Depuis l’entrée en vigueur du RGPD en 2018, un nouvel acteur est apparu dans le paysage entrepreneurial : le délégué à la protection des données, ou DPO. Obligatoire dans certains cas, son absence de nomination peut entraîner des conséquences et des sanctions. Et surtout, le DPO joue un rôle essentiel dans la protection des données ! Petite précision : non, le RGPD n’impose pas à toutes les structures de désigner un délégué à la protection des données. Mais dans 3 cas précis, c’est une obligation légale.
Alors, pour votre entreprise ou association, DPO obligatoire ou pas ? Lexactitude décrypte cela pour vous, et vous accompagne dans sa mise en place au sein de votre structure.
📌 DPO obligatoire : l’essentiel à retenir
- Le DPO (délégué à la protection des données) est obligatoire dans 3 cas prévus par l’article 37 du RGPD : organisme public, suivi régulier et systématique à grande échelle des personnes, et traitement à grande échelle de données sensibles.
- Hors de ces 3 cas, la désignation reste facultative, mais la CNIL la recommande fortement.
- Le nombre de salariés (250, 50 ou autre) ne détermine jamais, à lui seul, l’obligation de désigner un DPO. C’est une confusion fréquente avec une autre obligation RGPD, celle du registre des traitements.
- Ne pas désigner de DPO alors que c’est obligatoire expose à une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial, en plus d’un rappel à l’ordre ou d’une mise en demeure.
- Le DPO peut être recruté en interne ou en externe : pour la plupart des PME, associations et petites collectivités, l’externalisation reste la solution la plus simple et la plus économique.
Qu’est-ce qu’un DPO ? Définition
Un DPO (Data Protection Officer), ou délégué à la protection des données, est un expert RGPD chargé de veiller au respect du règlement européen au sein d’une structure. Il est en charge de plusieurs missions, qui sont prévues aux articles 38 et 39 du RGPD et reprises dans le Guide du DPO édité par la CNIL :
- il informe, conseille et accompagne la structure (dirigeants, salariés, responsable de traitement) afin que celle-ci s’assure que les traitements sont conformes au RGPD.
- il diffuse au sein de l’entreprise une véritable culture de la protection des données.
- il contrôle que les règles du RGPD sont bien appliquées et dresse un plan d’action pour qu’elles le soient.
- Il s’assure que les traitements de données sont bien documentés (registre des traitements, registre des violations de données
- il fait office d’interlocuteur privilégié de la CNIL et des personnes concernées.
Le DPO peut être un salarié de votre structure ou un prestataire externe intervenant dans le cadre d’un contrat de service. Dans les deux cas, il doit exercer sa mission en toute indépendance, sans recevoir d’instruction sur la façon de l’exercer. Cela signifie qu’en interne, certains postes opérationnels en lien avec la gestion de données ne peuvent se cumuler avec la fonction de DPO.
Exemples : responsable RH, responsable marketing, responsable informatique, etc.
Les 3 cas où le DPO est obligatoire (article 37 du RGPD)
La désignation d’un DPO est obligatoire dès qu’un seul des 3 cas suivants, posés par l’article 37 du RGPD, s’applique à votre structure.
Cas #1 : votre structure est un organisme public (article 37.1.a du RGPD)
Toute autorité ou tout organisme public est concerné, quelle que soit sa taille : État, collectivités territoriales (régions, départements, communes, intercommunalités), établissements publics administratifs ou industriels et commerciaux. Seules les juridictions agissant dans l’exercice de leur fonction juridictionnelle échappent à cette obligation.
Cas #2 : un suivi régulier et systématique des personnes à grande échelle (article 37.1.b du RGPD)
Ce cas concerne les structures dont l’activité principale (cœur de métier) implique de suivre le comportement des personnes de façon régulière et organisée, à grande échelle.
Cela concerne par exemple :
- les compagnies d’assurance ou les banques pour leurs fichiers clients,
- les opérateurs téléphoniques ou les fournisseurs d’accès à internet,
- les agences d’intérim qui suivent les données de leurs intérimaires,
- une entreprise de transports en commun suivant les trajets des voyageurs,
- les hôpitaux pour les données en lien avec la santé et les soins,
- les instituts de formation, les écoles pour les informations sur leurs étudiants, etc.
