Changer ou révoquer son DPO CNIL : la procédure exacte
Réponse rapide L'article 38.3 du RGPD interdit de relever un délégué de ses fonctions ou de le pénaliser pour l'exercice de ses missions ; il n'interdit pas toute fin de mission. Désignez le successeur, notifiez ses coordonnées à la CNIL (article 37.7), republiez-les, informez les personnes. Aucun délai en cours ne s'interrompt. |
Mis à jour le 29 septembre 2026.
Changer de délégué à la protection des données est une opération de continuité, pas une formalité déclarative : la fonction ne doit jamais être vacante et les dossiers ouverts conservent leurs échéances le jour de la bascule. La démarche déclarative est détaillée dans la procédure de déclaration d'un délégué à la CNIL, écran par écran.
Ce que l'article 38.3 du RGPD interdit quand une organisation veut révoquer son délégué
L'article 38.3 du RGPD interdit de relever de ses fonctions ou de pénaliser un délégué pour l'exercice de ses missions. Il n'interdit pas toute fin de mission : une faute, une insuffisance au regard de l'article 37.5, un conflit d'intérêts ou le terme d'un contrat de service (article 37.6) sont des motifs étrangers à ses avis.
Motifs légitimes de révocation d'un délégué : ce qui reste possible malgré la protection
Selon l'article 38.3 du RGPD, le délégué « ne peut être relevé de ses fonctions ou pénalisé par le responsable du traitement ou le sous-traitant pour l'exercice de ses missions ». La protection est fonctionnelle : elle couvre ses avis et ses réserves écrites, sans faire de la fonction un mandat irrévocable.
Restent ouverts, parce qu'étrangers à l'exercice des missions :
- Faute ou manquement : inexécution des obligations du poste ou du contrat, indépendamment des avis rendus.
- Qualités professionnelles insuffisantes : l'article 37.5 exige des connaissances proportionnées au risque des traitements.
- Conflit d'intérêts :CJUE, 9 février 2023, X-FAB Dresden, aff. C-453/21 : le délégué ne peut se voir confier des missions le conduisant à déterminer les finalités et les moyens d'un traitement, au cas par cas. Les lignes directrices WP 243 rev.01 listent des fonctions incompatibles.
- Fin du contrat de service : terme ou résiliation dans les conditions prévues, sans lien avec les positions prises.
La protection européenne n'évince pas le droit national : CJUE, 22 juin 2022, Leistritz, aff. C-534/20 admet qu'un État membre réserve le licenciement d'un délégué salarié aux motifs graves. Un motif reste irrecevable : reprocher au délégué de ne pas avoir mis l'organisation en conformité. Les missions que l'article 39 du RGPD confie au délégué sont d'informer, conseiller et contrôler ; la conformité reste celle de l'organisation (article 24).
Membre du personnel (article 37.6) ou contrat de service : ce qui change pour la fin de mission
L'article 37.6 du RGPD pose deux voies d'exercice : membre du personnel ou contrat de service. La protection de l'article 38.3 s'applique aux deux ; le formalisme de sortie diffère.
- Délégué salarié : le retrait de la fonction et la rupture du contrat de travail sont deux actes distincts ; le licenciement suppose un motif conforme au droit du travail.
- Délégué sous contrat de service : la fin de mission suit le contrat — terme, préavis, résiliation — et non le droit du travail.
- Réversibilité des livrables : restitution du registre, des analyses et des suivis d'incidents dans un format exploitable, survie de la confidentialité.
- Changement d'actionnaire : notre contrat de délégué comporte une clause de cession en cas de rachat : un cas de continuité, pas une révocation.
Le passage d'un délégué interne à un délégué externe, ou l'inverse, déclenche les mêmes obligations de publication et de communication des coordonnées.
Ordre réel des opérations : fin de mission, notification du changement à la CNIL au titre de l'article 37.7, republication des coordonnées, information des personnes
L'article 37.7 du RGPD oblige le responsable du traitement à publier les coordonnées du délégué et à les communiquer à l'autorité de contrôle. La désignation du successeur précède donc la clôture du mandat sortant : aucune journée ne doit passer sans point de contact identifié pour les personnes concernées et pour la CNIL.
- Acter la fin de mission : une date d'effet écrite, portée à la connaissance des services et des sous-traitants.
- Désigner le successeur : décision du responsable de traitement, qualités de l'article 37.5, absence de conflit d'intérêts.
- Déclarer à la CNIL : modification des coordonnées et fin de désignation sur le téléservice, qui délivre un accusé et un numéro à conserver.
- Republier les coordonnées : site, politique de confidentialité, mentions légales, notices d'information, contrats de sous-traitance, formulaires d'exercice des droits.
