perdre son historique, garde la main sur ses choix futurs. Cette exigence de réversibilité protège autant les finances communales que les données des habitants : les deux sujets sont liés, même s’ils sont rarement présentés ensemble.
Comment procéder concrètement, sans tout bouleverser d’un coup
Il n’est pas nécessaire de refaire l’inventaire de tous les outils numériques de la commune en une seule fois. Une approche progressive fonctionne mieux : lors du prochain renouvellement de contrat, ou avant tout nouvel outil, ajoutez systématiquement les quatre vérifications listées plus haut à votre grille de décision. Beaucoup d’intercommunalités et de centres de gestion proposent aussi un accompagnement gratuit ou à coût réduit sur ces questions, notamment via le délégué à la protection des données mutualisé.
Pour les outils déjà en place, un tableau simple suffit pour démarrer : nom de l’outil, données qu’il contient, lieu d’hébergement connu ou inconnu, existence d’un contrat de sous-traitance. Ce premier état des lieux, même incomplet, donne déjà une vision claire de ce qui mérite d’être clarifié en priorité avec les prestataires concernés.
Ces questions reviennent souvent lors de la conception d’un nouvel outil pour une commune, qu’il s’agisse d’un service aux administrés ou d’une carte interactive pour le suivi des travaux. Si vous vous interrogez sur un projet en particulier, le premier échange est offert : on peut regarder ensemble où vous en êtes et ce qui mérite d’être vérifié avant de vous engager. Rendez-vous sur la page contact.