Partager l’article
Etiquettes
Préambule
Permis de construire, déclarations préalables, certificats d’urbanisme : chaque dossier instruit par une collectivité contient de nombreuses données personnelles. À ce titre, les collectivités sont pleinement responsables de leur utilisation au regard du RGPD.
La conformité ne se limite pas à des mentions d’information : elle concerne l’organisation interne, les outils numériques, la sécurité, la communication au public, les durées de conservation et la gestion des droits des administrés.
Dans un contexte de dématérialisation croissante et de transparence administrative renforcée, les risques de diffusion excessive ou non maîtrisée augmentent.
Cet article propose un rappel clair et opérationnel des principales obligations applicables aux autorisations d’urbanisme, afin d’aider les collectivités à sécuriser leurs pratiques tout en garantissant un service public efficace.
Urbanisme : vos pratiques respectent-elles le RGPD ?
Rappel des obligations essentielles pour les collectivités
La collectivité, un acteur directement responsable
Lorsqu’une collectivité territoriale reçoit, instruit, délivre, publie ou conserve des autorisations d’urbanisme (permis de construire, déclarations préalables, certificats d’urbanisme, etc.), elle manipule nécessairement des données personnelles. À ce titre, elle est considérée comme responsable du traitement au sens du RGPD.
Concrètement, cela signifie que la collectivité ne doit pas seulement respecter les règles de protection des données : elle doit aussi être en mesure de prouver à tout moment qu’elle les respecte [1]. Cette démarche repose notamment sur :
- L’identification des traitements de données existants,
- L’évaluation des risques,
- La mise en place de procédures internes,
- Et la conservation de documents attestant de la conformité.
Les traitements liés à l’urbanisme sont, dans la grande majorité des cas, justifiés parce qu’ils sont nécessaires :
- À l’exercice d’une mission de service public,
- Et/ou au respect d’obligations légales prévues par les textes [2] (CRPA, code de l’urbanisme, obligations de publicité et de conservation des archives).
Dans ce cadre, il n’est généralement pas nécessaire de demander le consentement des pétitionnaires. La collectivité peut traiter les données dès lors qu’elle agit dans le strict respect des règles applicables.
La conformité au RGPD en matière d’autorisations d’urbanisme ne se limite pas à quelques mentions d’information ou à des précautions techniques. Elle concerne l’ensemble de la chaîne de traitement des dossiers : depuis la collecte des informations jusqu’à leur archivage, en passant par leur sécurisation et la gestion des demandes des administrés. Pour les collectivités, l’enjeu est double : respecter les exigences légales tout en conservant des pratiques simples, opérationnelles et compatibles avec les contraintes du service public.
Les points suivants proposent une lecture concrète des principaux leviers à activer.
1/ Piloter la conformité : s’organiser pour respecter le RGPD
La désignation d’un Délégué à la protection des données (DPO) est obligatoire pour les collectivités territoriales. Le DPO :
- Conseille sur les traitements liés aux autorisations d’urbanisme,
- Tient ou supervise le registre des traitements,
- Est l’interlocuteur de la CNIL et des administrés
Le registre doit recenser spécifiquement les traitements relatifs :
- À l’instruction des demandes (front-office papier et téléservice),
- À la gestion des recours et contentieux,
- À la publication / communication des décisions,
- À l’archivage courant, intermédiaire et définitif.
Pour les traitements présentant des risques élevés (SI urbanisme centralisé, interconnexions, large publication, etc.), la collectivité doit apprécier la nécessité d’une analyse d’impact.
2/ Collecter et protéger les données dès l’instruction des dossiers
a. Les données collectées et le principe de minimisation
Les dossiers d’autorisations d’urbanisme comprennent notamment l’identité du pétitionnaire, ses coordonnées, les données relatives au terrain, aux plans et à la nature du projet.
Le RGPD impose que seules les données « adéquates, pertinentes et limitées à ce qui est nécessaire » soient collectées (principe de minimisation). Pour les téléservices d’urbanisme, il doit s’agir exclusivement des informations et pièces strictement nécessaires à la demande (formulaires réglementaires, pièces prévues par le code de l’urbanisme, pièces de notification, etc.).