- Informer : personnes concernées, instances représentatives, référents métiers, prestataires. Une adresse fonctionnelle de type dpo@ évite de refaire ce travail à chaque changement.
L'obligation de désignation ne se suspend pas pendant la transition : elle dépend des cas de l'article 37.1, exposés dans les cas dans lesquels la désignation d'un délégué est obligatoire. Une coordonnée obsolète prive les personnes du canal prévu par le règlement ; la CNIL publie ses mises en demeure et les sanctions de sa formation restreinte.
La matière qui doit passer d'un délégué au suivant : registre des traitements, violations en cours, demandes de droits non closes, AIPD engagées
La bascule entre deux délégués n'interrompt aucun délai légal en cours : le registre de l'article 30, les violations soumises aux 72 heures de l'article 33, les demandes de droits soumises au mois de l'article 12.3 et les analyses d'impact de l'article 35 gardent leur échéance.
| Élément à transmettre | État exigé à la date de bascule | Conséquence si l'élément manque |
|---|---|---|
| Registre des traitements (art. 30) | À jour, daté, exportable, avec les fiches par service | Le registre doit être reconstitué avant toute autre action |
| Violations en cours (art. 33) | Journal des violations, qualification, délai de 72 heures en cours | Le délai continue de courir sans porteur identifié |
| Demandes de droits non closes (art. 12.3) | Liste datée, échéance d'un mois par demande, pièces jointes | Dépassement du délai de réponse à la personne |
| AIPD engagées (art. 35) | État d'avancement, mesures retenues, avis du délégué | Un traitement à risque élevé reste sans analyse finalisée |
Rien ne passe d'un délégué à l'autre sans l'organisation entre les deux. Sur nos mandats, elle dispose de 10 jours ouvrés pour transmettre ou valider un document et de 5 jours ouvrés pour répondre à une sollicitation du délégué, avec des conséquences prévues au contrat sur le crédit-jours. Sur une violation reprise, le délégué entrant évalue la gravité, recommande les mesures correctives et prépare les projets de notification, sans se substituer au responsable de traitement. La mission se pilote dans IZIRO.
Notre méthode de reprise de mandat : préavis, recouvrement des deux délégués et mesures datées de nos transitions
Changer de délégué externe se cale sur une échéance connue d'avance : sur nos mandats, l'engagement est de douze mois par défaut, vingt-quatre ou trente-six mois si l'organisation le souhaite, sans aucune reconduction tacite — un nouveau devis signé est nécessaire à chaque période.
Une reprise se conduit selon un modèle proche d'une première année d'accompagnement : audit de l'existant, rapport d'étonnement, plan d'action priorisé, puis livrables. Le registre transmis n'est jamais pris pour acquis — sa reprise et sa rationalisation figurent parmi nos livrables sur mesure, dans notre mandat de délégué à la protection des données externalisé.
Rapport d'étonnement : livrable par lequel le délégué entrant remonte par écrit à la direction ce qu'il découvre en arrivant : état du registre, dossiers ouverts, écarts constatés. C'est la pièce qui matérialise une passation. |
Ce qui détermine la charge d'une reprise : l'existant à l'arrivée du délégué (reprendre un registre et des mentions déjà en place n'est pas les construire), le nombre de services à rencontrer, la taille de la structure, la criticité des données, l'éclatement multi-établissements. Ce volume se chiffre en jours au devis. Nous ne publions ni durée médiane de préavis, ni durée de recouvrement des deux délégués, ni part des registres incomplets : ces valeurs ne sont pas mesurées.
Remplacer le délégué ou recadrer la mission : les critères de décision de la direction
Avant de conclure qu'un délégué est absent, une direction regarde les jours qu'elle a achetés et la façon dont ils ont été consommés. Au 7 septembre 2026, sur nos mandats à engagement annuel, le volume médian est de 7,5 jours par an (premier quartile 4,75 jours, troisième quartile 12,5 jours), sur une base contractuelle de 7 heures, décomptée par tranches de 30 minutes.
| Situation constatée par la direction | Recadrage de la lettre de mission | Changement de délégué |
|---|---|---|
| Registre non tenu, aucun rapport d'activité | Oui si les jours et les accès n'ont jamais été fournis | Oui si les moyens ont été fournis et le livrable absent |
| Délégué non associé aux projets en amont (art. 38.1) | Oui : c'est une obligation de l'organisation | Non |
| Aucun accès au plus haut niveau de la direction (art. 38.3) | Oui : formaliser le canal de rapport direct | Non |
| Conflit d'intérêts avéré (art. 38.6) | Insuffisant si le cumul de fonctions persiste | Oui |
| Compétences inadaptées au risque (art. 37.5 et 39.2) | Possible avec plan de montée en compétence daté | Oui si le risque des traitements est élevé |
Un faux motif revient régulièrement : l'absence de mise en conformité. Au 7 septembre 2026, près d'un de nos mandats de délégué sur trois comprend aussi une mission de mise en conformité ; les deux sont distincts. Le mandat de délégué est une obligation de moyens ; un chantier de mise en conformité est une séquence contractuelle séparée. Les enseignements français publiés par la CNIL après l'action coordonnée européenne de 2023 portaient sur ces conditions d'exercice : moyens, positionnement, conflits d'intérêts.
