À quoi sert un DPO ? Les missions du délégué selon le RGPD
Mis à jour le 18 septembre 2026.
Réponse rapide Un DPO informe et conseille l'organisation et les employés qui procèdent au traitement, contrôle le respect du RGPD, dispense des conseils sur les analyses d'impact et en vérifie l'exécution, coopère avec la CNIL et lui sert de point de contact (article 39.1 du RGPD). Il n'est pas responsable de la conformité : celle-ci reste celle du responsable du traitement (article 24). |
Le délégué à la protection des données n'est ni un directeur de la conformité, ni un responsable qualité de la donnée. Le contenu de la fonction est écrit noir sur blanc : cinq missions à l'article 39.1 du règlement (UE) 2016/679, des garanties d'exercice à l'article 38, des cas de désignation à l'article 37. Qui doit démontrer la conformité devant l'autorité de contrôle ? Le responsable du traitement, et non le délégué.
L'obligation de désigner un délégué se fonde sur l'article 37 du RGPD, et non sur la loi n° 78-17 du 6 janvier 1978, qui règle l'articulation nationale. Pour savoir si votre structure est concernée, consultez les cas dans lesquels votre organisation doit désigner un délégué.
| Notion | Définition |
|---|---|
| Délégué à la protection des données | Personne désignée pour informer, conseiller et contrôler le respect du RGPD, sans pouvoir de décision sur les traitements (art. 37 à 39). |
| Responsable du traitement | Celui qui détermine les finalités et les moyens du traitement. Il met en œuvre les mesures appropriées et doit démontrer la conformité (art. 24). |
| Obligation de moyens | Engagement de conseiller, contrôler et alerter de façon documentée, sans garantir un résultat de conformité qui dépend des décisions de l'organisation. |
Les missions du DPO fixées par l'article 39 du RGPD
L'article 39.1 énumère « au moins » cinq missions : informer et conseiller, contrôler le respect du règlement, conseiller sur l'analyse d'impact et en vérifier l'exécution, coopérer avec l'autorité de contrôle, lui faire office de point de contact.
| Mission | Ce que fait le délégué | Référence |
|---|---|---|
| Informer et conseiller | Le délégué informe et conseille le responsable du traitement ou le sous-traitant, ainsi que les employés qui procèdent au traitement, sur les obligations qui leur incombent. | RGPD, art. 39.1 a) |
| Contrôler le respect du RGPD | Le délégué contrôle le respect du règlement, y compris la répartition des responsabilités, la sensibilisation et la formation du personnel, et les audits s'y rapportant. | RGPD, art. 39.1 b) |
| Conseiller sur l'AIPD | Le délégué dispense des conseils, sur demande, sur l'analyse d'impact relative à la protection des données et vérifie l'exécution de celle-ci. | RGPD, art. 39.1 c) et art. 35 |
| Coopérer avec la CNIL | Le délégué coopère avec l'autorité de contrôle, notamment lors d'un contrôle ou d'une consultation préalable. | RGPD, art. 39.1 d) |
| Être point de contact | Le délégué fait office de point de contact pour l'autorité sur les questions relatives au traitement et la consulte, au besoin, sur tout autre sujet. | RGPD, art. 39.1 e) |
Cette liste est un plancher, pas un plafond : le texte écrit « au moins ». L'article 39.2 ajoute la priorisation par le risque — le délégué tient compte du risque associé aux opérations de traitement, compte tenu de leur nature, de leur portée, de leur contexte et de leurs finalités.
Informer, conseiller et contrôler le respect du RGPD dans l'organisation
Le conseil ne s'adresse pas qu'à la direction : le texte vise explicitement les employés qui procèdent au traitement. Le contrôle, lui, se fait sur pièces et porte sur des objets identifiables :
- Le registre des activités de traitement : exhaustivité, date de dernière revue de chaque fiche (article 30).
- La répartition des responsabilités : qui est responsable de traitement, qui est sous-traitant, ce que prévoient les contrats au titre de l'article 28.
- La sensibilisation et la formation : qui a été formé, quand, sur quels traitements.
- Les audits : ceux qui se rapportent au respect du règlement, conduits ou déclenchés par le délégué.
Sur nos mandats, notre méthode produit dans l'année un rapport annuel du délégué, les analyses d'impact nécessaires, les réponses aux demandes d'exercice des droits et l'accompagnement des notifications de violation. La première année commence toujours par un audit. Contrôler n'est pas commander : le délégué constate, alerte par écrit et trace l'avis rendu.
Conseiller sur l'analyse d'impact (AIPD) et servir de point de contact à la CNIL
L'article 39.1 c) est précis sur deux points souvent effacés. Le conseil sur l'analyse d'impact se donne « sur demande » : c'est le responsable du traitement qui sollicite l'avis du délégué (article 35.2). Et le délégué vérifie l'exécution de l'AIPD ; il ne la valide pas et n'accepte pas le risque résiduel à la place de la direction.
