Déclaration DPO à la CNIL : la procédure pas à pas

Cette page couvre la seule procédure de déclaration : l'écran d'entrée du téléservice, les champs demandés écran par écran, et ce que la CNIL publie ensuite.

Les missions du délégué au titre de l'article 39 du RGPD sont traitées dans notre article à quoi sert un DPO. Les trois cas dans lesquels l'article 37.1 du RGPD rend la désignation obligatoire sont détaillés sur la page obligation de désigner un DPO. Une désignation volontaire se défend sur d'autres arguments, développés dans le DPO comme levier de performance économique.

Où déclarer un DPO à la CNIL et avec quel compte

La déclaration se fait exclusivement en ligne, sur le téléservice de la CNIL, depuis un compte MA CNIL.

Le point d'entrée est la page Désigner un délégué à la protection des données (DPO) sur cnil.fr. Le bouton « Gérer vos désignations de DPO » y ouvre le téléservice. Depuis le 25 février 2025, l'accès passe par un compte MA CNIL : sans compte, aucune désignation ne peut être déposée.

La désignation peut ensuite être gérée depuis n'importe quel compte MA CNIL. L'historique du téléservice, lui, n'affiche que les demandes réalisées depuis ce même compte, et la CNIL ne transfère pas un historique d'un compte à un autre. Ouvrez donc le compte au nom d'une adresse de service, partagée dans la direction juridique, plutôt qu'au nom de la personne qui saisit le formulaire : le jour où elle quitte l'organisation, le fil des désignations reste accessible.

Une fois connecté, le téléservice ouvre sur un choix qui commande toute la suite du formulaire :

• Je désigne un DPO personne physique : le délégué est une personne nommément désignée, salariée ou non de l'organisme.
• Je désigne un DPO personne morale : le mandat est confié à un organisme, qui désigne en son sein la personne chargée des missions.

Écran d'entrée du téléservice : choix entre une désignation de DPO personne physique et une désignation de DPO personne morale.

Les informations à réunir avant de commencer

Trois blocs sont demandés avant tout écran propre au délégué : l'organisme désignant, son responsable légal et le contact CNIL.

Le premier écran identifie l'organisme qui désigne le délégué :

• Numéro SIREN : obligatoire dès lors que l'organisme en dispose.
• Nom et adresse de l'organisme.
• Activité exercée.
• Effectif.
• Confirmation de l'exactitude des informations saisies.

Identification de l'organisme désignant : numéro SIREN, nom, adresse, activité et effectif.

Si l'organisme n'a pas de numéro SIREN, une case « L'organisme n'a pas de numéro de SIREN » se coche à la première étape, sous le champ. Cette case a une conséquence durable : le téléservice n'est ensuite plus accessible pour déclarer une modification, une fin de mission ou un remplacement. Ces démarches passent alors par le service des délégués, à l'adresse indiquée dans l'accusé de réception de la désignation initiale.

L'écran suivant décrit le responsable légal de l'organisme désignant : civilité, nom, prénom, fonction, téléphone et adresse électronique.

Responsable légal de l'organisme désignant : civilité, nom, prénom, fonction, téléphone et adresse électronique.

Le troisième écran demande le contact CNIL : la personne que la CNIL joindra si elle doit s'adresser au responsable de traitement. Ce peut être le représentant légal ou toute autre personne de l'organisme. Ce n'est jamais le délégué. Le formulaire tient ces deux canaux séparés, et les confondre revient à faire porter au délégué des échanges qui relèvent de la direction.

Contact CNIL : la personne que la CNIL joindra pour le responsable de traitement, distincte du délégué.

Désigner une personne physique ou une personne morale : ce que le formulaire demande en plus

Une désignation de personne morale ajoute deux écrans : l'organisme délégué et son responsable légal.

Le premier écran supplémentaire identifie l'organisme délégué par son numéro SIREN, son nom, son adresse, son secteur d'activité et son effectif.

Écran propre à la personne morale : SIREN, nom, adresse, secteur d'activité et effectif de l'organisme délégué.

Le second décrit le responsable légal de cet organisme délégué, sur le même modèle que celui de l'organisme désignant.

Second écran propre à la personne morale : responsable légal de l'organisme désigné DPO.

Dans les deux cas, un écran identifie la personne physique qui exerce effectivement les missions : civilité, nom, prénom, téléphone, adresse électronique et adresse professionnelle. Ces coordonnées servent à la CNIL et ne sont pas publiées. Pour un délégué mutualisé, elles valent pour l'ensemble de ses désignations antérieures : les modifier ici, c'est les modifier partout.

Personne chargée des missions de DPO : coordonnées transmises à la CNIL, non publiées.

Après le dépôt : coordonnées privées, coordonnées publiées

Les coordonnées transmises à la CNIL restent privées ; seules les coordonnées publiques du délégué sont diffusées en open data sur data.gouv.fr.

L'article 37.7 du RGPD impose deux gestes distincts au responsable du traitement : publier les coordonnées du délégué et les communiquer à l'autorité de contrôle. Le formulaire reprend cette séparation écran par écran, et c'est la distinction la plus mal comprise de tout le parcours.

Le dernier écran demande au moins deux moyens de contact, dont un électronique. La CNIL recommande d'éviter un téléphone personnel comme une adresse électronique nominative, précisément parce qu'ils seront republiés. Les valeurs qui tiennent dans la durée :

• Adresse électronique générique : du type dpo@votre-organisation.fr, qui survit à un changement de délégué.
• Ligne téléphonique dédiée ou standard : jamais un mobile personnel.
• Adresse postale de l'établissement, pas un domicile.
• Formulaire de contact hébergé sur une page publique de l'organisation.

Coordonnées publiques du délégué : au moins deux moyens de contact dont un électronique, diffusés en open data.

Une fois la demande validée, tous les contacts renseignés dans la désignation reçoivent un courriel de confirmation. La demande est prise en compte instantanément et passe au statut « Demandes terminées » dans le téléservice. L'accusé de réception porte le numéro de désignation, au format DPO-XXX : conservez-le, c'est lui qui conditionne toute démarche ultérieure. Sans accusé de réception dans un délai de 48 heures, la CNIL invite à joindre sa permanence téléphonique dédiée, comme l'indique sa FAQ sur la gestion des désignations de DPO.

La date de prise d'effet se choisit librement, à condition d'être égale ou postérieure à la date de la demande en ligne. Une date erronée déjà validée ne se corrige plus dans le téléservice : elle passe par le service des délégués.

Faire exercer le mandat par un délégué externe

Les qualités professionnelles exigées du délégué par l'article 37.5 du RGPD sont détaillées sur la page consacrée aux conditions de désignation d'un délégué.

L'article 37.6 du RGPD permet d'exercer la fonction sur la base d'un contrat de service. Confier le mandat à un délégué externe engage un volume de jours par an, dimensionné sur le périmètre des traitements, et place la fonction hors de la ligne hiérarchique : l'article 38 du RGPD interdit toute instruction sur l'exercice des missions et impose un rattachement au plus haut niveau de la direction. La conformité, elle, reste celle de l'organisation au titre de l'article 24 du RGPD : le délégué informe, conseille et contrôle.

SILEXO exerce ce mandat pour des entreprises, des collectivités et des associations, avec une veille réglementaire continue et un pilotage de la mission dans le logiciel IZIRO. Pour en parler : contact@silexo.fr.

Le logiciel RGPD du DPO

Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.

Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.

En savoir plus