Une commune doit-elle avoir un délégué à la protection des données ?

Oui. La CNIL indique que le RGPD impose à toutes les structures publiques de désigner un délégué. La désignation se notifie à la CNIL par son téléservice.

Un élu peut-il être désigné délégué ?

La CNIL déconseille, pour des raisons de principe, de désigner un conseiller municipal comme délégué. Le délégué doit être indépendant et à l'abri des conflits d'intérêts.

Peut-on mutualiser le délégué entre plusieurs communes ?

Oui. La CNIL cite la désignation mutualisée entre plusieurs organismes publics, sous réserve d'une convention.

RGPD en mairie : données des habitants et outils d'IA

Une mairie traite chaque jour des données sur ses habitants : état civil, inscriptions scolaires, aides sociales, urbanisme, cimetière, élections. L'intelligence artificielle (IA) ajoute une question nouvelle : peut-on coller un de ces documents dans un outil pour gagner du temps ? La réponse courte est non, sauf outil validé par la commune. Cette page donne le cadre et renvoie aux sources.

Ce que la CNIL dit du délégué

La CNIL rappelle que le RGPD impose à toutes les structures publiques de désigner un délégué à la protection des données. Plusieurs points de sa page sont utiles à une commune :

la désignation se notifie à la CNIL par le téléservice dédié ; les modifications se font par courriel au service des délégués ;
le délégué rend compte au niveau le plus élevé de la hiérarchie, et exerce ses missions en toute indépendance ;
le délégué peut être interne, externe par contrat, ou mutualisé entre plusieurs organismes publics, sous réserve de convention ;
le maire doit lui fournir des moyens adaptés au volume et à la sensibilité des traitements ;
la CNIL déconseille de désigner un conseiller municipal comme délégué.

La page de la CNIL porte la date du 22/07/2019 : vérifiez sur le site de la CNIL que la règle n'a pas été mise à jour avant toute décision.

Ce que l'IA fait bien, et ce qu'elle ne doit pas recevoir

Usage	Possible	À éviter
Reformuler un modèle de texte sans donnée	Oui	Non
Résumer un document déjà public	Oui, après relecture	Non, si le texte contient des noms
Traiter un dossier d'aide sociale	Non sur un outil grand public	Oui, c'est une donnée sensible
Rédiger une réponse à un habitant	Brouillon anonymisé	Coller le courrier avec son nom
Analyser un fichier d'électeurs ou de population	Non sans outil validé	Oui

La règle de base vient de la CNIL : sur un service grand public, ne pas partager d'informations confidentielles comme des données personnelles, et éviter autant que possible de saisir des données personnelles. La même page rappelle que les réponses peuvent être inexactes tout en paraissant plausibles : une donnée inventée dans un acte reste une faute.

Méthode pour une commune

Recenser les traitements de données : état civil, scolaire, social, urbanisme, RH.
Dresser la liste des outils d'IA utilisés par les agents, y compris ceux qu'ils ont installés à titre personnel.
Fixer les données interdites dans un outil non validé (voir la charte d'usage).
Associer le délégué à chaque nouvel outil avant son usage, et lui soumettre la liste.
Former les agents à reconnaître une donnée personnelle dans un texte : un nom, une adresse, un numéro de dossier, une situation sociale.

Ce qu'il faut vérifier avant d'adopter un outil

Où les données sont hébergées et pendant combien de temps elles sont conservées, selon le contrat.
Si l'outil réutilise les textes saisis pour entraîner ses modèles.
Qui peut accéder aux conversations de la commune.
Si l'éditeur répond aux demandes d'information des agents.
L'avis du délégué, consigné par écrit.

Erreurs fréquentes

Utiliser un compte personnel d'outil grand public pour un dossier de la mairie.
Croire qu'un texte « anonymisé » ne contient plus de donnée personnelle alors qu'il reste un numéro de dossier ou une adresse.
Oublier que le délégué doit être consulté avant l'usage, et non après.

Pour les courriers des habitants, voir répondre aux administrés. Pour la publication des comptes rendus, voir le compte rendu de conseil municipal. Pour ce que l'outil ne doit jamais trancher, voir les limites de l'IA en collectivité.