La décision appartient à la direction et s'écrit : motif retenu, date d'effet, nom du successeur, date de déclaration à la CNIL, dossiers repris avec leur échéance. Changer de délégué ne purge aucun écart : la conformité reste celle de l'organisation (article 24). Une fin de mandat n'est pas, en soi, un désaveu ; une fonction s'internalise, une entité fusionne, une activité cesse. Au 7 septembre 2026, près de 60% de nos missions entrées en relation avant 2025 sont toujours actives, la reconduction tacite étant contractuellement exclue, et aucune mission ouverte depuis janvier 2025 n'a pris fin.
Le logiciel RGPD du DPO
Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.
Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.
Peut-on rester sans délégué désigné pendant la transition entre deux DPO ?
L'obligation de l'article 37 du RGPD ne se suspend pas : si l'organisme relève d'un des cas du 37.1, il doit disposer d'un délégué à tout moment. Faites coïncider la date d'effet du nouveau délégué avec la fin du précédent, sans période où aucune coordonnée n'est publiée ni communiquée à la CNIL (article 37.7). Si une vacance est inévitable, documentez sa durée, la personne qui assure l'intérim côté organisme et les dossiers mis en attente.
Le délégué sortant reste-t-il tenu à la confidentialité après la fin de sa mission ?
L'article 38.5 du RGPD soumet le délégué au secret professionnel ou à une obligation de confidentialité dans l'exercice de ses missions. Pour la période postérieure, ne comptez pas sur le seul texte : le contrat de service prévu à l'article 37.6 doit stipuler la survie de la confidentialité après le terme, la restitution ou la destruction des documents détenus, et la remise des pièces de la mission (registre, analyses, suivis d'incidents) dans un format exploitable par le successeur.
Changer de DPO externe consomme-t-il des jours supplémentaires par rapport à une mission déjà en cours ?
Oui : toute reprise suppose une phase d'appropriation. Lecture du registre et des pièces existantes, entretiens avec les services, inventaire des demandes de droits, violations et analyses d'impact ouvertes, puis note d'écarts et calendrier. Ce volume se chiffre en jours au devis, au même titre que le reste de la mission, jamais en lots séparés. Plus le registre transmis est à jour et les dossiers en cours tracés, plus la reprise est courte. Les interventions se conduisent majoritairement à distance.
Une fusion, un changement de dénomination ou la création d'une nouvelle entité imposent-ils une nouvelle désignation ?
La désignation est attachée au responsable de traitement. Une entité nouvelle issue d'une fusion procède à sa propre désignation ; une entité absorbée qui perd sa personnalité juridique n'en conserve aucune. Un changement de dénomination, d'adresse ou de contact du délégué relève en revanche d'une mise à jour de la désignation existante auprès de la CNIL. Un groupe d'entreprises peut désigner un délégué unique à condition qu'il soit facilement joignable depuis chaque lieu d'établissement (article 37.2).
Comment sécuriser les demandes de droits et les violations en cours le jour du basculement ?
Établissez avant la bascule la liste des affaires ouvertes avec leur échéance réelle : demandes d'exercice de droits à traiter dans le mois (article 12.3), violations dont la notification court sous 72 heures (article 33.1), analyses d'impact non finalisées, actions du plan d'action en retard. Chaque affaire reçoit un porteur nommé au sein de l'organisme, pour que l'échéance ne dépende pas du délégué sortant. La mission se pilote dans IZIRO, licences refacturées séparément, ce qui évite de ressaisir l'historique.
Sur quels critères décider de remplacer le délégué plutôt que de recadrer la mission ?
Appuyez la décision sur des éléments vérifiables : registre tenu et daté, association du délégué aux projets en amont (article 38.1), accès direct au plus haut niveau de la direction (article 38.3), existence d'un rapport d'activité et d'un plan d'action suivi, traçabilité des demandes de droits. Si les moyens n'ont jamais été fournis, un cadrage écrit avec calendrier produit souvent plus d'effet qu'un remplacement, qui impose une nouvelle phase de reprise. Rappel : la conformité reste celle de l'organisation (article 24).
