La mise en œuvre du RGPD dédramatisée au Congrès des maires

« En décembre 2017, aucune ligne n’était prévue au budget pour la mise en œuvre du RGPD. Nous n’en avions pas encore entendu parler. Le sujet est arrivé sur la table progressivement début 2018 ». Ces quelques mots de Jean-Claude Husson, maire de Saint-Arnoult-en-Yvelines (78), montrent l’une des raisons du retard qu’ont pris les collectivités dans la mise en œuvre des nouveaux textes qui réglementent la protection des données personnelles.

Mais dans cette commune, le retard a été en partie rattrapé. Car pour ce maire, « il y a de nombreux risques pour la collectivité. D’abord en termes d’images, mais il y a aussi des risques judiciaires, administratifs voire disciplinaires. » Mais la peur des sanctions n’est pas la seule raison qui a poussé Jean-Claude Husson a déclenché la mise en œuvre du RGPD.  « Il ne faut pas oublier que si c’est une contrainte pour les collectivités, c’est aussi une protection pour les citoyens ». Pour ce faire, la première mesure qui a été prise dans sa commune, c’est la nomination d’un délégué à la protection des données (DPD), externalisé grâce au CIG 78.

Ce qui tombe bien, car Albine Vincent, cheffe du service des DPD à la Cnil, l’a rappelé : la priorité pour une collectivité territoriale, c’est de nommer un DPD, que ce soit en interne, ou qu’il soit mutualisé voire externalisé, « dont le rôle est d’informer, de conseiller et de contrôler. Au-delà de son rôle, le délégué est important car il fait l’interface entre la collectivité et la Cnil, les agents, voire les habitants ».

Moins de temps que prévu

Armelle Guichard, juriste de la ville de Sceaux, a justement été nommé DPD de sa collectivité. Elles l’avouent : « les débuts étaient anxiogènes. Mais les choses se sont ensuite mises en place progressivement. » Tant et si bien que cette nouvelle fonction, qui s’ajoute à celle de juriste, lui a pris moins de temps que prévu.

Pour ce faire, elle s’y est pris en amont ! « J’ai commencé par sensibiliser les agents de la ville dès février dernier. Mon objectif était de les rassurer, de leur dire que le RGPD ne révolutionnerait pas leur manière de travailler. »

Elle a ensuite consacré « une quinzaine de jours » à la cartographie et l’établissement du registre : « J’ai auditionné les services un par un, afin d’établir la cartographie des traitements de données de l’ensemble de la municipalité. Cela m’a permis de faire un premier point sur la qualité de nos traitements, notamment sur leur proportionnalité et sur la durée de conservation des données. J’en ai profité pour faire un premier ménage. » Il s’agit bien là d’une des grandes priorités indiquée par la Cnil dans la mise en œuvre du RGPD. Albine Vincent est revenue dessus devant les maires : « Il faut initier un travail de recensement des traitements mis en œuvre par la collectivité au plus vite, en se posant les questions : « quels sont les traitements que nous détenons ? » « Quelles données contiennent-ils ? » « Qui y a accès ? » … »

Retour sur les droits des personnes

Autre point de travail : la mise à jour de certains documents. « J’ai travaillé avec les différents services pour mettre à jour nos formulaires, en revoyant nos mentions de consentement. J’ai également mis à jour nos contrats avec nos prestataires. »

Armelle Guichard est aussi revenue sur les droits des personnes. La représentante de la Cnil avait auparavant réinsisté sur ce point : « Les collectivités doivent s’assurer de l’effectivité des droits des personnes, que ce soit le droit à l’information, de rectification …  Et ce même si la personne demandeuse est simplement curieuse et souhaite simplement savoir quelles données la collectivité détient sur elle. Elle y a droit. » Mais la déléguée de la commune de Sceaux n’a pas été beaucoup sollicitée dans ce cadre. « J’avais peur qu’avec la médiatisation qui a accompagné l’entrée en vigueur du RGPD, de nombreuses demandes arrivent, mais j’ai eu une seule requête. »

Cet article est en relation avec le dossier

• Données personnelles : un gisement sous haute protection