Cas #3 : un traitement à grande échelle de données sensibles (article 37.1.c du RGPD)
Ce cas vise les structures dont l’activité principale implique de traiter, à grande échelle, des données dites sensibles :
- données de santé,
- données biométriques ou génétiques,
- origine raciale ou ethnique,
- opinions politiques,
- convictions religieuses ou philosophiques,
- appartenance syndicale,
- données relatives à des condamnations pénales et infractions.
💡 À noter : la notion de « grande échelle » ne repose sur aucun seuil chiffré précis. Elle s’apprécie au cas par cas (considérant 91 du RGPD), en tenant compte du nombre de personnes concernées, du volume de données, de la durée du traitement et de son étendue géographique.
Exemple : un médecin de campagne qui traite les données de ses propres patients, par exemple, n’est pas nécessairement considéré comme réalisant un traitement à grande échelle, un hôpital oui.
❓Question : le DPO est-il obligatoire dès 250 salariés ? Non, l’obligation de désigner un DPO ne dépend pas du nombre de salariés. Ce seuil concerne en réalité une autre obligation RGPD, celle de tenir un registre des traitements sans condition particulière. En dessous de 250 salariés, ce registre n’est pas obligatoire.
DPO non obligatoire : que doit faire votre structure ?
Si votre structure ne rentre dans aucun des 3 cas ci-dessus, la désignation d’un DPO n’est pas une obligation légale. Pas de sanction, donc, si vous ne souhaitez pas vous adjoindre les services de ce professionnel de la protection des données.
Mais cela reste, selon les mots mêmes de la CNIL, une démarche recommandée.
Même en dehors des cas obligatoires, le DPO reste conseillé dès lors que votre structure :
- traite des données personnelles de façon significative (fichiers clients volumineux, données comportementales, historique d’achats) ou dépasse les 50 salariés ;
- intervient dans un secteur régulé ou sensible (santé, finance, éducation, social) ;
- reçoit régulièrement des demandes d’exercice de droits de la part de ses clients, usagers ou adhérents ;
- souhaite répondre à des appels d’offres publics ou privés, où la conformité RGPD est de plus en plus souvent exigée
- utilise l’IA dans ses process, dont l’impact en matière de traitement de données peut être important au regard de l’IA Act d’août 2024, qui se déploie à échéance progressive.
Que risque une structure qui ne désigne pas de DPO obligatoire ?
L’absence de désignation d’un DPO, lorsqu’elle est obligatoire, constitue un manquement à l’article 37 du RGPD. Les sanctions RGPD possibles, dans l’ordre de gravité :
- un rappel à l’ordre ;
- une mise en demeure, avec un délai pour se mettre en conformité ;
- une amende administrative qui peut atteindre le montant le plus élevé entre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial ;
- la publication éventuelle de la décision de condamnation de la CNIL.
⚒️ En pratique : la CNIL a déjà appliqué des sanctions à une petite collectivité n’ayant pas désigné de DPO obligatoire. En 2022, elle a mis en demeure 22 communes qui n’avaient pas désigné de délégué à la protection des données malgré leur obligation. Face à la persistance du manquement de l’une d’entre elles (commune de Kourou – Guyane), la CNIL a prononcé en février puis en décembre 2023 deux amendes de 5 000 euros assorties d’une injonction sous astreinte. Elle a également obligé la commune à publier la décision sur son site internet durant 4 jours, et l’a rendue publique. Bref, l’obligation ne reste pas théorique alors soyez vigilants !
DPO obligatoire : faut-il le recruter en interne ou en externe ?
Le RGPD ne tranche pas cette question : le délégué à la protection des données peut être un membre du personnel de votre structure, ou exercer ses missions de façon externalisée dans le cadre d’un contrat de service. Le choix dépend surtout de votre taille et de vos moyens.
Pour les grandes structures, qui disposent de volumes de données importants et de moyens conséquents, un DPO interne à temps plein peut se justifier pleinement.
Pour les PME, associations et petites collectivités, recruter un DPO en interne représente un coût difficile à absorber, pour un poste qui ne justifie pas toujours un temps plein. L’externalisation permet dans ce cas de bénéficier d’une expertise opérationnelle immédiate, sans les contraintes de recrutement, et à un coût généralement plus faible qu’une embauche dédiée. C’est ce que nous proposons chez Lexactitude : un service de DPO externalisé, à Grenoble, Lyon et partout en France à distance, à un coût maîtrisé.
