Depuis l’entrée en application du RGPD, le délégué à la protection des données (DPO ou DPD) occupe une place centrale dans la gouvernance des données personnelles. Pour une collectivité territoriale, le sujet est particulièrement sensible : dossiers individuels des agents, paie, absentéisme, santé au travail, recrutement, action sociale, vidéoprotection, données des usagers, téléservices ou encore sécurité des systèmes d’information multiplient les traitements de données personnelles.

Le guide pratique publié par la Commission nationale de l’informatique et des libertés (CNIL) permet de clarifier les responsabilités respectives de la collectivité et de son DPO. Il rappelle surtout un principe essentiel : désigner un DPO ne suffit pas. Encore faut-il lui garantir une position, une indépendance et des moyens lui permettant d’exercer effectivement ses missions.

1. Le DPO est obligatoire pour les collectivités territoriales

Le RGPD prévoit la désignation obligatoire d’un DPO notamment lorsque le traitement est effectué par une autorité publique ou un organisme public, à l’exception des juridictions lorsqu’elles agissent dans l’exercice de leurs fonctions juridictionnelles.

Cette obligation concerne donc les collectivités territoriales et de nombreux établissements publics locaux. Elle ne dépend pas du nombre d’agents employés par la collectivité ni du volume de données qu’elle traite : c’est ici la qualité d’autorité ou d’organisme public qui fonde l’obligation.

2. Le DPO est le pilote de la démarche de conformité

La CNIL présente le DPO comme un acteur clé de la gouvernance des données personnelles. Son rôle dépasse largement la tenue d’un registre ou la réponse ponctuelle à une question juridique.

Ses principales missions consistent notamment à :

-informer et conseiller l’organisme et ses agents ;

-diffuser une culture de la protection des données ;

-contrôler le respect du RGPD ;

-accompagner les analyses d’impact relatives à la protection des données (AIPD) ;

-être le point de contact de la CNIL ;

-être accessible aux personnes dont les données sont traitées ;

-contribuer au pilotage et à l’actualisation de la documentation relative aux traitements.

L’enjeu est donc d’associer le DPO en amont des projets et non de le solliciter une fois les décisions prises.

3. Le DPO n’est pas responsable de la conformité de la collectivité

C’est probablement l’un des rappels les plus importants pour les directions générales. Le DPO accompagne la conformité mais n’endosse pas la responsabilité juridique du responsable du traitement.

La collectivité demeure responsable du respect du RGPD. Cette responsabilité ne peut pas être transférée au DPO par une délégation de pouvoir.

Lorsque la collectivité décide de ne pas suivre une recommandation de son DPO, la CNIL recommande utilement de documenter la décision et les motifs pour lesquels l’avis n’a pas été suivi.

4. Qui peut être désigné DPO ?

Il n’existe pas de profil professionnel unique. En revanche, la personne désignée doit posséder un niveau de connaissances adapté à la nature des traitements réalisés par l’organisme.

Pour une collectivité, la CNIL identifie notamment :

-une expertise juridique et technique en matière de protection des données ;

-une connaissance du secteur d’activité et de son organisation ;

-une compréhension des traitements et des systèmes d’information ;

-une connaissance des besoins de sécurité des données ;

-une bonne connaissance des règles et procédures administratives applicables aux organismes publics.

La certification peut constituer un élément permettant d'attester certaines compétences, mais elle n’est pas obligatoire pour être désigné DPO.

5. Le risque majeur : désigner un DPO placé en conflit d’intérêts

Le DPO peut exercer d’autres fonctions. Mais celles-ci ne doivent pas le conduire à déterminer lui-même les finalités ou les moyens des traitements qu’il sera ensuite amené à contrôler.

Autrement dit : le DPO ne peut pas être à la fois décideur et contrôleur de ses propres décisions.

La CNIL invite les organismes à documenter leur analyse de l’absence de conflit d’intérêts. Ce document peut devenir particulièrement important en cas de contrôle.

6. DPO interne, externe ou mutualisé : trois organisations possibles

Le DPO peut être un agent de la collectivité ou intervenir dans le cadre d’une prestation externe. La fonction peut également être mutualisée entre plusieurs organismes publics.