Les catégories de données doivent être précisément décrites dans le registre (type de données, origine, catégories de personnes concernées, destinataires, etc.).
b. La dématérialisation et les téléservices en matière d’urbanisme
Depuis le 1er janvier 2022, la dématérialisation des demandes d’autorisation d’urbanisme permet le dépôt et l’instruction par voie électronique, ce qui accroît la « volatilité » des données et les risques associés (multiplication des canaux, interconnexions, risques de diffusion non maîtrisée).
Les collectivités doivent :
- Intégrer la protection des données dès la conception des téléservices et « SI » urbanisme
- Prévoir des outils permettant l’exploitation, la sauvegarde et la sécurisation des données transmises,
- Informer clairement les usagers via les conditions générales d’utilisation et mentions d’information RGPD (finalités, base légale, durées, droits, DPO, etc.).
c. Sécurité et sous-traitance
Les collectivités doivent garantir la sécurité des données, à la fois physique (locaux, archives papier) et logique (SI, téléservices, habilitations, journalisation, sauvegardes, chiffrement, etc.).
La sous-traitance (éditeurs de logiciels urbanisme, hébergeurs, prestataires d’archivage ou de téléservice) doit être rigoureusement encadrée par contrat : instructions documentées, obligations de confidentialité, garanties de sécurité, assistance en cas de violation, localisation des données, etc.
d. Communication au public des dossiers d’urbanisme et RGPD
a) Le droit d’accès du public, issu du Code des Relations entre le Public et l’Administration (CRPA) et l’article 86 du RGPD
Les autorisations individuelles d’urbanisme et l’ensemble des pièces annexées obligatoires sont des documents administratifs communicables à toute personne qui en fait la demande, sur le fondement de l’article L. 311‑1 du CRPA.
La consultation, la communication, la diffusion ou la mise en ligne de ces documents constituent des traitements de données à caractère personnel au sens du RGPD.
L’article 86 du RGPD autorise la communication de données personnelles figurant dans des documents officiels afin de concilier :
- Le droit d’accès du public aux documents administratifs,
- Avec le droit à la protection des données personnelles.
Dans ce cadre, l’administration, en tant que responsable de traitement, est dispensée de recueillir le consentement des personnes concernées lorsqu’elle procède à une communication imposée ou permise par la loi (CRPA, code de l’urbanisme, décret de publicité des autorisations, etc.).
b) Les mentions à occulter avant la communication
Avant toute communication à un tiers, certaines mentions figurant dans les autorisations d’urbanisme doivent être occultées car leur divulgation porterait atteinte à la vie privée [3].
Doivent notamment être masqués :
- La date et le lieu de naissance du pétitionnaire,
- Les numéros de téléphone et adresses mail du pétitionnaire et de l’architecte,
- Le nom et les coordonnées de la personne mandatée pour la correspondance, lorsqu’il ne s’agit pas du pétitionnaire ou, pour l’architecte, ses coordonnées téléphoniques et électroniques,
- Le nom et les coordonnées du propriétaire ou bénéficiaire redevable d’une participation (voirie, réseaux) différent du pétitionnaire,
- La finalité du projet (par exemple, projet destiné à la location ou à la vente).
En revanche, demeurent communicables, notamment :
- Le nom et l’adresse du pétitionnaire,
- le nom et l’adresse de l’architecte (hors téléphone et email),
- l’objet du permis, la date d’autorisation, la déclaration d’ouverture de chantier.
Ces occultations relèvent de la conciliation entre transparence administrative (contrôle des autorisations par les tiers, droit au recours) et protection des données personnelles.
c) Publication en ligne des autorisations d’urbanisme
Le décret n° 2018‑1117 du 10 décembre 2018 autorise la publication en ligne des autorisations individuelles d’urbanisme sans anonymisation préalable, sous certaines conditions fixées par les textes (durée, périmètre, finalité d’information du public).
Cette publication reste néanmoins un traitement soumis au RGPD : la collectivité doit vérifier qu’elle s’inscrit dans la base légale pertinente (obligation légale / mission d’intérêt public) et qu’aucune donnée manifestement excessive ou sensible n’est exposée au‑delà de ce que prévoient les textes.
d) Modalités d’accès (consultation, copie, envoi dématérialisé)
Le droit d’accès s’exerce, au choix du demandeur :
- Par consultation gratuite sur place,
- Par envoi électronique (sans frais si le document existe déjà sous cette forme),
- Par délivrance de copies, aux frais de reproduction.