Quel que soit le choix, le DPO désigné doit toujours répondre aux 3 conditions posées par la CNIL :
- disposer des compétences juridiques et techniques nécessaires (et connaître votre secteur d’activité),
- bénéficier de moyens suffisants pour exercer sa mission,
- pouvoir agir en toute indépendance, sans conflit d’intérêt avec une autre fonction et sans recevoir d’instructions ni risquer de sanctions.
Recruter un DPO : quelles compétences sont attendues ?
Au moment de choisir votre DPO obligatoire ou recommandé, c’est la panique : quel est le bon ? Sachez qu’il n’existe pas de diplôme obligatoire pour devenir DPO. La CNIL attend en revanche de ses délégués qu’ils respectent les 3 pré-requis que nous évoquions précédemment. À titre d’information, profil informatique et profil juridique sont les plus représentés selon les statistiques de la CNIL. Notre DPO externalisé chez Lexactitude possède par exemple un bagage juridique très solide, avec l’obtention de 4 diplômes de droit en poche !
Pour que chaque structure soit plus à même d’évaluer ces compétences et puisse choisir sereinement son DPO, la CNIL a mis en place une procédure de certification. Facultative mais recommandée, elle est délivrée par des organismes certificateurs qu’elle agrée. La nôtre provient de l’APAVE, organisme certificateur bien connu. Cette certification des compétences du DPO fait partie des garanties que nous apportons aux structures que nous accompagnons : vous êtes ainsi rassuré sur notre expertise !
Comment désigner votre DPO auprès de la CNIL
Une fois votre DPO choisi, la désignation se fait exclusivement via le téléservice dédié de la CNIL. Choisissez le formulaire intitulé « Désigner un DPO » puis suivez les instructions. À la fin de la démarche, vous obtenez un numéro de désignation (DPO-xxx), à conserver précieusement avec le numéro de SIREN de votre structure. Ils vous seront demandés pour toute modification ultérieure (remplacement du DPO, mise à jour des coordonnées, fin de mission).
💡 À savoir : les coordonnées du DPO de chaque structure sont consultables sur le fichier OpenData mis à jour régulièrement par le site data.gouv.fr, ou sur le site internet de la structure en question.
DPO obligatoire ou recommandé : Lexactitude vous épaule
Déterminer si le DPO est obligatoire pour votre structure, puis désigner un professionnel compétent et indépendant : c’est exactement ce que Lexactitude vous propose, en tant que DPO externalisé certifié par un organisme agréé par la CNIL, à Grenoble, Lyon et dans toute la région Auvergne-Rhône-Alpes.
Vous avez besoin d’un DPO obligatoire pour votre entreprise, votre association ou votre collectivité ? Vous n’êtes pas soumis à l’obligation mais vous connaissez l’importance de la protection des données pour votre structure ? Échangeons sur votre situation et découvrez l’offre de DPO externalisé de Lexactitude.
FAQ - Vos questions sur le DPO obligatoire
Que dit l'article 37 du RGPD ?
L’article 37 du RGPD impose la désignation d’un délégué à la protection des données dans 3 cas distincts :
- lorsque le traitement est réalisé par une autorité ou un organisme public,
- lorsque l’activité principale implique un suivi régulier et systématique des personnes à grande échelle,
- lorsqu’elle implique un traitement à grande échelle de données sensibles.
Est-ce que le RGPD est obligatoire ?
Oui. Le RGPD s’applique à toute structure, quelle que soit sa taille ou son secteur, dès lors qu’elle traite des données personnelles (fichier clients, gestion de la paie, recrutement…) et qu’elle est établie dans l’Union européenne ou cible des résidents européens. En revanche, la désignation d’un DPO en charge du RGPD n’est obligatoire que dans les 3 cas prévus par l’article 37.
Qui est le DPO dans le cadre du RGPD ?
Le DPO est la personne chargée d’informer et de conseiller la structure sur ses obligations RGPD, de contrôler le respect du règlement sur la protection des données, et de faire le lien avec la CNIL. Il peut être un salarié de la structure ou un prestataire externe, à condition de disposer des compétences, des moyens et de l’indépendance nécessaires à l’exercice de sa mission.
Comment savoir si le DPO est obligatoire pour ma structure ?
Vérifiez si vous êtes un organisme public, si votre cœur de métier implique un suivi systématique des personnes à grande échelle, ou un traitement à grande échelle de données sensibles. Si l’un de ces cas s’applique, la désignation d’un DPO est obligatoire. En cas de doute, un audit RGPD permet de trancher avec certitude !
Sources juridiques :