Obligation de désigner un DPO : dans quels cas votre organisation est-elle concernée ?

Mis à jour le 16 septembre 2026

Dans quels cas la désignation d'un DPO est-elle obligatoire ?

Trois situations rendent le délégué obligatoire : un traitement public, un suivi à grande échelle ou des données sensibles à grande échelle, dès lors qu'ils relèvent des activités de base.

L'obligation ne dépend ni de l'effectif ni du chiffre d'affaires. Elle vise le responsable du traitement comme le sous-traitant, et les « activités de base » désignent les opérations essentielles à l'objet de l'organisme, pas les fonctions de soutien comme la paie ou l'assistance informatique. Les lignes directrices du groupe de travail « Article 29 » donnent les repères suivants :

1. Autorité ou organisme public : les autorités nationales, régionales et locales et les organismes de droit public, quelle que soit la nature des données traitées. Une commune, un département ou un établissement public désigne un délégué, sans seuil d'habitants ni d'agents.
2. Suivi régulier et systématique à grande échelle : l'exploitation d'un réseau de télécommunications, la publicité comportementale, les programmes de fidélité, le profilage pour évaluer un risque de crédit ou fixer une prime d'assurance, ou une société de sécurité privée qui surveille des centres commerciaux et des espaces publics.
3. Données sensibles ou pénales à grande échelle : un hôpital, qui ne peut soigner sans traiter les dossiers médicaux de ses patients. À l'inverse, un médecin ou un avocat exerçant à titre individuel ne traite pas de données à grande échelle.

Pour apprécier la « grande échelle », les lignes directrices retiennent quatre facteurs : le nombre de personnes concernées, le volume et la diversité des données, la durée du traitement et son étendue géographique. Une organisation qui n'entre dans aucun de ces cas peut désigner un délégué volontairement (article 37.4) ; les articles 37 à 39 s'appliquent alors à sa désignation, à sa fonction et à ses missions comme si elle était obligatoire.

Documenter l'analyse quand la désignation n'est pas obligatoire

À moins qu'il soit évident qu'un organisme n'est pas concerné, les lignes directrices WP243 du groupe de travail « Article 29 » concernant les délégués à la protection des données, adoptées le 13 décembre 2016 et révisées le 5 avril 2017, recommandent de documenter l'analyse interne qui conclut à l'obligation ou non de désigner un délégué. Cette analyse relève du principe de responsabilité : l'autorité de contrôle peut l'exiger, et elle se met à jour dès que l'organisme exerce de nouvelles activités ou propose de nouveaux services susceptibles d'entrer dans les cas de l'article 37.1.

Si la réglementation énumère bien les cas où la désignation est obligatoire, leur interprétation reste délicate : une analyse qui détaille le raisonnement suivi est indispensable. Si vous souhaitez confier cette analyse à notre cabinet, n'hésitez pas à nous contacter.

DPD ou DPO : un même délégué sous deux sigles

DPD et DPO désignent la même fonction : DPD abrège « délégué à la protection des données », le terme du texte français du RGPD, et DPO abrège « Data Protection Officer », le terme anglais que la CNIL emploie aussi. Les obligations, les missions et la déclaration à la CNIL sont identiques quel que soit le sigle retenu.

Que risque une organisation qui ne désigne pas de DPO alors qu'elle y est tenue ?

Une organisation tenue de désigner un délégué qui ne le fait pas s'expose à une amende administrative pouvant atteindre 10 millions d'euros ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu : l'article 83, paragraphe 4, du RGPD vise les obligations des articles 25 à 39, dont l'article 37. La procédure s'ouvre après une plainte, un signalement ou un contrôle de la CNIL. Un rapporteur notifie son rapport de sanction, l'organisme dispose d'un mois pour présenter ses observations écrites, puis la formation restreinte décide. Lorsque l'affaire ne présente pas de difficulté particulière, la procédure simplifiée permet un rappel à l'ordre, une amende de 20 000 euros au plus pour une entreprise de moins de 50 millions d'euros de chiffre d'affaires et une injonction sous astreinte. Au 16 septembre 2026, la liste des sanctions publiée par la CNIL compte au moins trois communes sanctionnées pour défaut de désignation entre février 2023 et septembre 2024, dont deux amendes de 5 000 euros assorties d'une injonction.

Le rôle du délégué une fois désigné

Une fois désigné, le délégué informe et conseille l'organisation et ses équipes, contrôle le respect du RGPD, conseille sur les analyses d'impact et coopère avec la CNIL, dont il est le point de contact (article 39). Il fait rapport au plus haut niveau de la direction et ne reçoit aucune instruction pour l'exercice de ses missions (article 38). Le détail de ses missions et ce que le délégué apporte au quotidien font l'objet d'un article dédié.

Comment désigner le délégué : conditions, contrat et déclaration à la CNIL

Le délégué se choisit sur ses qualités professionnelles, parmi le personnel ou par un contrat de service, puis ses coordonnées sont publiées et communiquées à la CNIL.

• Qualités professionnelles (article 37.5) : des connaissances spécialisées du droit et des pratiques en matière de protection des données, et la capacité d'accomplir les missions de l'article 39. En pratique, une expertise juridique et technique doublée d'une bonne connaissance du secteur d'activité et de l'organisation interne.
• Ressources (article 38) : le délégué est associé en temps utile à toutes les questions de protection des données et reçoit les ressources nécessaires, l'accès aux données et aux traitements, et les moyens d'entretenir ses connaissances.
• Indépendance (article 38) : il ne peut être relevé de ses fonctions ni pénalisé pour l'exercice de ses missions, et ses autres tâches ne doivent pas créer de conflit d'intérêts. Le représentant légal de l'organisation, responsable du traitement, ne peut donc pas être désigné.

Le délégué peut être un membre du personnel ou exercer ses missions sur la base d'un contrat de service (article 37.6). Un groupe d'entreprises peut désigner un délégué unique, facilement joignable depuis chaque établissement, et plusieurs autorités ou organismes publics peuvent partager le même délégué (article 37, paragraphes 2 et 3). Le contrat de service confie la fonction à un spécialiste extérieur : c'est le cadre de notre mission de DPO externe.

Une fois le délégué choisi, l'organisation publie ses coordonnées et les communique à la CNIL (article 37.7), sur son téléservice de désignation. Notre guide détaille la marche à suivre pour déclarer son délégué auprès de la CNIL.

Le logiciel RGPD du DPO

Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.

Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.

En savoir plus