« DPO », « RGPD », « PSSI » : beaucoup de directions d’école et de secrétariats de mairie tapent ces mots dans un moteur de recherche sans vraiment savoir ce qu’ils recouvrent — jusqu’à ce qu’un contrôle, une plainte ou une question d’un parent d’élève les oblige à s’y intéresser. Voici ce qu’il faut savoir, et comment GET Conseil accompagne les écoles et mairies des Hauts-de-France sur ce sujet.
Qu’est-ce qu’un DPO, et pourquoi votre établissement doit en avoir un
Le DPO (Délégué à la Protection des Données) est la personne chargée de veiller au respect du RGPD au sein d’une organisation : informer et conseiller sur les obligations légales, contrôler la conformité des traitements de données, et servir de point de contact avec la CNIL et avec les personnes concernées (élèves, familles, administrés).
Ce n’est pas une option pour les écoles et les mairies. L’article 37 du RGPD impose à toute autorité ou organisme public de désigner un DPO. Une école publique ou une mairie qui n’a pas encore désigné de DPO est donc en situation de manquement, qu’elle en ait conscience ou non.
Pourquoi cette obligation est souvent découverte trop tard
Dans beaucoup d’établissements, personne n’a le temps ni la formation pour suivre ce sujet de près. L’obligation de DPO existe depuis l’entrée en application du RGPD en 2018, mais elle reste largement méconnue dans les petites structures publiques : une mairie de quelques milliers d’habitants ou une école isolée n’a pas forcément de service juridique ou informatique dédié pour s’en occuper.
Résultat : la question ressort souvent au pire moment — à l’occasion d’un contrôle CNIL, d’une plainte, ou d’un incident de sécurité (vol de données, cyberattaque) qui révèle que personne n’était réellement responsable du sujet.
DPO interne, mutualisé ou externe : quelle option choisir ?
Trois options existent, selon la taille et les moyens de l’établissement :
- DPO interne : un agent de la structure, formé pour exercer cette mission en plus de son poste.
- DPO mutualisé : plusieurs communes ou établissements se partagent un même DPO — une solution fréquente entre petites mairies.
- DPO externe : un prestataire spécialisé prend en charge la fonction pour le compte de l’établissement.
Le bon choix dépend de la taille de la structure, du volume de données traitées, et des ressources internes disponibles. GET Conseil vous aide à comprendre cette obligation et à orienter votre établissement vers l’option la plus adaptée — sans se substituer au DPO lui-même.
La PSSI : le volet technique que beaucoup oublient
Désigner un DPO ne suffit pas si le système d’information derrière n’est pas réellement sécurisé. C’est là qu’intervient la PSSI (Politique de Sécurité des Systèmes d’Information) : le document-cadre qui définit les règles concrètes de protection des données et du système informatique — qui a accès à quoi, comment sont gérées les sauvegardes, comment réagir en cas d’incident (panne, cyberattaque, perte de données), et comment sensibiliser les équipes aux bons réflexes.
La PSSI est la contrepartie concrète de l’article 32 du RGPD, qui impose des « mesures techniques et organisationnelles appropriées » pour sécuriser les données personnelles. Sans PSSI réellement appliquée, un DPO désigné ne peut pas garantir une conformité effective — il lui manque le socle technique sur lequel s’appuyer.
C’est précisément ce volet que GET Conseil prend en charge : audit de l’existant, sécurisation du système d’information, procédures de sauvegarde et de réponse aux incidents, gestion des accès, sensibilisation des équipes.
Notre accompagnement, étape par étape
- État des lieux : un DPO est-il déjà désigné ? Quels traitements de données existent (fichiers élèves, administrés, vidéoprotection) ? Où en est la sécurité du système d’information ?
- Orientation vers un DPO adapté : interne, mutualisé entre plusieurs communes, ou externe, selon votre structure.
- Mise en place de la PSSI : le socle technique concret de votre conformité, pris en charge de bout en bout par GET Conseil.
Vous pouvez en savoir plus sur notre accompagnement DPO & PSSI pour écoles et mairies, ou nous contacter directement pour faire le point sur votre situation.
Questions fréquentes
Une école ou une mairie est-elle vraiment obligée d’avoir un DPO ?
Oui. L’article 37 du RGPD impose à toute autorité ou organisme public — ce qui inclut les écoles publiques et les mairies — de désigner un Délégué à la Protection des Données.
Quelle est la différence entre un DPO et la PSSI ?
Le DPO est une personne (ou une fonction) chargée de veiller au respect du RGPD. La PSSI est un document-cadre qui définit les règles techniques et organisationnelles concrètes de sécurité du système d’information. Les deux sont complémentaires : le DPO a besoin d’une PSSI solide pour pouvoir garantir une conformité réelle.
GET Conseil peut-il être notre DPO ?
Non. GET Conseil vous accompagne dans la compréhension de cette obligation et la désignation d’un DPO adapté à votre structure (interne, mutualisé ou externe). Nous prenons en charge la mise en place de votre PSSI, le volet technique de votre sécurité informatique.
Que risque un établissement sans DPO désigné ?
Un manquement RGPD, qui expose l’établissement à un risque de sanction de la CNIL en cas de contrôle ou de plainte.