La coopération avec la CNIL couvre le contrôle, la consultation préalable de l'article 36 et les échanges courants. L'article 38.4 permet aussi aux personnes concernées de s'adresser directement au délégué. Les coordonnées sont publiées et communiquées à l'autorité (article 37.7) ; la fiche pratique de la CNIL détaille la procédure par téléservice, que nous décrivons pas à pas dans notre guide pour déclarer son délégué auprès de la CNIL.
Une position protégée : associé, sans instruction, rattaché à la direction
L'article 38 conditionne l'exercice des missions : association en temps utile, ressources, absence d'instruction, absence de sanction, rapport direct au plus haut niveau, absence de conflit d'intérêts.
- Association en temps utile : le délégué est associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données (art. 38.1).
- Ressources et accès : l'organisation lui fournit les ressources nécessaires, l'accès aux données à caractère personnel et aux opérations de traitement, et les moyens d'entretenir ses connaissances (art. 38.2).
- Aucune instruction : il ne reçoit aucune instruction en ce qui concerne l'exercice de ses missions (art. 38.3).
- Aucune sanction : il ne peut être relevé de ses fonctions ni pénalisé pour l'exercice de ses missions (art. 38.3).
- Rattachement : il fait directement rapport au niveau le plus élevé de la direction (art. 38.3).
- Secret et confidentialité : il est soumis au secret professionnel ou à une obligation de confidentialité (art. 38.5).
Moyens, accès aux traitements et absence de conflit d'intérêts
L'article 38.6 autorise d'autres missions, à condition qu'elles ne génèrent pas de conflit d'intérêts. Les lignes directrices WP243 rev.01, endossées par le Comité européen de la protection des données, tranchent : ne peut pas être délégué celui qui détermine les finalités et les moyens des traitements — direction générale, DSI, ressources humaines, marketing, direction financière.
L'article 38.1 n'a d'effet que si l'organisation répond. Sur nos mandats, le contrat fixe à l'organisation 10 jours ouvrés pour transmettre ou valider un document et 5 jours ouvrés pour répondre à une sollicitation du délégué, avec des conséquences prévues sur le crédit-jours.
Le délégué peut être un membre du personnel ou exercer ses missions sur la base d'un contrat de service (article 37.6). Au 7 septembre 2026, sur nos mandats à engagement annuel, le volume médian est de 7,5 jours par an (premier quartile 4,75 jours, troisième quartile 12,5 jours), décomptés par tranches de 30 minutes. Le détail figure sur notre page consacrée à l'exercice de la fonction de délégué par un prestataire externe.
Ce que le DPO ne fait pas : la conformité reste celle de l'organisation
Le délégué conseille et contrôle, il ne décide pas : le responsable du traitement met en œuvre les mesures appropriées et doit être en mesure de démontrer que le traitement est conforme (article 24 du RGPD).
- Les finalités et les moyens d'un traitement : décision de la direction ou du service porteur.
- L'acceptation d'un risque résiduel après une AIPD : décision du responsable du traitement.
- La signature des contrats de sous-traitance et les arbitrages budgétaires : direction.
- La documentation des activités métier : chaque service décrit ses propres traitements, le délégué les met en forme et les conteste s'il y a lieu.
| Acte | Délégué | Direction et services |
|---|---|---|
| Registre des traitements | Structure, contrôle, alerte sur les manques | Fournissent l'information, tiennent le registre à jour |
| Analyse d'impact | Conseille sur demande, vérifie l'exécution | Conduisent l'AIPD et acceptent le risque résiduel |
| Violation de données | Qualifie, évalue, documente, prépare les projets d'écrits | Décident de notifier et adressent la notification |
| Sanction CNIL | Non personnellement responsable du non-respect du règlement (WP243 rev.01) | Responsable du traitement, à qui incombe de démontrer la conformité (art. 24) |
Violation de données : qui instruit, qui documente, qui notifie la CNIL
La notification à l'autorité de contrôle dans un délai de 72 heures incombe au responsable du traitement (article 33.1), pas au délégué. Ce dernier assiste l'organisation pour évaluer la gravité et les risques pour les personnes, recommande les mesures correctives et prépare les projets de notification, sans se substituer au responsable du traitement pour les décisions ni pour les envois. Ses coordonnées figurent dans la notification (article 33.3).
L'article 33.5 impose de documenter toute violation, y compris celles qui ne sont pas notifiées. Le point de friction est la chaîne d'alerte interne : sans consigne écrite indiquant qui prévient le délégué et sous quel délai, la fenêtre de 72 heures se consomme entre le service qui découvre l'incident et la direction.
