DPO obligatoire : quand devez-vous réellement le désigner ?
Un DPO est obligatoire pour tous les organismes publics et pour les entreprises privées dont l’activité implique un suivi régulier et systématique à grande échelle, ou le traitement à grande échelle de données sensibles ou pénales. La taille de l’entreprise n’est pas un critère. Dans les autres cas, sa désignation reste fortement recommandée.
Le Règlement général sur la protection des données (RGPD) a fêté ses huit ans. Pourtant, une question continue de hanter les directions juridiques, les RSSI et les dirigeants : la désignation d’un DPO est-elle obligatoire pour notre structure ?
Certaines organisations tranchent par une nomination volontaire pour rassurer leurs grands comptes. D’autres avancent à l’aveugle et s’exposent à de lourdes sanctions de la Commission nationale de l’informatique et des libertés (CNIL). Voici la grille de lecture exacte pour savoir si un DPO est obligatoire ou non pour votre entreprise.
Qu’est-ce qu’un DPO et que dit le RGPD sur son obligation ?
Le DPO (Data Protection Officer), ou DPD (délégué à la protection des données) en français, est la personne désignée par un organisme pour contrôler la conformité de ses traitements de données personnelles. L’article 37 du RGPD définit précisément les cas où sa nomination est une obligation légale.
Le texte européen distingue deux situations :
- Le secteur public : la désignation d’un DPO est automatique et systématique
- Le secteur privé : l’obligation dépend de la nature des activités, et non de la taille de la structure
Pour les entreprises privées, associations ou professions libérales, le critère des 250 salariés n’intervient pas. Seules comptent la sensibilité et l’ampleur des traitements de données mis en œuvre.
Pour piloter sereinement cette évaluation, de nombreuses directions juridiques et DPO structurent leur démarche avec un logiciel de conformité RGPD adapté, qui centralise la documentation et objective l’analyse des risques.
Dans quels cas la désignation d’un DPO est-elle obligatoire ?
La désignation d’un DPO est obligatoire dans trois cas définis par le RGPD et précisés par le Comité européen de la protection des données (CEPD) : être une autorité ou un organisme public, suivre des personnes de manière régulière et systématique à grande échelle, ou traiter à grande échelle des données sensibles ou pénales.
Les autorités et organismes publics
Pour la sphère publique, la question ne se pose pas : la désignation d’un DPO est systématique, sans condition de taille ni de volume de données. Seules les juridictions dans l’exercice de leurs fonctions juridictionnelles font exception.
Sont notamment concernés :
- les mairies
- les communautés de communes
- les centres hospitaliers universitaires
- les administrations centrales
Le suivi régulier et systématique à grande échelle
Vous êtes concerné si votre cœur de métier implique de suivre des personnes de manière récurrente, organisée et à grande échelle.
Exemples concrets :
- les opérateurs de télécoms
- les banques, pour le score de crédit
- les entreprises de sécurité privée, pour la vidéosurveillance de centres commerciaux
- les applications de fitness collectant la géolocalisation
- les agences de marketing pratiquant le ciblage publicitaire comportemental de masse sur le web
Le traitement de données sensibles ou pénales à grande échelle
Ce critère vise les structures qui traitent massivement des données dites de « catégories particulières » (article 9 du RGPD) ou des données relatives aux infractions et condamnations pénales (article 10 du RGPD).
Les données de catégories particulières regroupent notamment :
- les données de santé
- les opinions politiques
- l’orientation sexuelle
- les origines raciales
- les données biométriques
Exemples concrets : une clinique privée, un éditeur de logiciel de dossier médical partagé, une compagnie d’assurance, ou une start-up RH gérant les contrôles de casiers judiciaires pour des plateformes d’indépendants.
Qu’entend-on par « grande échelle » ?
Le RGPD ne fixe aucun seuil chiffré pour définir la « grande échelle ». La CNIL et le CEPD retiennent quatre faisceaux d’indices :
- le nombre de personnes concernées, en valeur absolue ou en pourcentage de la population
- le volume de données traitées
- la durée ou la permanence du traitement
- l’étendue géographique du traitement
Synthèse : DPO obligatoire ou non selon votre situation
Qui doit nommer un DPO et quel profil choisir ?
La désignation d’un DPO relève de la responsabilité du représentant légal de l’entreprise, c’est-à-dire du directeur général ou du président. Une fois l’obligation validée, il doit choisir entre un DPO interne et un DPO externe, en évitant tout conflit d’intérêts.
DPO interne ou DPO externe : quelles différences ?
Le piège majeur : le conflit d’intérêts
L’article 38.6 du RGPD autorise le DPO à exercer d’autres missions, à une condition stricte : l’absence de conflit d’intérêts. Le DPO ne peut pas occuper un poste où il détermine lui-même les finalités et les moyens des traitements qu’il est censé contrôler.
Profils interdits :
- directeur des systèmes d’information (DSI)
- directeur marketing
- directeur des ressources humaines (DRH)
- directeur général
La CNIL et les autorités européennes sanctionnent lourdement les entreprises qui confient la fonction de DPO à ces décideurs opérationnels.
Comment déclarer un DPO à la CNIL ?