En cas de traitement massif ou de publication accessible à un large public, une vigilance particulière s’impose sur les mentions à occulter et, le cas échéant, sur la nécessité d’anonymiser certaines données pour éviter des réutilisations détournées.
Par ailleurs, les collectivités ne peuvent transmettre les données qu’à des « tiers autorisés » lorsque la loi le prévoit (autorités publiques, juridictions, auxiliaires de justice), sur la base d’une demande écrite précisant le fondement légal.
3/ Conserver les dossiers sans conserver trop longtemps
Les données ne doivent pas être conservées au‑delà de ce qui est nécessaire aux finalités poursuivies (instruction, contrôle, recours) ; les durées de conservation et d’archivage doivent être définies et documentées traitement par traitement.
Le cycle de vie comprend :
- Une phase d’utilisation courante (instruction, contentieux éventuel),
- Une phase d’archivage intermédiaire (conservation à des fins de preuve, de suivi, de contrôle),
- Un archivage définitif lorsque les dossiers présentent un intérêt historique, scientifique ou statistique au sens du droit des archives.
Ces durées doivent être cohérentes avec les prescriptions d’urbanisme, les délais de recours et les règles d’archives publiques.
4/ Répondre aux administrés : comprendre et gérer leurs droits
Les pétitionnaires, propriétaires, architectes, mais aussi agents et prestataires dont les données sont traitées disposent des droits prévus par le RGPD :
- Droit d’accès, rectification, effacement (dans la limite des obligations légales de conservation),
- Droit de limitation,
- Droit d’opposition lorsque la base légale le permet,
- Droit à la portabilité lorsque le traitement repose sur le consentement ou le contrat (cas plus rares en urbanisme).
La collectivité doit organiser un circuit interne pour la réception, l’instruction et la réponse aux demandes (information des services urbanisme, rôle du DPO, délais de réponse, gestion des refus et des voies de recours, etc.).
En cas de violation de données (perte de dossiers, intrusion dans le SI urbanisme, diffusion non autorisée de pièces en ligne…), la collectivité doit appliquer les procédures de notification à la CNIL, et le cas échéant aux personnes concernées, prévues par le RGPD.
5/ Synthèse opérationnelle des obligations clés que les collectivités doivent respecter et conclusion
Dans le champ des autorisations d’urbanisme, les principales obligations des collectivités sont, en pratique :
- D’identifier et documenter les traitements (instruction, téléservices, publication, archivage) dans un registre piloté par le DPO ;
- De limiter la collecte aux données strictement nécessaires et d’encadrer les téléservices en ce sens ;
- De sécuriser les SI urbanisme et les archives, y compris vis‑à‑vis des sous‑traitants ;
- De concilier le droit d’accès aux documents (CRPA) avec la protection des données (art. 86 RGPD), via l’occultation systématique des mentions sensibles identifiées ;
- De définir des durées de conservation, en cohérence avec le droit des archives publiques ;
- D’organiser l’exercice des droits des personnes et la gestion des violations de données ;
- D’inscrire toutes ces mesures dans une démarche continue de mise en conformité et de sensibilisation des services urbanisme.
Et vous, collectivités, où en êtes-vous ?
- Vos autorisations d’urbanisme sont-elles réellement cartographiées dans votre registre RGPD ?
- Vos téléservices sont-ils paramétrés pour limiter la collecte aux seules données nécessaires ?
- Vos arrêtés, permis et déclarations préalables sont-ils publiés avec une occultation systématique des mentions sensibles ?
- Vos durées de conservation sont-elles formalisées et sécurisées ?
- Vos services urbanisme savent-ils comment réagir en cas de violation de données ?
Le RGPD appliqué aux autorisations d’urbanisme n’est ni un sujet théorique ni une contrainte abstraite : il engage directement la responsabilité de la collectivité et de son exécutif.
Au-delà de l’obligation juridique, il s’agit d’un enjeu de sécurisation des procédures, de maîtrise du risque contentieux et de confiance des administrés.
Un audit rapide de vos pratiques peut révéler des marges d’amélioration simples et immédiatement opérationnelles. La question n’est donc pas de savoir si vous êtes concernés, mais si votre organisation est réellement sécurisée !
[1] cnil-guide-collectivite-territoriale.pdf
[2] Décision CADA Conseil 20192274, séance du 27 juin 2019
[3] Décision CADA Conseil 20192274, séance du 27 juin 2019
