Depuis l’entrée en vigueur du RGPD en mai 2018, le délégué à la protection des données (DPO) est devenu une figure incontournable de la conformité. Pourtant, à ce jour, un nombre surprenant d’entreprises et d’organismes publics ne savent toujours pas s’ils sont réellement tenus d’en désigner un. Entre les textes réglementaires parfois abscons, les recommandations de la CNIL et les zones grises qui persistent, il y a de quoi s’y perdre. Cet article propose un décryptage concret des trois cas d’obligation légale, des situations où la désignation reste fortement conseillée, et des risques encourus en cas de manquement.
Parce qu’en matière de protection des données, mieux vaut anticiper que subir.
Table des matières
Qu’est-ce qu’un DPO et quel est son rôle au sein d’un organisme ?
Définition du délégué à la protection des données
Le DPO, ou délégué à la protection des données, est une fonction créée par l’article 37 du RGPD. Pour celles et ceux qui ont connu l’époque du CIL (le Correspondant Informatique et Libertés), le DPO en est en quelque sorte le successeur, mais avec des prérogatives bien plus larges et un cadre juridique autrement plus contraignant.
Concrètement, le DPO joue un triple rôle : il conseille l’organisme qui l’a désigné, il contrôle en interne la bonne application des règles relatives aux données personnelles, et il sert de point de contact privilégié avec la CNIL. Ce n’est pas un simple exécutant. C’est un véritable garde-fou.
Les missions concrètes du DPO au quotidien
Au-delà de la définition officielle, le quotidien d’un DPO est souvent plus dense qu’on ne l’imagine. Il informe et conseille le responsable de traitement sur ses obligations. Il veille à la conformité de l’ensemble des traitements mis en œuvre. Il pilote ou réalise les analyses d’impact relatives à la protection des données (les fameuses AIPD). Et quand la CNIL frappe à la porte, c’est encore lui qui coopère avec l’autorité de contrôle.
Sans oublier un volet parfois sous-estimé : la sensibilisation des équipes internes. Parce qu’un organisme peut avoir la meilleure politique de protection des données du monde, si les collaborateurs ne sont pas formés, tout l’édifice repose sur du sable.
Les trois cas où la désignation d’un DPO est obligatoire selon le RGPD
C’est ici que les choses deviennent vraiment concrètes. Le RGPD prévoit trois situations précises dans lesquelles la désignation d’un DPO n’est pas une option, mais bien une obligation légale. Comme le détaille Phenix Privacy dans son analyse sur les exigences du RGPD en matière de DPO, ces trois cas méritent d’être examinés avec attention, car leur interprétation n’est pas toujours aussi évidente qu’il y paraît.
Cas n°1 : les autorités publiques et organismes publics
Premier cas, et sans doute le plus simple à identifier : toutes les autorités et organismes publics doivent désigner un DPO. La définition retenue par le RGPD et les lignes directrices du CEPD (Comité européen de la protection des données) est large. Collectivités territoriales, administrations centrales, établissements publics, organismes de droit public : tout le monde est concerné.
Et ce n’est pas tout. Les organismes privés qui exercent une mission de service public ou qui agissent en tant que délégataires de service public entrent également dans le périmètre. La seule exception notable concerne les juridictions lorsqu’elles agissent dans le cadre strict de leur fonction juridictionnelle. Autant dire que c’est un cas de figure assez marginal.
Cas n°2 : le suivi régulier et systématique de personnes à grande échelle
Celui-ci est probablement le plus délicat à appréhender, parce que chaque terme compte. Que signifie exactement « suivi régulier » ? Et « systématique » ? Quand bascule-t-on dans la « grande échelle » ?
En pratique, voici le type d’activités concernées :
- La vidéosurveillance déployée sur de vastes zones ou de multiples sites
- La géolocalisation de flottes de véhicules ou d’utilisateurs d’applications
- Le profilage comportemental en ligne et le ciblage publicitaire
- Les programmes de fidélité collectant massivement des données clients
- Les opérateurs de télécommunications qui traitent les données de millions d’abonnés
Pour évaluer si l’on atteint le seuil de la grande échelle, la CNIL et le CEPD retiennent plusieurs critères : le volume de données traitées, l’étendue géographique du traitement, sa durée, et le nombre de personnes concernées. Il n’existe pas de chiffre magique. C’est une appréciation au cas par cas, ce qui rend l’exercice d’autant plus délicat pour les structures qui se situent en zone grise.
Cas n°3 : le traitement à grande échelle de données sensibles ou pénales
Troisième et dernier cas d’obligation : le traitement à grande échelle de catégories particulières de données, celles que le RGPD qualifie de « sensibles » à l’article 9. On parle ici des données de santé, des données biométriques et génétiques, des opinions politiques, des convictions religieuses ou philosophiques, de l’orientation sexuelle, de l’appartenance syndicale ou encore de l’origine ethnique.
Les données relatives aux infractions et aux condamnations pénales (article 10 du RGPD) entrent dans le même périmètre. En clair, les hôpitaux, les mutuelles, les assureurs santé, les laboratoires d’analyses médicales, les établissements pénitentiaires ou encore les plateformes qui exploitent des données biométriques sont directement concernés. Et le doute, ici, ne profite pas à l’organisme.
Désignation facultative mais recommandée : les situations à ne pas négliger
Quand la CNIL recommande fortement de désigner un DPO
Ne pas être légalement tenu de désigner un DPO ne signifie pas que ce serait une mauvaise idée. La CNIL elle-même le dit sans détour : dans certaines situations, ne pas en avoir relève presque de l’imprudence. C’est notamment le cas pour les entreprises qui traitent des volumes importants de données personnelles sans atteindre formellement le seuil de la grande échelle, ou pour les structures qui manipulent des données sensibles mais à une échelle réduite.