Déclarer un DPO à la CNIL se fait en trois étapes : formaliser sa nomination par un acte juridique, remplir le formulaire de désignation en ligne sur le site de la CNIL, puis publier ses coordonnées de manière accessible. Cette démarche administrative accompagne obligatoirement toute obligation de nommer un DPO.
- Formalisez la désignation interne : rédigez une lettre de mission (DPO interne) ou un contrat de prestation de services (DPO externe). Ce document précise ses missions, son rattachement direct à la direction générale et la garantie de ses ressources
- Effectuez la déclaration en ligne : rendez-vous dans l’espace dédié aux démarches du site officiel de la CNIL. Le formulaire demande les coordonnées de l’organisme, l’identité du DPO (ou de la personne morale DPO) et ses points de contact professionnels
- Publiez les coordonnées du DPO : le RGPD impose au minimum une adresse email dédiée (ex. dpo@votreentreprise.com), accessible notamment dans votre politique de confidentialité en ligne, pour que clients, utilisateurs et salariés puissent le contacter facilement
Quel rôle pour le DPO face à l’AI Act ?
Avec l’entrée en vigueur du règlement européen sur l’intelligence artificielle (AI Act), le périmètre d’action du DPO s’élargit naturellement. L’infrastructure de gouvernance qu’il a mise en place constitue le socle indispensable pour les entreprises qui déploient ou conçoivent des systèmes d’IA.
Cette gouvernance RGPD existante permet d’anticiper les synergies entre les deux réglementations et de piloter votre projet AI Act efficacement.
Quelles évolutions réglementaires surveiller ?
Deux sujets méritent une veille attentive, à faire valider par votre direction juridique avant toute décision stratégique.
L’évolution de la notion de « grande échelle » : suivez les lignes directrices WP243 du CEPD. Les autorités nationales apprécient cette notion au cas par cas. Le traitement de données de santé par un médecin isolé n’est pas considéré comme de la grande échelle, contrairement à celui d’un réseau de cliniques.
La jurisprudence stricte sur les conflits d’intérêts : les décisions européennes, notamment de l’autorité luxembourgeoise et de l’autorité belge de protection des données, confirment qu’un DPO qui conserve la mainmise sur le budget IT ou marketing expose l’entreprise à une sanction immédiate pour non-respect de l’indépendance de sa fonction.
En résumé : faut-il désigner un DPO ?
Un DPO est obligatoire pour tout organisme public et pour toute entreprise privée qui suit des personnes de façon régulière et systématique à grande échelle, ou qui traite à grande échelle des données sensibles ou pénales. La taille de la structure n’entre pas en compte.
Une fois l’obligation confirmée, choisissez un profil sans conflit d’intérêts, formalisez sa nomination et déclarez-le à la CNIL. Même lorsque le DPO n’est pas obligatoire, sa désignation renforce la confiance de vos clients et prépare votre organisation aux exigences de l’AI Act.
FAQ - DPO obligatoire
Quels sont les risques si je ne nomme pas de DPO alors que j’y suis obligé ?
Le défaut de désignation d’un DPO constitue une violation directe du RGPD. La CNIL peut prononcer des sanctions financières administratives s’élevant jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. S’y ajoute un risque réputationnel majeur auprès de vos clients et partenaires B2B.
Un sous-traitant doit-il obligatoirement désigner un DPO ?
Oui, si son activité répond aux critères de l’article 37 du RGPD. Le règlement s’applique aux responsables de traitement comme aux sous-traitants (éditeurs SaaS, hébergeurs, infogéreurs). Un sous-traitant qui traite des données sensibles ou effectue un suivi systématique à grande échelle pour le compte de ses clients doit nommer son propre DPO.
Une entreprise de moins de 250 salariés doit-elle nommer un DPO ?
Cela dépend de ses activités, pas de sa taille. Le critère des 250 salariés n’intervient pas dans l’obligation de nommer un DPO. Une petite structure qui traite à grande échelle des données de santé ou suit des personnes de façon systématique doit en désigner un. Pour une PME à l’activité classique, la désignation reste fortement recommandée.
Un DSI ou un DRH peut-il être DPO ?
Non, en raison du conflit d’intérêts interdit par l’article 38.6 du RGPD. Le DPO ne peut pas déterminer lui-même les finalités et les moyens des traitements qu’il contrôle. Les postes de DSI, directeur marketing, DRH ou directeur général sont donc incompatibles avec la fonction de DPO, et les autorités sanctionnent lourdement ce cumul.
Où publier les coordonnées de son DPO ?
Les coordonnées du DPO doivent être publiées de manière accessible, notamment dans la politique de confidentialité en ligne. Le RGPD impose au minimum une adresse email dédiée, par exemple dpo@votreentreprise.com, afin que les clients, utilisateurs et salariés puissent contacter facilement le délégué à la protection des données.
Un médecin seul traite-t-il des données de santé à grande échelle ?
Non, le traitement de données de santé par un médecin isolé n’est pas considéré comme un traitement à grande échelle, contrairement à celui d’un réseau de cliniques. Les autorités nationales apprécient cette notion au cas par cas, en s’appuyant sur les lignes directrices WP243 du Comité européen de la protection des données (CEPD).
