L'alerte et le RGPD : protéger les personnes sans fragiliser leurs données
Alerter, c'est utiliser des noms, des numéros de téléphone et parfois des adresses. Pour une commune comme pour une entreprise, ce fichier relève du RGPD. Voici les règles à connaître, et ce que Cityc met en place pour vous aider à les respecter.
Trois principes pour un fichier d'alerte conforme
Ils valent pour toutes les organisations, quel que soit le public alerté.
Une seule finalité
Les coordonnées recueillies servent à alerter et à informer en cas d'événement grave. Elles ne sont pas réutilisées pour une autre finalité (communication générale, prospection) sans nouveau consentement.
Le strict nécessaire
Un nom, un numéro, éventuellement une adresse pour le ciblage géographique : on ne collecte que ce qui sert à prévenir la bonne personne au bon endroit.
Des accès maîtrisés
Seules les personnes habilitées consultent le fichier. Les données sont protégées, hébergées dans un cadre identifié et supprimées quand elles ne sont plus utiles.
Collectivités et entreprises : des règles proches, des points d'attention différents
Collectivités : alerter la population
- Le volontariat avant tout. Pour le fichier d'alerte prévu dans le PCS, la CNIL recommande une inscription fondée sur la démarche volontaire des habitants : le recensement exhaustif et permanent des coordonnées de la population ne repose sur aucun texte.
- Une base légale identifiée. Le RGPD permet de traiter des données sans consentement pour une mission d'intérêt public ou la sauvegarde des intérêts vitaux des personnes (article 6). Cela n'écarte pas la recommandation de volontariat de la CNIL pour l'inscription.
- Les fichiers existants pour inviter, pas pour inscrire. Liste électorale ou fichier de communication municipale peuvent servir à faire connaître le dispositif, en indiquant la source des données utilisées, pas à inscrire d'office dans le fichier d'alerte.
- Une information complète à l'inscription. Responsable du traitement et DPO, finalité, base légale, caractère facultatif, durée de conservation, destinataires et droits des personnes. Le dispositif se fait connaître par tous moyens : site, bulletin municipal, affichage.
- Le registre des personnes vulnérables reste distinct. Prévu par l'article L121-6-1 du Code de l'action sociale et des familles, il a ses propres règles. Depuis le décret du 3 juillet 2026, il est aussi alimenté par les données des bénéficiaires de l'APA et de la PCH transmises au maire, sauf opposition de leur part.
Entreprises : alerter les salariés et les intervenants
- Une obligation de sécurité. L'employeur prend les mesures nécessaires pour assurer la sécurité et protéger la santé des travailleurs (article L4121-1 du Code du travail). Prévenir vite en cas d'incident en fait partie.
- Des salariés informés à l'avance. Aucune donnée ne peut être collectée par un dispositif qui n'a pas été porté à la connaissance des salariés : responsable, finalité, base légale, caractère obligatoire ou facultatif, durée de conservation, droits.
- Les représentants du personnel associés. La CNIL rappelle que l'employeur informe les instances représentatives du personnel avant d'utiliser des fichiers de gestion du personnel : une démarche à suivre aussi pour l'outil d'alerte.
- Numéro professionnel ou personnel. Privilégiez les coordonnées professionnelles ; le numéro personnel se recueille de préférence sur une base facultative, en expliquant son usage.
- Prestataires, visiteurs, riverains. Pour les personnes extérieures à l'entreprise, l'inscription volontaire reste la règle la plus sûre.
Vous décidez, Cityc exécute pour votre compte
Le RGPD distingue celui qui décide de l'usage des données (le responsable du traitement) et celui qui les traite pour son compte (le sous-traitant). Un contrat écrit entre les deux est obligatoire.
Votre organisation, responsable du traitement
- La commune, sous la responsabilité du maire, ou l'entreprise employeur
- Inscription du traitement au registre des activités de traitement
- Association du délégué à la protection des données (DPO)
- Information des personnes et réponse à leurs demandes
Cityc, sous-traitant
Ce que l'article 28 du RGPD impose au contrat :
- Traitement uniquement sur vos instructions documentées
- Confidentialité et mesures de sécurité adaptées
- Notification des violations de données et assistance
- Suppression ou restitution des données en fin de contrat
La conformité intégrée à la plateforme
Les outils d'inscription et de gestion des contacts ont été pensés pour faciliter le volontariat, l'information et l'exercice des droits.