Mission de délégué et chantier de mise en conformité : deux périmètres distincts
La mission de délégué est une obligation de moyens : conseiller, contrôler, alerter de façon documentée, rendre compte au plus haut niveau. Elle ne comprend pas la construction de la conformité. Le chantier de mise en conformité est une séquence distincte, qui commence par l'audit — inventaire des traitements service par service, registre, besoins d'AIPD, rapport et plan d'action priorisé — puis se poursuit par la mise en œuvre des procédures, de la notice d'information et des politiques.
Les deux se cumulent souvent : au 7 septembre 2026, près d'un mandat de délégué externe sur trois comprend aussi une mission de mise en conformité. Sur ce que la fonction apporte au-delà du strict respect du texte, lisez ce que le délégué apporte à l'organisation sur le plan économique et sécuritaire.
À quoi sert un DPO, en une ligne : à produire la preuve de conformité, pas à l'endosser. Il informe, conseille, contrôle, coopère avec l'autorité et sert de point de contact ; l'organisation décide et répond. Les écrits du délégué — avis rendus, alertes, rapport annuel — sont ce qui reste opposable le jour d'un contrôle.
Le logiciel RGPD du DPO
Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.
Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.
Le DPO est-il juridiquement responsable en cas de contrôle ou de sanction CNIL ?
Non. La responsabilité de la conformité reste celle du responsable de traitement, qui doit pouvoir la démontrer (article 24 du RGPD). Le délégué ne peut être ni relevé de ses fonctions ni pénalisé par l'organisation pour l'exercice de ses missions (article 38.3). Conséquence pratique : le DPO sert à produire la preuve, pas à l'endosser. Faites tracer par écrit chaque avis rendu et chaque décision prise en connaissance de cet avis : c'est cette traçabilité qui est opposable lors d'un contrôle.
Qu'est-ce qu'un DPO ne fait pas, et qui doit s'en charger ?
Le DPO ne décide ni des finalités ni des moyens d'un traitement, ne signe pas les contrats de sous-traitance, ne valide pas seul une AIPD et ne se substitue pas aux services métiers pour documenter leurs activités. Ces décisions appartiennent à la direction et aux responsables de service. Sans interlocuteur désigné dans chaque service, le registre cesse d'être tenu.
Quels moyens faut-il réellement mettre à disposition du DPO pour qu'il soit utile ?
L'article 38.2 impose de lui donner les ressources nécessaires : accès aux traitements et aux prestataires, temps dédié, association aux projets dès leur conception et non à la mise en production, formation continue, et un canal de saisine identifié connu des salariés et des personnes concernées. Côté outillage, registre, violations, demandes de droits et veille doivent être tenus dans un même environnement : nos missions se pilotent dans IZIRO, dont les licences sont refacturées séparément.
À quoi sert un DPO quand la désignation n'est pas obligatoire pour mon organisation ?
Il apporte trois choses mesurables : un point de contact unique pour les personnes concernées et l'autorité de contrôle, une documentation d'accountability déjà constituée le jour d'un contrôle ou d'un appel d'offres, et une capacité de réaction en cas de violation de données. Attention : une désignation volontaire n'est pas un statut allégé. Elle déclenche les mêmes exigences d'indépendance et de moyens que la désignation obligatoire, et la même formalisation auprès de la CNIL.
Comment vérifier, au bout d'un an, que le DPO a servi à quelque chose ?
Sur des indicateurs vérifiables, pas sur un ressenti : date de dernière revue de chaque fiche du registre, part des nouveaux projets passés par une analyse du besoin d'AIPD avant mise en production, délai de réponse aux demandes de droits rapporté au délai d'un mois de l'article 12, nombre de violations qualifiées et documentées dans la fenêtre de 72 heures, part des contrats de sous-traitance revus au regard de l'article 28, et taux d'avancement du plan d'action issu de l'audit initial.
Plusieurs structures peuvent-elles partager un même DPO ?
Oui. L'article 37 prévoit un délégué unique pour un groupe d'entreprises, et pour plusieurs autorités ou organismes publics en tenant compte de leur structure et de leur taille. Deux conditions conditionnent l'utilité du montage : le délégué doit rester réellement joignable depuis chaque établissement, et chaque entité reste responsable de ses propres traitements, donc de son registre et de sa propre formalisation auprès de la CNIL. Le point à arbitrer au devis est le volume de jours affecté à chaque entité.
En cas de violation de données, est-ce le DPO qui notifie la CNIL ?
Non : la notification incombe au responsable de traitement. Le rôle du délégué est d'aider à qualifier l'incident, à évaluer le risque pour les personnes, à évaluer s'il faut notifier et informer les personnes concernées, puis à documenter la violation dans le registre interne, y compris lorsqu'elle n'est pas notifiable. Ses coordonnées figurent dans la notification. Le point de friction opérationnel est la chaîne d'alerte : sans consigne écrite indiquant qui prévient le DPO et sous quel délai, la fenêtre de 72 heures est consommée en interne.