Les startups et scale-ups en forte croissance sont également dans le viseur. Et pour cause : ce qui n’est pas de la grande échelle aujourd’hui peut le devenir en quelques mois. Les sous-traitants au sens du RGPD (hébergeurs cloud, prestataires SaaS, ESN) ont eux aussi tout intérêt à anticiper, ne serait-ce que pour répondre aux exigences contractuelles de leurs clients.
Les avantages stratégiques d’une désignation volontaire
Au-delà de la conformité pure, désigner un DPO même sans y être obligé offre des bénéfices très concrets. C’est un signal fort envoyé aux clients, aux partenaires et aux investisseurs. Cela structure la gouvernance des données, facilite la gestion des violations en cas d’incident, et permet d’anticiper sereinement les contrôles de la CNIL.
Et puis, soyons réalistes : dans les appels d’offres, publics comme privés, la capacité à démontrer une gouvernance solide en matière de données personnelles est devenue un vrai critère de sélection. Ne pas avoir de DPO, c’est parfois perdre un marché avant même d’avoir soumis une offre.
DPO interne ou DPO externe : quel choix selon votre situation ?
Le DPO interne : profil, compétences requises et limites
Nommer un collaborateur en interne comme DPO peut sembler être la solution la plus naturelle. Encore faut-il que cette personne dispose des compétences juridiques et techniques nécessaires, et surtout qu’elle puisse exercer sa mission en toute indépendance. C’est d’ailleurs ce dernier point qui pose le plus souvent problème.
Le RGPD est clair : certaines fonctions sont incompatibles avec celle de DPO. Un directeur général, un DSI, un DRH ou un directeur marketing ne peuvent pas endosser ce rôle, car il y aurait conflit d’intérêts évident. Dans les petites structures, trouver le bon profil en interne relève parfois du casse-tête, et le risque d’isolement fonctionnel est réel.
Le DPO externe ou mutualisé : une alternative souple
L’externalisation de la fonction de DPO auprès d’un cabinet spécialisé ou d’un consultant indépendant constitue une alternative de plus en plus prisée. Et pour les structures de taille modeste, la mutualisation du DPO entre plusieurs organismes (groupement de communes, réseau d’établissements de santé, par exemple) offre un rapport coût-efficacité particulièrement intéressant.
Les avantages sont tangibles : expertise transversale nourrie par la diversité des clients, coût maîtrisé, indépendance naturelle vis-à-vis de l’organisme. Attention toutefois aux points de vigilance classiques : la disponibilité du prestataire, sa connaissance réelle du métier de l’organisme, et la qualité de la contractualisation.
Les risques encourus en cas de non-désignation obligatoire
Sanctions administratives et financières
Ignorer l’obligation de désigner un DPO quand on y est soumis, c’est s’exposer à des sanctions qui n’ont rien d’anecdotique. L’article 83 du RGPD prévoit des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Plusieurs autorités européennes ont déjà sévi sur ce fondement, et la CNIL n’est pas en reste.
Conséquences opérationnelles et réputationnelles
Les sanctions financières ne sont d’ailleurs que la partie émergée de l’iceberg. Une mise en demeure publique de la CNIL, ce sont des articles de presse, une image écornée, et une confiance client qui s’effrite. Sans DPO, la gestion d’une violation de données devient un exercice de haute voltige. Et répondre correctement aux demandes d’exercice de droits des personnes concernées (droit d’accès, de rectification, d’effacement) relève vite du parcours du combattant.
Comment vérifier si votre organisme est concerné par l’obligation ?
La méthode d’auto-évaluation en quatre étapes
Pas besoin de mobiliser un cabinet entier pour commencer à y voir clair. Une démarche structurée en quatre étapes permet déjà de se situer :
- Étape 1 : qualifier la nature juridique de l’organisme (public, privé, délégataire de service public)
- Étape 2 : cartographier l’ensemble des traitements de données personnelles en cours
- Étape 3 : évaluer pour chaque traitement son caractère régulier, systématique et son échelle
- Étape 4 : identifier la présence éventuelle de données sensibles ou pénales dans ces traitements
La CNIL propose d’ailleurs un outil d’aide à la décision sur son site, qui permet de réaliser ce diagnostic de manière guidée. Un bon point de départ, même s’il ne remplace pas un accompagnement expert pour les cas les plus complexes.
Se faire accompagner pour sécuriser sa conformité
Quand le doute persiste, ou quand les enjeux sont trop importants pour se tromper, se faire accompagner par un professionnel de la protection des données reste la meilleure option. Qu’il s’agisse de confirmer une obligation, de structurer la fonction DPO ou de préparer un contrôle, un regard extérieur et qualifié fait souvent toute la différence.
En définitive, les trois cas d’obligation de désignation d’un DPO sont clairement posés par le RGPD : organismes publics, suivi régulier et systématique à grande échelle, traitement massif de données sensibles ou pénales. Mais au-delà de la lettre du texte, la désignation d’un DPO reste un levier puissant de conformité, de confiance et de gouvernance, y compris pour les structures qui n’y sont pas formellement tenues. D’autant que le paysage réglementaire européen ne cesse de se densifier, entre l’AI Act, le Digital Services Act et les évolutions constantes des lignes directrices du CEPD. Le rôle du DPO n’a pas fini de gagner en importance.
