Conseils · Ce que dit la loi
RGPD et site de mairie : les cinq points qui concernent vraiment votre commune
Le RGPD ne s’applique pas au site de votre commune « en général » : il s’applique à cinq endroits précis, toujours les mêmes. Les voici, avec pour chacun le geste qui met en règle — la plupart se règlent en une après-midi.
Publié le 16 juillet 2026 · mis à jour le 14 août 2026 · 7 min de lecture · par Thomas, La Fabrique des Communes
1. Les traceurs : le défaut le plus répandu
Une mesure d’audience installée « par défaut », une carte interactive, des vidéos intégrées, des polices chargées depuis un serveur américain : autant de requêtes qui partent vers des tiers, souvent avec dépôt de cookies, sans le consentement de l’administré.
Le geste : l’inventaire, puis le retrait. Pour la mesure d’audience, des solutions sans cookie et hébergées en France ou dans l’Union donnent les chiffres utiles à une commune — nombre de visites, pages lues — sans bandeau de consentement. Pour le reste, chaque ressource tierce se remplace par une version hébergée sur le site.
2. Les formulaires : minimiser, informer, purger
Contact, inscription cantine, réservation de salle : trois règles. Ne demander que le nécessaire (un formulaire de contact n’a pas besoin de la date de naissance). Dire sous le formulaire qui traite les données, pourquoi, combien de temps. Et purger : les messages de contact n’ont pas vocation à rester dix ans dans une boîte mail.
3. Les photos d’administrés : le droit à l’image d’abord
La fête de l’école, le repas des aînés : publier des visages identifiables demande l’accord des personnes — et celui des responsables légaux pour les mineurs, ce qui condamne la photo de classe publiée sans formalité. Le réflexe sûr : privilégier les plans larges, et faire signer les autorisations au moment de l’inscription aux événements.
4. La lettre d’information : consentement et désinscription
L’inscription doit être un acte volontaire (jamais une case pré-cochée, jamais une liste récupérée d’un autre fichier), et chaque envoi doit permettre la désinscription en un clic. C’est tout — mais c’est impératif.
5. Les sous-traitants : l’hébergeur et le prestataire
L’hébergeur du site et le prestataire qui le maintient traitent des données pour le compte de la commune : le RGPD exige un contrat qui le dise (l’« acte de sous-traitance », article 28). Il est généralement fourni par le prestataire — s’il ne l’est pas, demandez-le. Et le tout s’inscrit au registre des traitements de la commune, que votre délégué à la protection des données (souvent mutualisé au niveau du centre de gestion) tient à jour.
L’après-midi type de mise en règle
Inventaire des traceurs et retrait (2 h), mentions d’information sous les trois formulaires (30 min), acte de sous-traitance signé avec l’hébergeur (15 min), inscription au registre (30 min). Le point le plus long — la politique de confidentialité complète — est un document d’une page dont la structure est toujours la même ; c’est l’un des livrables de notre remise à niveau.
Questions fréquentes
Un site de mairie peut-il utiliser une mesure d’audience sans bandeau cookie ?
Oui. Des solutions de mesure d’audience sans cookie, hébergées en France ou dans l’Union européenne, sont exemptées de consentement lorsqu’elles sont configurées selon les recommandations de la CNIL. Elles donnent les indicateurs utiles à une commune — visites, pages consultées — sans bandeau.
La mairie peut-elle publier des photos de la fête de l’école sur son site ?
Seulement avec l’accord des personnes identifiables — et celui des responsables légaux pour les mineurs. En pratique : faire signer les autorisations de droit à l’image à l’inscription aux événements, et privilégier les plans larges où personne n’est individuellement reconnaissable.
Une commune doit-elle avoir un délégué à la protection des données pour son site ?
Oui : toute autorité publique doit désigner un délégué à la protection des données (DPO), site internet ou non. La plupart des petites communes mutualisent cette fonction via leur centre de gestion ou leur intercommunalité — le site doit alors mentionner ce contact dans sa politique de confidentialité.