Formulaire d'inscription en ligne
Un formulaire à votre nom, à placer sur votre site. Chacun s'inscrit lui-même, dans les groupes que vous ouvrez à l'inscription.
Texte RGPD personnalisable
Finalité, base légale, durée de conservation, droits : le texte d'information affiché sur le formulaire est le vôtre, avec un lien vers votre politique de confidentialité.
Inscription et désinscription par téléphone
Un simple appel au serveur vocal de votre liste inscrit ou désinscrit la personne : le volontariat reste accessible à ceux qui n'utilisent pas internet.
Désinscription à tout moment
Un lien de désinscription accompagne le formulaire : retirer son consentement est aussi simple que de le donner.
Adresse seulement si utile
La demande d'adresse postale sur le formulaire est une option, activée par Cityc si vous utilisez le ciblage géographique : vous collectez le strict nécessaire.
Hébergement souverain
Plateforme et données hébergées en France, sur les infrastructures de CMRP, opérateur de télécommunications déclaré à l'ARCEP.
Comptes nominatifs et droits par profil
Chaque utilisateur n'accède qu'aux données utiles à sa mission.
Envois horodatés
Chaque alerte est horodatée et la liste des contacts alertés reste consultable : vous savez qui a été prévenu et quand.
Tenue à jour du fichier
Modification et suppression des contacts à la demande, import pour mettre à jour une liste.
Mettre votre dispositif en conformité, en six étapes
Une démarche courte, à mener avec votre DPO au moment de la mise en service.
Définir la finalité
Alerte et information en cas d'événement grave : risques majeurs pour une commune, incidents et crises pour une entreprise.
Choisir la base légale
Mission d'intérêt public ou intérêts vitaux pour une collectivité ; obligation de sécurité de l'employeur ou intérêt légitime pour une entreprise.
Inscrire le traitement au registre
Avec l'avis du DPO. Pour une commune, une délibération du conseil municipal peut utilement encadrer le dispositif (bonne pratique, non obligatoire).
Rédiger l'information des personnes
Le texte affiché sur le formulaire Cityc, complété par une page de votre politique de confidentialité.
Ouvrir les modes d'inscription
Formulaire sur votre site, serveur vocal, import des listes internes : vous choisissez, et vous faites connaître le dispositif.
Faire vivre le fichier
Mises à jour régulières (la CNIL suggère un rappel annuel aux inscrits), suppression au départ d'un salarié ou d'un habitant, réponse aux demandes d'accès et de rectification.
Questions fréquentes
Cette page présente les grandes règles applicables et ne remplace pas un conseil juridique. Votre délégué à la protection des données reste votre premier interlocuteur.
Ils nous font confiance
Bientôt 10 ans que collectivités et entreprises nous confient l'alerte et la gestion de crise pour protéger leurs habitants, leurs salariés et leurs sites.
Collectivités
Entreprises
Ils pilotent leurs crises avec Cityc
Le Conseil Municipal a choisi d’adopter Cityc Alerte par rapport à la pluralité de systèmes d’alerte (fixe, SMS, mail, application) et la large possibilité de diffusion. L’outil est simple d’utilisation et permet de choisir les types de communication qui s'adapte le mieux à l'information à diffuser.
Le conseil municipal de Saulgé a apprécié le sérieux et la réactivité des équipes. L'alerte par différents canaux nous permet de répondre aux besoins des différentes catégories de notre population. Les saulgéens apprécient l’interactivité du dispositif.
Lors de la mise en place du logiciel sur notre commune, deux personnes du groupe se sont déplacées pour venir nous rencontrer. Les échanges ont été intéressants et constructifs et les réponses apportées à nos demandes à la hauteur des attentes. L'accompagnement est toujours de qualité.
Un dispositif qui convient parfaitement à ma commune par la sélectivité des groupes créés et qui pourraient être concernés par les messages et alertes. Un moyens de communication essentiel dans le cadre du PCS. Tous mes collègues maires autour de mon village adoptent ce dispositif. Les personnes de la société sont très disponibles et réactifs pour gérer les petites difficultés dans la prise en main de la plateforme. Bravo pour cette société française.
Voyons ensemble votre plan de crise
Démonstration en visio de 30 minutes, adaptée à votre structure. Sans engagement.