Coût de mise en œuvre du règlement général sur la protection des données pour les collectivités locales

Mme Nadia Sollogoub. Madame la secrétaire d'État, je vous soumets une question qui a été déposée au mois d'avril 2019. J'attirais alors l'attention du Gouvernement sur les conséquences financières pour les collectivités territoriales de la mise en œuvre du règlement général sur la protection des données (RGPD), applicable depuis le 25 mai 2018.

Des cabinets spécialisés ont fait à l'époque des offres de service pour une mise en conformité et un suivi de la protection des données.

J'ai été saisie par de nombreux maires, très inquiets, notamment celui de la commune de Marzy, dans la Nièvre. Pour les plus petites communes, en particulier les 33 000 d'entre elles qui comptent moins de 3 500 habitants, la question du financement est une réalité très concrète, d'autant que leurs budgets sont déjà à l'étiage.

Mme le président. La parole est à Mme la secrétaire d'État.

Mme Olivia Gregoire, secrétaire d'État auprès du ministre de l'économie, des finances et de la relance, chargée de l'économie sociale, solidaire et responsable. Madame la sénatrice, la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles, qui adapte le règlement européen RGPD au corpus normatif national, est de portée générale, touchant tout à la fois l'ensemble des administrations et des entreprises. Les obligations qui en résultent s'appliquent à l'ensemble des compétences des collectivités territoriales, de sorte que celles-ci doivent garantir la protection et l'encadrement de l'accès aux données individuelles qu'elles traitent – données sociales, de santé, etc.

En ce sens, la loi précitée affecte bel et bien les compétences des collectivités, sans pour autant en modifier le périmètre, et sans en transformer ni la finalité ni la nature.

Dès lors, le législateur n'a pas procédé à l'extension de la compétence de ces collectivités, se contentant d'en aménager les modalités d'exercice. Par voie de conséquence, cette disposition n'ouvre pas droit à une compensation constitutionnellement due.

Pour autant, et comme vous le soulignez, bien que ces obligations n'ouvrent pas droit à compensation, un dispositif d'accompagnement ad hoc a été mis en place via la Commission nationale de l'informatique et des libertés (CNIL). Le législateur et le Gouvernement ont également donné aux collectivités les moyens juridiques de mutualiser l'exercice de cette mission.

Mme le président. La parole est à Mme Nadia Sollogoub, pour la réplique.

Mme Nadia Sollogoub. Je vous remercie de votre réponse, madame la secrétaire d'État.

L'accompagnement technique de la CNIL n'est pas une réponse financière et la mutualisation est loin d'être une réponse universelle. En additionnant deux pauvres, on ne fait pas un riche !

Il s'agit certes d'une question ancienne, mais le temps ne change rien à l'affaire. Quelqu'un s'est-il soucié du coût de ce dispositif ? Dans un rapport d'évaluation de juin 2020, la Commission européenne se félicite du principe de ce système vertueux, qui confère au citoyen des droits opposables supplémentaires. C'est tant mieux, en effet, mais elle ne dit pas un mot de son impact financier… D'après la CNIL, en novembre 2019, soit dix-huit mois après la mise en œuvre de cette mesure, 60 % des communes françaises n'avaient pas nommé de délégué à la protection des données. Sachant qu'un audit de trois à dix jours pourrait coûter en moyenne 4 000 euros, on comprend pourquoi !

À l'heure où je reçois des appels au secours de collectivités confrontées aux surcoûts de la crise du covid – je pense par exemple aux restes à charge des matériels de protection ou à l'hygiénisation des boues de stations d'épuration –, qui se soucie de l'addition ? Madame la secrétaire d'État, chaque année, les budgets des communes doivent supporter des dépenses supplémentaires. Le Gouvernement classe, ferme les yeux, et la note s'alourdit. La seule conséquence, c'est que les élus doivent rogner sur leurs indemnités. Le pire, c'est cette façon de ne pas voir, d'ignorer, de considérer que ça va passer… Cela ne passe plus, madame la secrétaire d'État, et je vous demande l'addition !