Pour les petites collectivités, la CNIL souligne l’intérêt particulier de la mutualisation. Elle permet de partager les coûts tout en bénéficiant de professionnels disposant de compétences en matière de protection des données et d’une connaissance du secteur public local.

Cette mutualisation peut notamment être organisée au niveau d’un EPCI, d’un syndicat mixte, d’une agence technique départementale ou d’un centre de gestion de la fonction publique territoriale.

7. Désigner un DPO sans lui donner de moyens ne suffit pas

Le RGPD impose à l’organisme de fournir au DPO les ressources nécessaires à l’accomplissement de ses missions.

La question des moyens recouvre notamment :

-un temps de travail suffisant ;

-l’accès aux informations et aux traitements ;

-les ressources financières nécessaires ;

-l’accès aux services RH, juridiques, informatiques et de sécurité ;

-la possibilité de maintenir ses connaissances par la formation continue ;

-si nécessaire, des collaborateurs ou un réseau de référents.

La charge de travail doit être appréciée au regard de la taille de l’organisme, mais également de la complexité et de la sensibilité des traitements.

8. L’indépendance du DPO : une garantie juridique, pas un privilège

Le DPO ne doit recevoir aucune instruction concernant l’exercice de ses missions. L’autorité territoriale ne peut donc pas lui imposer le résultat d’une analyse, lui interdire de consulter la CNIL ou exiger qu’il adopte une interprétation juridique déterminée.

Il doit par ailleurs être en mesure de faire directement rapport au niveau le plus élevé de la direction.

Cette indépendance n’implique cependant ni isolement ni absence de compte rendu. La CNIL recommande au contraire qu’un rapport régulier sur l’activité du DPO soit présenté au plus haut niveau de l’organisme.

9. Pourquoi les DRH territoriales sont directement concernées

La fonction ressources humaines concentre une quantité particulièrement importante de données personnelles, dont certaines peuvent être sensibles.

Sont notamment concernés :

-les dossiers individuels des agents ;

-les données de recrutement ;

-la paie et la carrière ;

-les absences et congés ;

-certaines données relatives à la santé ;

-les procédures disciplinaires ;

-les évaluations professionnelles ;

-les dispositifs de contrôle et de sécurité ;

-les outils numériques et le SIRH ;

-les nouveaux usages de l’intelligence artificielle appliquée aux RH.

Le dialogue entre DRH, DPO, DSI, RSSI et direction juridique constitue donc un élément essentiel de sécurisation des traitements.

Mais cette coopération doit respecter une frontière claire : la DRH reste responsable de ses choix métier et le DPO conserve son indépendance dans l’analyse de leur conformité.

10. La check-list opérationnelle de l’employeur territorial

Conclusion : le véritable enjeu n’est plus de désigner un DPO, mais d’organiser son efficacité

Dans les collectivités territoriales, la conformité au RGPD ne peut pas reposer sur une personne isolée. Elle suppose une véritable gouvernance de la donnée associant direction générale, directions métiers, DRH, DSI, RSSI, services juridiques et DPO.

Le guide de la CNIL conduit ainsi à dépasser une approche purement formelle. La collectivité doit pouvoir démontrer non seulement qu’elle a désigné un DPO, mais aussi qu’elle lui a donné l’indépendance, l’accès à l’information, les ressources et la place institutionnelle nécessaires.

📘 Ressources recommandées pour les professionnels RH territoriaux

📌 Pour sécuriser la gestion RH, l’information seule ne suffit plus.

La véritable difficulté consiste désormais à hiérarchiser les impacts, à repérer les échéances immédiates et à déterminer l’ordre des actions à engager par les services RH.

C’est précisément là que la veille statutaire et juridique analytique RH FPT 24/7 de NAUDRH.COM prend tout son sens : transformer plusieurs textes publiés simultanément en arbitrages RH clairs, en alertes ciblées et en priorités opérationnelles directement exploitables.

En période de réforme, la ressource la plus rare n’est pas l’information : c’est le temps de décision.

Faites de NAUDRH.COM votre appui juridique quotidien pour anticiper les évolutions statutaires, sécuriser vos arbitrages et agir au bon moment.

👉 Découvrir la veille RH FPT 24/7 et s’abonner